Dans quel délai notifier la CNIL ?

La CNIL demande une notification dans les meilleurs délais lorsque la violation présente un risque pour la vie privée des personnes, si possible dans les 72 heures après en avoir pris connaissance. Au-delà, il faut justifier le retard.

Faut-il documenter une violation qui ne présente pas de risque ?

Oui. Selon la CNIL, toute violation est documentée en interne : nature, personnes et données concernées, conséquences probables, mesures prises.

Un mail envoyé au mauvais client est-il une violation de données ?

Si le mail contient des données personnelles, c'est une atteinte à leur confidentialité, donc une violation au sens de la définition de la CNIL. Le niveau de risque, et donc la notification, s'apprécie au cas par cas.

Violation de données dans un cabinet comptable : que faire

Une violation de données personnelles, selon la Commission nationale de l'informatique et des libertés (CNIL), c'est une atteinte accidentelle ou illicite à la disponibilité, à l'intégrité ou à la confidentialité de données que l'on traite. Dans un cabinet comptable, elle prend souvent une forme banale : un mail avec une pièce jointe envoyé au mauvais client, un ordinateur volé, une messagerie piratée, un document client collé dans un outil d'IA non autorisé. La règle : documenter toujours, notifier la CNIL si le risque existe, si possible dans les 72 heures, et informer les personnes si le risque est élevé.

Ce qui suit vient de la page « Notifier une violation de données personnelles » de la CNIL, lue le 15/11/2026. Pour un cas précis, voyez votre délégué à la protection des données ou la CNIL.

Les trois obligations

Situation	Ce que demande la CNIL	Texte
Toute violation	La documenter en interne : nature, catégories et nombre approximatif de personnes et de données, conséquences probables, mesures prises ou envisagées	RGPD (règlement général sur la protection des données)
Risque pour la vie privée	Notifier la CNIL dans les meilleurs délais, si possible dans les 72 heures ; notification initiale possible, complétée ensuite ; retard à justifier	Article 33 du RGPD
Risque élevé	Informer les personnes concernées ; en cas de doute, notifier la CNIL, qui dira s'il faut les prévenir	Article 34 du RGPD

La notification se fait par le téléservice de la CNIL, réservé aux responsables de traitement. Si la violation vient d'une cyberattaque, la CNIL conseille de porter plainte et de conserver les preuves techniques, et renvoie vers cybermalveillance.gouv.fr.

Ce qui s'ajoute pour un expert-comptable

Le cabinet est aussi tenu par le secret professionnel de l'article 21 de l'ordonnance du 19/09/1945 (voir la fiche dédiée). Une violation de données d'un client touche donc deux sujets à la fois : le RGPD et le secret. L'associé responsable traite les deux ; aucun collaborateur ne doit « rattraper » seul un envoi erroné.

C'est aussi ce que prévoit l'exemple de charte du livre blanc de l'Ordre Paris Île-de-France pour les incidents liés à l'IA, en quatre temps : arrêter l'utilisation, informer le responsable IA, documenter l'incident, ne pas tenter de rattraper seul.

La procédure à écrire

Par exemple, en une page :

Qui prévenir : le nom de l'associé responsable et de son suppléant, joignables le jour même.
Premiers gestes : demander au destinataire erroné de supprimer le message, couper l'accès d'un compte compromis, changer les mots de passe, sans effacer les traces.
Fiche d'incident : les rubriques de la CNIL (nature, personnes, données, conséquences, mesures).
Décision de notifier : l'associé décide, avec le délai de 72 heures en tête.
Information du client : courrier préparé et signé par l'expert-comptable si le risque est élevé.
Retour d'expérience : ce qui change dans les procédures pour que cela ne se reproduise pas.

Ce qu'un assistant d'équipe peut faire

Donner à un collaborateur paniqué, en quelques secondes, le nom de la personne à prévenir et les premiers gestes, en citant la procédure.
Afficher la trame de la fiche d'incident.
Rappeler la règle des 72 heures et la page de la CNIL.

Il ne décide pas du niveau de risque, ne notifie rien et ne reçoit pas le contenu de l'incident : les données concernées ne doivent pas être recopiées dans l'outil.

La prévention, côté messagerie

La foire aux questions de la DGFiP sur la facture électronique rappelle que la sécurité repose aussi sur la vigilance des utilisateurs : protéger ses identifiants et ne jamais transmettre d'informations confidentielles à la suite d'un courriel, d'un SMS ou d'un appel non sollicité. C'est une bonne phrase à mettre dans le livret d'accueil.

Si l'outil d'IA du cabinet est fourni par un prestataire, le contrat doit prévoir comment il vous alerte en cas de violation de son côté : la page contrat de sous-traitance RGPD avec un fournisseur d'IA détaille les clauses de l'article 28 du RGPD.