Violation de données dans un organisme de formation : quand ne pas notifier la CNIL — et comment le prouver
Un fichier de stagiaires brièvement exposé, un support égaré puis retrouvé : tout incident de sécurité ne déclenche pas nécessairement une notification à la CNIL. Mais la décision de ne pas notifier doit être documentée aussi rigoureusement qu'une notification.
Trois niveaux, trois réponses distinctes
Le RGPD ne demande pas de signaler chaque incident à la CNIL. L'article 33 pose une règle assortie d'une exception : la notification est due « sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes ». Cette exception n'autorise pas à clore le dossier en silence. Trois situations se succèdent selon la gravité : - **Aucun risque susceptible d'affecter les personnes** : documentation interne obligatoire, sans notification à la CNIL ni information des personnes. - **Risque** : notification à la CNIL au plus tard 72 heures après la prise de connaissance. - **Risque élevé** : notification à la CNIL *et* information directe des personnes affectées.
Un organisme de formation traite des données de stagiaires, de salariés, parfois de personnes en situation de handicap ou de bénéficiaires du CPF. Il peut se retrouver dans chacune de ces situations. Ce qui détermine le niveau, ce n'est pas l'intention d'un auteur souvent absent, mais les effets *possibles* pour les personnes concernées.
Évaluer le risque : des faits vérifiables, pas des intuitions
L'analyse porte sur les personnes, pas sur l'organisme. Elle combine plusieurs facteurs : la nature exacte des données exposées (adresses seules ou croisées avec des données de santé, de financement, de résultats ?), le nombre de personnes, la durée d'exposition, l'identité des destinataires et les mesures techniques en place. Le chiffrement peut réduire le risque, sous conditions précises : l'algorithme doit être robuste et la clé de déchiffrement ne doit pas avoir été exposée avec les données. Affirmer « les données étaient chiffrées » sans préciser ces éléments ne constitue pas une justification.
Deux confusions fréquentes à éviter : prendre « aucun dommage observé à ce jour » pour une absence de risque — une exploitation peut survenir bien plus tard — et oublier qu'un risque *simple* suffit à déclencher la notification à la CNIL, même si l'information individuelle des personnes n'est obligatoire qu'au niveau risque élevé. Les deux seuils sont indépendants.
Documenter la décision de ne pas notifier
C'est ici que l'obligation devient concrète. L'article 33(5) du RGPD impose de consigner dans un registre interne *toute* violation, qu'elle ait été notifiée ou non : les faits, les effets examinés et les mesures prises. Ce registre doit permettre à la CNIL de vérifier le raisonnement lors d'un contrôle. Une entrée lacunaire (« pas de risque, aucune action ») n'est pas conforme. L'entrée utile précise : les champs de données réellement exposés, la chronologie de l'incident — ouverture du ticket, investigations, décision datée —, les mesures correctrices et, surtout, la justification facteur par facteur de l'absence de notification.
Lorsqu'un prestataire est impliqué — hébergeur, plateforme LMS, logiciel de gestion de formation —, le responsable du traitement reste décideur. Il doit obtenir par écrit les journaux techniques, le périmètre des données touchées et les mesures de confinement. Si le prestataire répond partiellement ou ne répond pas, cette incertitude peut faire basculer la conclusion vers une notification.
Quatre réflexes à ancrer avant que l'incident survienne
1. **Rédiger une procédure écrite à l'avance** : qui qualifie, qui consigne, qui contacte le prestataire et dans quel délai. 2. **Compter le délai de 72 heures depuis la prise de connaissance raisonnable** — pas depuis la fin de l'enquête interne. 3. **Tenir un registre des violations structuré**, distinct du registre des activités de traitement, y compris pour les incidents sans notification. 4. **Réévaluer dès qu'un fait nouveau apparaît** : tentative d'hameçonnage ciblée, publication de données sur le web, plainte d'un apprenant. La CNIL peut contrôler le registre interne à tout moment. Pour un organisme certifié Qualiopi, dont les données de formation — parcours, résultats, situations de handicap, financements — font l'objet d'une obligation de traçabilité, la rigueur documentaire en matière de violations de données relève de la même logique de conformité.
Journée RGPD CNIL à Poitiers le 1er décembre : cybersécurité, IA Act et éducation numérique au programme
La CNIL, l'AFCDP et la Ville de Poitiers organisent le 1er décembre 2026 une Journée RGPD aux Salons de Blossac. Le programme en quatre sessions couvre cybersécurité, préparation aux contrôles, articulation RGPD/Règlement IA et usages du numérique en éducation. Inscription gratuite, en présentiel uniquement.
Règlement intérieur des organismes de formation : les exigences légales et les points de vigilance
Soumis à des obligations strictes du Code du travail, le règlement intérieur des organismes de formation doit être formalisé, adapté aux modalités pédagogiques et systématiquement remis aux stagiaires avant leur entrée en formation.
Qualiopi passe en V10 le 1er novembre 2026 : onze indicateurs modifiés, deux arrêtés encore attendus
Le décret n° 2026-728 du 1er août 2026 actualise le référentiel national qualité Qualiopi. Onze des 32 indicateurs existants évoluent ; un 33e indicateur est créé pour les CFA. Pour les organismes de formation, la mise en conformité doit être opérationnelle au 1er novembre 2026 — mais deux seuils restent à fixer par arrêté.