Un support pour les victimes, un signal pour les responsables de traitement À l'occasion du Cybermois 2026, la CNIL et Cybermalveillance.gouv.fr ont publié un document pratique intitulé « Violation de données personnelles, que faire en 3 étapes clés ? ». Il s'adresse aux personnes dont les données ont fuité, et les accompagne du jour de la découverte jusqu'à J+30. Le format est simple : une liste d'actions, à télécharger librement. Le contexte est connu. Les violations se multiplient, et les autorités choisissent d'outiller directement le public plutôt que de compter uniquement sur la communication des organismes touchés. Des personnes concernées mieux armées Ça change la donne pour les responsables de traitement. Une victime guidée pendant trente jours ne se contente plus de lire un courrier d'information. Elle conserve les preuves, surveille ses comptes, pose des questions précises. Et si les réponses tardent, elle sait vers qui se tourner. Concrètement, le risque se déplace. La notification à la CNIL sous 72 heures reste l'obligation la plus visible du RGPD, celle que tout le monde a en tête. Mais la suite, la communication aux personnes, la cohérence des réponses du support, le traitement des demandes d'accès ou d'effacement qui arrivent en rafale, tout cela pèse au moins autant dans l'appréciation globale d'un incident. La procédure de violation s'arrête trop souvent à J+3 Beaucoup de procédures internes couvrent bien la première phase : qualification de la gravité, inscription au registre des violations, modèle de notification. Elles disent rarement qui répond aux personnes concernées à J+5, avec quel discours, et comment ces échanges sont tracés. Le résultat, on le voit sur le terrain. Une notification propre, puis trois semaines de réponses contradictoires entre le service client, le juridique et la direction. Un dossier qui se dégrade. Pour les DPO, la priorité est de compléter la procédure de gestion des violations par un volet post-notification : un référent unique pour les réponses, une FAQ validée, un circuit d'escalade pour les demandes d'exercice de droits, et la traçabilité de chaque échange. La gouvernance d'une violation se juge sur trente jours. Pas sur trois.
