L'obligation de notification
L'article 34 du RGPD impose aux responsables de traitement de notifier les personnes concernées « dans les meilleurs délais » lorsqu'une violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Cette obligation crée un document qui engage la responsabilité de l'entreprise.
C'est ainsi que 678 000 contribuables ont appris, par un e-mail de la DGFiP, que leurs données fiscales avaient été consultées.
Ce que la notification prouve
Recevoir une notification de violation de données n'est pas qu'une formalité administrative. Elle constitue :
Une preuve de la violation. L'entreprise reconnaît explicitement que vos données ont été exposées. Ce document peut servir dans une procédure ultérieure.
Un point de départ pour la prescription. En droit civil français, le délai de prescription pour agir en responsabilité court généralement à partir du moment où vous avez connaissance du préjudice. La notification fait courir ce délai.
Un élément de quantification du préjudice. La nature des données exposées — coordonnées bancaires, données de santé, informations sensibles — détermine le niveau de préjudice potentiel reconnu par les juridictions.
Ce que la notification ne fait pas
Elle ne vous indemnise pas automatiquement. Elle ne déclenche pas de procédure en votre nom. Elle ne vous protège pas contre l'utilisation future de vos données.
L'Observatoire européen des droits numériques (OEDN) présente les obligations de notification en cas de violation de données personnelles.