Violation de données : quand et comment notifier la CNPD

Un salarié colle la fiche d’un client dans un chatbot grand public, depuis son compte personnel, pour répondre plus vite à un e-mail. Le lendemain, quelqu’un s’en aperçoit. La question remonte alors au DPO ou à la direction : faut-il écrire à la CNPD, et dans quel délai ?

Je reste ici sur ce qui ne vaut qu’au Grand-Duché : le canal de la CNPD, ses chiffres et les autres guichets luxembourgeois. Comment des données glissent vers une IA est raconté dans notre guide général sur les fuites de données vers l’IA.

Données clients collées dans un chatbot : une violation au sens de l’article 4.12 ?

L’article 4.12 du RGPD n’exige ni pirate ni intention : une atteinte à la sécurité suffit si elle aboutit, même par accident, à une divulgation ou à un accès non autorisés. Le CEPD y range les données parvenues à des destinataires qui n’avaient pas à les recevoir (point 14).

Un chatbot grand public, ouvert avec un compte personnel, entre à notre lecture dans ce cadre : l’entreprise n’a confié aucune mission à ce fournisseur, et la fiche lui est parvenue quand même. Mon test tient en une question : qui a autorisé ce destinataire ? Si personne, je traite l’incident comme une violation.

Ni le RGPD ni le texte du CEPD sur les violations ne parlent de chatbots. Effacer la conversation limite l’impact, sans annuler la violation. Avant de supprimer l’historique dans ChatGPT, gardez une copie datée de ce qui est parti : le résumé destiné à la CNPD se rédige à partir d’elle.

Notifier la CNPD ou pas : le risque selon ce qui est parti

Pas de risque probable, pas de notification : c’est la seule exception de l’article 33.1. Pour écrire aux personnes elles-mêmes, l’article 34 demande davantage, un risque élevé. Le formulaire luxembourgeois reprend ces paliers en rubrique 7.3 : « Pas de risque », « Présence d’un risque », « Présence d’un risque élevé ».

Les critères du CEPD (points 105 à 119) se retrouvent dans les cases de ce formulaire : catégories de données, profil et nombre des personnes, impact, probabilité. Le CEPD admet qu’un destinataire « fiable », avec qui vous entretenez une relation suivie, fasse baisser ce risque (point 114).

Un service grand public, sans contrat ni interlocuteur, se prête mal à ce raisonnement : c’est notre lecture, le CEPD ne parle pas d’IA. Les trois cas ci-dessous sont inventés et montrent où je placerais le curseur. Un projet d’IA voulu par l’entreprise relève, lui, de l’AIPD et de la base légale.

databreach@cnpd.lu : formulaire Word, clé GPG et délai de 72 heures

Sur sa page « Violations de données », mise à jour le 26 mars 2026, la CNPD ne propose pas de formulaire en ligne. On télécharge un formulaire Word, en français ou en anglais, on le remplit et on le renvoie en .docx à databreach@cnpd.lu. Une clé publique GPG permet de chiffrer l’envoi.

Le délai part de votre prise de connaissance, pas du copier-coller. Le CEPD admet une courte enquête, ouverte sans attendre, pour établir la violation (points 33 et 34). La CNPD accuse réception, puis revient vers vous si besoin. Si l’affaire tourne à l’enquête, sa procédure est une autre histoire.

Aucune nature d’incident de la liste du formulaire ne décrit un chatbot : je cocherais « Autre », avec « acte interne non malveillant » comme cause, et j’expliquerais tout dans le résumé. Une notification « préliminaire » tient le délai ; la « complémentaire » reprend ensuite le numéro donné par la CNPD.

Registre des violations : la ligne à écrire même sans notification

Qu’elle parte à Belvaux ou non, chaque violation se documente : faits, effets, mesures (article 33.5). La CNPD précise sur sa page qu’elle peut demander à voir cette documentation pour contrôler la gestion de vos incidents.

Sur la même page, elle suggère de partir des réponses à son formulaire pour décider s’il y a risque. D’où mon choix : un registre calqué sur les rubriques 7.1 à 8.2. Le jour où il faut notifier, la moitié du formulaire est déjà rédigée.

Sans notification, le CEPD recommande d’écrire pourquoi le risque est improbable (point 125) ; le RGPD ne fixe aucune durée de conservation (point 124). Les études d’avocats liront aussi notre guide sur le secret professionnel des études.

Violations notifiées à la CNPD : les chiffres du rapport 2025

La CNPD a reçu 425 notifications de violations en 2025, presque 35 par mois, et 2 893 depuis le 25 mai 2018, selon son rapport annuel présenté le 10 juillet 2026. Elle prévient que ces chiffres ne comptent que ce qui lui est notifié, pas tous les incidents.

En tête des natures d’incident : la divulgation au mauvais destinataire (28,7 %), puis le piratage (24,9 %). La perte de confidentialité domine les impacts (82,6 %). En juillet 2024, son bilan « Six ans de RGPD au Luxembourg » comptait 2 026 violations depuis 2018.

Une remarque du rapport m’étonne : la CNPD reçoit peu de notifications des banques et assurances, « pourtant de taille significative ». Les attentes propres à la place financière sont résumées dans notre page sur la CSSF et l’IA.

NIS 2, DORA, télécoms : les autres notifications d’incident au Luxembourg

Un même incident peut devoir partir vers plusieurs guichets, chacun avec son délai. La CNPD en gère déjà deux : le RGPD, et les opérateurs de télécoms et d’accès à Internet, qui doivent l’avertir dans les 24 heures (règlement 611/2013, rappelé dans son rapport 2025).

Depuis le 10 mai 2026, la loi du 5 mai 2026 transpose NIS 2. Les entités qu’elle vise notifient leurs incidents importants à l’ILR, ou à la CSSF notamment pour la banque et les infrastructures des marchés financiers : préliminaire sous 24 heures, notification sous 72 heures (article 14).

Le formulaire de la CNPD demande si d’autres régulateurs ont été prévenus. Je ne compte sur aucun relais entre Belvaux et l’ILR : la loi transmet la notification au CSIRT et au point de contact unique (article 14.1), pas à la CNPD. Pour la place, voyez la page Nonimo pour les banques et PSF.

Fiche client et chatbot : masquer matricule et IBAN avant l’envoi

Aucune procédure ne rattrape un texte déjà parti. Ce qui réduit les notifications, c’est un prompt où il ne reste personne à protéger. Les outils autorisés, les comptes et la conduite à tenir en cas d’erreur s’écrivent dans une charte IA d’entreprise.

Sur Mac ou sur Windows, Nonimo au Luxembourg met des étiquettes à la place du nom, du matricule, de l’IBAN ou du numéro de TVA avant qu’un texte parte vers ChatGPT, Claude ou Copilot, puis réinsère les originaux dans ce que l’assistant renvoie.

Lors de notre essai du 27 octobre 2026, une fiche inventée passée dans le moteur en est ressortie avec nom, e-mail, GSM, IBAN et matricule en étiquettes. Ce n’est pas une anonymisation, puisque la correspondance reste chez vous, et je relirais l’aperçu avant chaque envoi.

Pour aller plus loin que ces six cases, voyez la liste des données à retirer avant de confier un texte à une IA.

Pour un PDF, un Word ou un Excel entier, les outils de masquage de documents livrent une copie neuve du fichier, avec des étiquettes à la place des données.

Un rectangle noir posé sur un PDF laisse souvent le texte dessous : notre guide du caviardage montre où ça coince.

Sources

• CNPD, « Violations de données (règlement général sur la protection des données) » : envoi à databreach@cnpd.lu, clé GPG, version .docx, suite donnée, registre ; mise à jour du 26 mars 2026.
• CNPD, rapport annuel 2025 : 425 notifications, 2 893 depuis 2018, causes, natures et impacts, délai de 24 heures pour les télécoms.
• CNPD, « Six ans de RGPD au Luxembourg », juillet 2024 : 2 026 violations notifiées en six ans et leurs causes.
• RGPD sur EUR-Lex : articles 4.12, 33, 34 et 83.4.
• CEPD, lignes directrices 9/2022, version 2.0 en français : points 14, 33, 34, 105 à 119, 124 et 125.
• Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, Legilux : articles 3, 7 et 14.
• ILR, « La loi NIS 2 » : transposition entrée en vigueur le 10 mai 2026.
• ILR, « La notification incident sous NIS 2 » : plateforme SERIMA, étapes et rapport final.
• CSSF, « TIC et cyber-risque – pour les entités DORA » : CSSF et CAA compétentes, circulaire CSSF 25/893.

Consulté le 10 novembre 2026.