Modèles de notification de violation RGPD (2026) — Word

Pack de modèles de notification de violation RGPD (Word, PDF & Markdown)

Ce pack gratuit de notification de violation RGPD contient les deux documents que vous devez pouvoir produire sous pression — la notification à l'autorité de contrôle au titre de l'article 33 (les quatre éléments du 33(3), avec indicateur de notification échelonnée et justification de retard) et la lettre aux personnes concernées au titre de l'article 34, en termes clairs et simples — plus le registre interne des violations de l'article 33(5) qui consigne chaque incident, notifié ou non. Téléchargez-le en Word (DOCX), en PDF ou en fichier Markdown lisible par machine dont votre outillage d'incident peut produire un premier jet ; les fichiers téléchargeables sont disponibles en français.

Quand une violation survient, l'horloge tourne déjà : la notification à l'autorité est due dans les meilleurs délais et, si possible, 72 heures au plus tard après la prise de connaissance — et la rédiger depuis une page blanche en pleine crise est la façon la plus sûre de manquer le délai. La moyenne quotidienne des notifications de violation dans l'EEE a atteint 443 par jour en 2025, en hausse de 22 % sur un an selon le DLA Piper GDPR Fines and Data Breach Survey de janvier 2026. En France, la notification se dépose via le téléservice en ligne de la CNIL « Notifier une violation de données personnelles » — et ce pack pré-construit les deux notifications pour que votre équipe d'incident remplisse des faits au lieu d'inventer une structure. Pour la mécanique juridique derrière chaque document, voir les guides dédiés : RGPD article 33 : la règle de notification sous 72 heures et RGPD article 34 : communiquer une violation aux personnes concernées.

Points clés à retenir

1. Deux lettres différentes, deux déclencheurs différents. La notification à l'autorité (article 33) est due lorsque la violation est susceptible d'engendrer un risque ; la lettre aux personnes concernées (article 34) uniquement lorsque le risque est élevé. Beaucoup de violations exigent la première sans jamais exiger la seconde.
2. Les 72 heures appartiennent à l'autorité, pas aux personnes. Le délai de l'article 33 court à partir de la prise de connaissance — le moment où vous avez une certitude raisonnable qu'une violation s'est produite, selon les lignes directrices 9/2022 du CEPD — tandis que la lettre de l'article 34 est due « dans les meilleurs délais » une fois le risque élevé établi.
3. Incomplet est acceptable ; en retard sans motifs ne l'est pas. L'article 33(4) permet la notification échelonnée — la « notification en deux temps » dans le cadre de la CNIL, initiale puis complémentaire — et le formulaire porte un indicateur explicite initiale/mise à jour. Notifier après 72 heures exige des motifs de retard documentés, que le téléservice de la CNIL capture d'ailleurs directement.
4. Le registre des violations est l'obligation que tout le monde oublie. L'article 33(5) impose de documenter chaque violation — y compris celles non notifiées, avec votre raisonnement — pour que l'autorité de contrôle puisse vérifier votre conformité. La fiche de registre du pack capture exactement ce dossier.
5. Un seul pack couvre l'UE, le Royaume-Uni et la Norvège. Le UK GDPR reprend les deux articles à l'identique (notification à l'ICO), et la Norvège applique le RGPD via l'accord EEE (notification au Datatilsynet via Altinn) — seul le canal de dépôt change.

Ce que contient le pack

L'artefact central est le formulaire de notification à l'autorité — la lettre que vous déposez auprès de votre autorité de contrôle. Ses champs se mappent un à un sur l'article 33(3) :

Champ	Ce que vous saisissez	Ancrage juridique
Responsable & point de contact	Entité juridique, DPO ou autre contact pour les questions de suivi	Art 33(3)(b)
Horodatage de prise de connaissance	Quand et comment vous en avez eu connaissance — c'est ici que démarre l'horloge des 72 heures	Art 33(1) ; lignes directrices 9/2022 du CEPD
Nature de la violation	Ce qui s'est passé : violation de confidentialité, d'intégrité ou de disponibilité, et comment	Art 33(3)(a)
Personnes & enregistrements affectés	Catégories et nombres approximatifs des deux	Art 33(3)(a)
Conséquences probables	Préjudices réalistes : usurpation d'identité, fraude, perte financière, exposition de catégories particulières	Art 33(3)(c)
Mesures prises ou proposées	Confinement, remédiation et atténuation des effets négatifs	Art 33(3)(d)
Indicateur de notification échelonnée	Initiale / mise à jour / finale, avec journal des mises à jour	Art 33(4)
Justification de retard	Motifs, si le dépôt intervient après 72 heures	Art 33(1)
Section transfrontière	Autorité de contrôle chef de file et autres États membres concernés	Art 56

Autour du formulaire pour l'autorité, le téléchargement comprend :

• La lettre aux personnes concernées de l'article 34 — un modèle en langage simple couvrant ce qui s'est passé, quelles données sont concernées, les conséquences probables, ce que vous faites, ce que le destinataire doit faire (réinitialisation de mot de passe, surveillance de compte, vigilance anti-fraude) et le point de contact — les éléments (b), (c), (d) que l'article 34(2) impose, rédigés pour un lecteur ordinaire plutôt que pour un juriste.
• Une note de variante « communication publique » — pour le cas d'effort disproportionné de l'article 34(3)(c), où une déclaration publique doit informer les personnes concernées « de manière tout aussi efficace ».
• Le registre interne des violations — le dossier de l'article 33(5) : identifiant d'incident, horodatage de prise de connaissance, faits, évaluation du risque, décisions notifier-l'autorité et informer-les-personnes avec le raisonnement, et mesures correctives. C'est le document qui défend les violations que vous avez, à juste titre, choisi de ne pas notifier.
• Une aide à la décision notifier-ou-non — les deux seuils (« risque » → autorité ; « risque élevé » → personnes) et les trois exceptions de l'article 34(3) en référence d'une page.

La variante Markdown lisible par machine porte le même contenu avec des définitions de champs exploitables par machine, de sorte qu'un agent IA ou votre outillage d'incident interne peut rédiger une notification conforme à partir du seul fichier.

Mode d'emploi : le flux des 72 heures

1. Démarrez l'horloge consciemment. Consignez l'horodatage de prise de connaissance dès qu'une personne responsable conclut avec une certitude raisonnable que des données personnelles ont été compromises — pas à la fin de la forensique. Cet horodatage est le fait le plus scruté dans un dossier au titre de l'article 33.
2. Évaluez le risque, puis choisissez les documents. Peu susceptible d'engendrer un risque → registre seul. Risque probable → notification à l'autorité. Risque élevé probable → notification à l'autorité plus la lettre aux personnes concernées, sauf si une exception de l'article 34(3) s'applique (chiffrement effectif avec clés non compromises, mesures ultérieures écartant le risque élevé, ou effort disproportionné avec communication publique à la place).
3. Déposez sous 72 heures, même incomplet. Utilisez l'indicateur de notification échelonnée plutôt que d'attendre un tableau complet — le CEPD attend un dépôt initial avec ce que vous savez, et la « notification en deux temps » de la CNIL est bâtie exactement pour cela. Si vous déposez en retard, le champ de justification du retard est obligatoire, pas facultatif. La CNIL analyse chaque notification et, si nécessaire, vous répond sous 72 heures depuis violations@cnil.fr.
4. Envoyez la lettre aux personnes concernées dans les meilleurs délais. Une fois le risque élevé établi, la promptitude est l'attente ; rappelez-vous que l'autorité de contrôle peut imposer la communication au titre de l'article 34(4) si elle est en désaccord avec votre évaluation.
5. Bouclez la boucle dans le registre. Consignez les faits définitifs, les effets et les mesures correctives dans le registre des violations — y compris, pour les violations non notifiées, le raisonnement qui les rendait non notifiables. Les sous-traitants ont un devoir parallèle d'alerter leur responsable du traitement dans les meilleurs délais au titre de l'article 33(2), et le registre consigne donc aussi quand vos sous-traitants vous ont prévenus.

La base juridique derrière chaque document

• L'article 33 du RGPD crée l'obligation de notification à l'autorité : dans les meilleurs délais et, si possible, 72 heures au plus tard après la prise de connaissance, sauf si la violation est peu susceptible d'engendrer un risque. L'article 33(3)(a)–(d) fixe le contenu minimal — le jeu de champs du formulaire. L'article 33(4) permet le dépôt échelonné ; l'article 33(5) impose le registre interne.
• L'article 34 crée l'obligation de communication aux personnes concernées au seuil du risque élevé, en termes clairs et simples, avec les éléments 33(3)(b)–(d) comme contenu minimal, et les trois exceptions du 34(3). L'article 34(4) permet à l'autorité d'ordonner la communication.
• Les lignes directrices 9/2022 du CEPD sur la notification des violations de données personnelles (version 2.0, adoptées le 28 mars 2023) définissent la « prise de connaissance », valident la notification échelonnée pour les incidents complexes, et précisent qu'un responsable hors UE soumis au RGPD notifie l'autorité de contrôle de l'État membre où son représentant dans l'UE est établi.
• L'article 83(4)(a) fixe le palier d'amende pour la violation de l'un ou l'autre article : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Les autorités sanctionnent la discipline de notification en tant que telle — l'autorité polonaise et le Datatilsynet norvégien ont infligé des amendes spécifiquement pour non-respect du délai de 72 heures, et la notification tardive apparaît régulièrement comme un manquement sanctionné séparément, aux côtés d'amendes plus lourdes au titre de l'article 32.

Pour la place de la notification de violation dans le règlement au sens large — principes, bases légales et la carte complète des obligations 2026 — voir le pilier conformité RGPD.

Utiliser le pack en France, au Royaume-Uni et en Norvège/EEE

Aucune adaptation structurelle n'est nécessaire. En France, la CNIL opère le téléservice « Notifier une violation de données personnelles », qui reprend les rubriques de l'article 33(3), permet la notification en deux temps et capture les motifs de retard ; ses règles à suivre en cas de violation détaillent la marche à suivre. Le UK GDPR conserve les articles 33 et 34 sous la même forme : les violations notifiables vont à l'ICO dans les meilleurs délais et sous 72 heures via son formulaire de signalement en ligne — environ 30 minutes à compléter — ou par téléphone pour les incidents en cours urgents, avec la même exception « peu susceptible d'engendrer un risque » et le même devoir de motiver un dépôt tardif. La Norvège applique le RGPD via la personopplysningsloven en vertu de l'accord EEE ; le Datatilsynet demande aux organisations de déposer leurs notifications via le portail Altinn, sur la même horloge de 72 heures. Pour une violation transfrontière au sein de l'UE/EEE, le guichet unique s'applique : vous notifiez votre autorité de contrôle chef de file — l'autorité de votre établissement principal au titre de l'article 56 — et la section transfrontière du formulaire capture exactement cette détermination.

Transformer les lettres en flux de travail

Un modèle fait rédiger la notification ; il n'assemble pas les preuves, ne suit pas la chronologie et ne dit pas à vos clients ce qui s'est passé de manière gouvernée. Une fois le régulateur notifié, les clients entreprise posent tous les mêmes questions — et y répondre questionnaire de sécurité par questionnaire de sécurité est plus lent que de publier la réponse une seule fois. Un Trust Center donne à la communication d'incident un foyer permanent et gouverné : le flux trust-updates d'Orbiq publie les avis d'incident aux clients abonnés avec une piste d'audit, le même canal que celui des notifications de changement de sous-traitant — de sorte que la lettre que vous téléchargez ici devient une brique d'un processus répétable, avec les équipes juridiques en relecture dans la boucle plutôt que dans la zone d'impact.

Sources & références

1. Règlement (UE) 2016/679 (RGPD) — articles 33, 34, 56, 83 — obligation et contenu de la notification (33(1), 33(3)), notification échelonnée (33(4)), obligation de documentation (33(5)), devoir du sous-traitant (33(2)), communication aux personnes concernées et exceptions (34), autorité chef de file (56), palier d'amende (83(4)(a)).
2. CNIL — Notifier une violation de données personnelles (téléservice) — le canal de notification français ; notification en deux temps, motifs de retard.
3. CNIL — Violations de données personnelles : les règles à suivre — analyse de chaque notification par la CNIL ; réponse sous 72 heures depuis violations@cnil.fr lorsque nécessaire.
4. Lignes directrices 9/2022 du CEPD sur la notification des violations de données personnelles (v2.0, 28 mars 2023) — définition de la prise de connaissance, notification échelonnée, notification des responsables hors UE via l'État membre du représentant.
5. CEPD — Notify a data breach (points de contact nationaux) — où déposer dans chaque État membre.
6. ICO — Personal data breaches: a guide — obligation de notification UK GDPR, fenêtre de 72 heures, exception de risque, communication imposée.
7. Datatilsynet — Meld avvik til Datatilsynet — notification norvégienne via Altinn.
8. DLA Piper GDPR Fines and Data Breach Survey : janvier 2026 — 443 notifications quotidiennes en moyenne dans l'EEE en 2025 (+22 %).

Lectures associées

• RGPD article 33 : la règle de notification sous 72 heures — le guide complet derrière la notification à l'autorité
• RGPD article 34 : communiquer une violation aux personnes concernées — le guide complet derrière la lettre aux personnes concernées
• Conformité RGPD en 2026 : principes, droits et comment le prouver
• Modèle de notification de changement de sous-traitant RGPD — le flux de notification frère
• Trust Center pour les équipes juridiques