Louverdi

Vous avez subi une fuite de données ?

Piratage, erreur d'envoi, perte d'un ordinateur : un avocat vous accompagne dans les démarches. Décrivez la situation, vous obtenez un devis avant de commencer.

Mis à jour le 6 novembre 2026

En cas de violation de données personnelles, le responsable du traitement la notifie à l'autorité de contrôle compétente, en France le plus souvent la CNIL, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes (article 33 du RGPD). Si le risque est élevé, les personnes concernées sont aussi informées dans les meilleurs délais (article 34). Toute violation, notifiée ou non, est documentée dans un registre des violations. Sur Louverdi, l'IA prépare le dossier et les avocats inscrits au barreau présents sur la plateforme vous adressent leur devis avant de commencer.

Ce qu'est une violation de données (article 4.12 du RGPD)

Une violation de données personnelles est un incident de sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles.

Elle peut toucher la confidentialité (un fichier envoyé au mauvais destinataire, une messagerie piratée), l'intégrité (des données modifiées) ou la disponibilité (des données chiffrées par un rançongiciel, un ordinateur perdu sans sauvegarde).

Notifier la CNIL : le délai de 72 heures (article 33)

Le responsable du traitement notifie la violation à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. La notification n'est pas requise si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes.

Passé 72 heures, la notification est accompagnée des motifs du retard. Les informations peuvent être communiquées en plusieurs fois, sans autre retard indu.

En France, la notification se fait en ligne, par le téléservice de la CNIL. Pour un traitement transfrontalier, l'autorité compétente n'est pas nécessairement la CNIL.

Le contenu minimal de la notification

La notification décrit au minimum : la nature de la violation, avec si possible les catégories et le nombre approximatif de personnes et d'enregistrements concernés ; le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact ; les conséquences probables ; les mesures prises ou envisagées pour y remédier et en limiter les effets.

Informer les personnes concernées (article 34)

Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, le responsable du traitement les en informe dans les meilleurs délais, en des termes clairs et simples.

Cette information n'est pas requise si les données étaient rendues incompréhensibles pour toute personne non autorisée, par exemple par chiffrement, si des mesures ultérieures font que le risque élevé n'est plus susceptible de se matérialiser, ou si elle exigerait des efforts disproportionnés ; dans ce dernier cas, une communication publique est faite à la place.

Le registre des violations et les obligations du sous-traitant

Le responsable du traitement documente toute violation, même non notifiée : les faits, leurs effets et les mesures prises pour y remédier (article 33.5). La CNIL désigne ce document comme le registre des violations.

Un sous-traitant, par exemple un éditeur de logiciel ou un hébergeur, notifie au responsable du traitement toute violation dans les meilleurs délais après en avoir pris connaissance (article 33.2). Ce point figure en général dans le contrat de sous-traitance (DPA).

Les sanctions prévues

Les manquements aux obligations des articles 33 et 34 peuvent être sanctionnés d'une amende administrative pouvant aller jusqu'à 10 millions d'euros ou, pour une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu (article 83.4 du RGPD).

Ce que fait Louverdi

Vous décrivez la situation avec vos mots. L'IA met en ordre les éléments utiles : date et heure de découverte, nature de l'incident, données et personnes touchées, prestataires concernés, mesures déjà prises. Elle n'analyse pas le dossier, elle le prépare.

Les avocats inscrits au barreau présents sur Louverdi reçoivent le dossier structuré et vous adressent leur devis sous 36 heures. Vous choisissez librement, ou vous invitez votre propre avocat. L'avocat conseille et engage sa responsabilité ; Louverdi ne conseille pas.

Comment se forme le prix

Les honoraires sont définis en amont par l'avocat, dans son devis, après lecture du dossier. Vous les acceptez avant tout travail et l'avocat vous facture directement. Le devis tient compte de l'ampleur de l'incident, du nombre de personnes concernées et des démarches à préparer.

Le travail de l'IA sur votre dossier se paie en crédits : 10 crédits offerts à l'inscription, puis environ 1 € le crédit. Vous voyez l'estimation avant de lancer.

Questions fréquentes

Dans quel délai notifier une violation de données à la CNIL ?

Dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33 du RGPD). Passé ce délai, la notification est accompagnée des motifs du retard.

Faut-il notifier toutes les violations de données ?

Non. La notification n'est pas requise si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Elle doit en revanche être documentée dans le registre des violations.

Comment notifier une violation à la CNIL ?

En ligne, par le téléservice de notification de la CNIL. Les informations peuvent être transmises en plusieurs fois si elles ne sont pas toutes disponibles tout de suite.

Quand faut-il prévenir les personnes concernées ?

Lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (article 34 du RGPD), sauf exceptions, par exemple si les données étaient chiffrées.

Que doit faire un prestataire victime d'une violation ?

Le sous-traitant notifie la violation au responsable du traitement dans les meilleurs délais après en avoir pris connaissance (article 33.2 du RGPD). C'est ensuite au responsable du traitement de notifier la CNIL.

Combien coûte l'accompagnement d'un avocat après une fuite de données ?

Cela dépend de l'ampleur de l'incident et des démarches à préparer. Sur Louverdi, chaque avocat fixe ses honoraires dans un devis, après lecture du dossier structuré, et vous les acceptez avant tout travail.

Situations fréquentes

• Une messagerie ou un compte a été piraté.
• Un fichier client a été envoyé au mauvais destinataire.
• Un prestataire vous informe d'un incident chez lui.

L'avocat fixe ses honoraires dans son devis et vous les facture directement.