Un collègue qui lit vos fichiers, est-ce une violation de données ?

MacWindowsMis à jour

Selon le RGPD, une violation de données à caractère personnel comprend l'accès non autorisé à des données personnelles, et la CNIL précise que la violation peut être accidentelle ou illicite. Séparément, le Code pénal punit notamment la collecte de données personnelles par un moyen frauduleux, déloyal ou illicite.

Cette page donne une information générale, pas un conseil juridique. Pour une situation précise, adressez-vous à un avocat.

Réponse rapide

L'article 4 du RGPD définit la violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, « ou l'accès non autorisé à de telles données ». C'est à l'organisme de l'évaluer et, si elle présente un risque, de la notifier à la CNIL.

Qu'est-ce qu'une violation de données à caractère personnel ?

La définition se trouve à l'article 4, point 12, du RGPD. Le texte publié par la CNIL la donne ainsi : « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données ».

La CNIL résume deux conditions pour qu'il y ait violation :

  1. Un traitement de données personnelles a été mis en œuvre.
  2. Ces données ont fait l'objet d'une violation, c'est-à-dire d'une perte de disponibilité, d'intégrité ou de confidentialité, de manière accidentelle ou illicite.

L'accès par une personne de l'entreprise compte-t-il ?

La définition parle de « l'accès non autorisé » sans préciser qui accède. Elle ne réserve pas la notion aux personnes extérieures à l'organisme.

C'est à l'organisme, responsable du traitement, de documenter l'incident et d'évaluer le risque, comme l'explique la CNIL ci-dessous. Pour un cas réel, adressez-vous à un avocat.

Qui doit la déclarer, et quand ?

L'obligation pèse sur l'organisme, pas sur vous. La CNIL explique que le RGPD impose aux responsables de traitement de documenter en interne les violations de données personnelles et de notifier à la CNIL celles qui présentent un risque pour les droits et libertés des personnes.

  1. Dans tous les cas, l'organisme doit documenter l'incident en interne : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables et mesures prises.
  2. Si l'incident présente un risque pour la vie privée des personnes concernées, il doit le notifier à la CNIL.
  3. En cas de risque élevé, il doit aussi informer les personnes concernées.
  4. En cas de doute, la CNIL lui conseille de notifier, et elle indiquera s'il faut informer les personnes.

Sur le délai, la CNIL indique que la notification doit être transmise dans les meilleurs délais après la constatation de la violation, avec une notification initiale dans un délai de 72 heures si possible. Au-delà, l'organisme doit expliquer les motifs du retard. Ces obligations figurent aux articles 33 et 34 du RGPD.

Pour donner un ordre de grandeur, le rapport annuel 2025 de la CNIL fait état de « 6 167 violations de données notifiées à la CNIL en 2025 », soit 9,5 % de plus qu'en 2024. La CNIL précise que ce chiffre exclut deux incidents chez des éditeurs de solutions, qui ont entraîné à eux seuls 11 635 notifications ; avec eux, elle a été notifiée de 17 802 violations. Ce chiffre compte les violations notifiées par des organismes, quelle qu'en soit la cause, et ne dit pas combien concernent un collègue.

Que pouvez-vous faire, vous ?

Signaler ce que vous avez vu dans l'entreprise. Pour un manquement à la protection des données, la CNIL conseille de contacter d'abord l'organisme, ou son délégué à la protection des données (DPO) s'il en a désigné un.

Le téléservice de notification de la CNIL est réservé aux responsables de traitement. La CNIL précise qu'un particulier qui veut se plaindre doit passer par son téléservice de plaintes, et que les plaintes déposées par le service de notification ne sont pas prises en compte. Les étapes sont dans signaler un collègue qui a fouillé votre ordinateur ou votre téléphone.

Quand cela devient-il une infraction ?

Les règles ci-dessus sont des obligations de l'organisme. Le Code pénal, lui, vise des personnes. Plusieurs articles portent sur les données personnelles et les fichiers :

  1. Article 226-18. « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende. »
  2. Article 226-22. Il punit la personne qui, ayant recueilli des données personnelles à l'occasion de leur traitement, les porte sans autorisation à la connaissance d'un tiers qui n'a pas qualité pour les recevoir, lorsque cette divulgation porterait atteinte à la considération de l'intéressé ou à l'intimité de sa vie privée. La poursuite ne peut alors être exercée que sur plainte de la victime.
  3. Article 323-3. Il punit le fait d'extraire, de détenir, de reproduire ou de transmettre frauduleusement les données contenues dans un système de traitement automatisé, de cinq ans d'emprisonnement et de 150 000 € d'amende.

L'accès lui-même relève de l'article 323-1. Ces textes, avec leurs peines, sont présentés dans accéder à l'ordinateur de quelqu'un sans autorisation, est-ce illégal en France ?.

Et si la violation fait suite à une attaque ?

Sur sa page consacrée aux notifications, la CNIL indique que si la violation notifiée fait suite à une cyberattaque, il est conseillé de déposer plainte au commissariat de police ou à la gendarmerie la plus proche, et de tenir à la disposition des enquêteurs les éléments de preuve techniques. Elle renvoie aussi vers Cybermalveillance.gouv.fr, la plateforme nationale d'assistance aux victimes d'actes de cybermalveillance.

Autres questions

Un collègue qui consulte mon dossier personnel, est-ce une violation de données ?

La définition du RGPD inclut « l'accès non autorisé » à des données personnelles. Savoir si c'est le cas dans une situation précise relève de l'évaluation de l'organisme, responsable du traitement. Pour un cas réel, adressez-vous à un avocat.

Toute violation doit-elle être notifiée à la CNIL ?

Non. La CNIL indique qu'un organisme doit notifier les violations qui présentent un risque pour les droits et libertés des personnes. Toutes doivent en revanche être documentées en interne.

Dois-je moi-même prévenir la CNIL ?

La notification est l'affaire de l'organisme. Si vous estimez que votre employeur a mal traité vos données, vous pouvez lui écrire, puis adresser une plainte à la CNIL. Notre guide signaler un collègue explique les étapes.

L'organisme doit-il me prévenir ?

La CNIL indique qu'en cas de risque élevé, l'organisme doit aussi notifier les personnes concernées. Elle peut lui imposer de le faire si elle constate qu'il ne les a pas correctement informées.

Quelle peine pour la collecte frauduleuse de données personnelles ?

L'article 226-18 du Code pénal prévoit cinq ans d'emprisonnement et 300 000 euros d'amende pour la collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite.

Sources