Chaque incident consigné, chaque décision justifiée.

Toute atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles (art. 4.12 du RGPD). Un email envoyé au mauvais destinataire, un ordinateur portable volé, une base effacée sans sauvegarde ou un rançongiciel en sont autant d'exemples : il n'est pas nécessaire qu'il y ait piratage.

Oui, systématiquement. L'article 33 §5 impose de documenter TOUTES les violations, y compris celles qui ne présentent aucun risque pour les personnes. C'est même le cœur du registre : en contrôle, la CNIL vérifie d'abord les violations écartées et le motif retenu pour ne pas les notifier.

À partir de la prise de connaissance de la violation, c'est-à-dire du moment où vous avez un degré raisonnable de certitude qu'un incident de sécurité a touché des données personnelles - pas de la date des faits, ni de la fin de l'enquête. Si tout n'est pas encore connu, la CNIL admet une notification en deux temps : on notifie ce que l'on sait, on complète ensuite.

Lorsque la violation est susceptible d'engendrer un risque ÉLEVÉ pour leurs droits et libertés (art. 34). L'information doit être individuelle et rédigée en termes clairs. Trois cas en dispensent : des données rendues incompréhensibles (chiffrement solide), des mesures ultérieures qui écartent le risque élevé, ou un effort disproportionné - qui impose alors une communication publique.

La notification reste votre obligation : le sous-traitant doit vous alerter sans délai (art. 28.3.f et 33.2), et c'est la date de son signalement qui fait courir votre délai de 72 heures. Le registre conserve le nom du prestataire et la date à laquelle il vous a prévenu.

Aucune durée n'est fixée par le texte. En pratique, il se conserve tant qu'il peut servir à démontrer votre conformité : les violations restent dans le registre après leur clôture, elles n'en sortent pas.