Le nouveau modèle CEPD de notification de violations de données : simplification ou nouveau défi de conformité ?

64 % des RSSI consacrent entre 4 et 24 heures à la notification d’un incident de sécurité à l’autorité compétente, sans compter la gestion de l’incident proprement dite. Ces chiffres, issus d’une récente enquête de l’ECSO, illustrent ce que quiconque a déjà vécu une violation de données à caractère personnel sait pertinemment: remplir le formulaire de notification ne représente qu’une partie du problème, mais c’est précisément celle qui exige le plus de temps au moment le plus critique. 

Le 10 juin 2026, le Comité européen de la protection des données (ci-après le « CEPD ») a publié un modèle commun de notification des violations de données à caractère personnel aux autorités nationales de protection des données, sur la base de l’article 33 du Règlement général sur la protection des données (RGPD). Cette publication n’est pas fortuite : elle s’inscrit dans le cadre de la Déclaration d’Helsinki du CEPD, qui vise à faciliter la conformité au RGPD. Elle coïncide également avec les négociations sur le règlement Omnibus numérique, le paquet législatif européen destiné à simplifier et moderniser un ensemble de règles du numérique. Cet Omnibus entend réformer l’article 33 RGPD: relèvement du seuil de notification, extension du délai de 72 à 96 heures, et, point central ici, obligation expresse faite au CEPD d’établir un modèle commun de notification. Le modèle actuel du CEPD anticipe ainsi une obligation légale qui doit encore formaliser son propre mandat. Pour un aperçu complet de la proposition d’Omnibus numérique, nous vous renvoyons à notre précédent article sur ce sujet. 

Le modèle est soumis à consultation publique jusqu’au 5 août 2026. Nous l’avons analysé, comparé au formulaire de l’Autorité de protection des données belge (ci-après l’« APD »), et portons sur lui un regard critique. 

Que contient le modèle? 

Le modèle est principalement conçu pour être mis en œuvre par les autorités nationales de protection des données au moyen d’un système informatique. Il comprend environ 100 champs répartis en sept sections, assortis d’options de réponse prédéfinies et d’une logique conditionnelle. Il suit la structure de l’article 33(3) RGPD, mais va substantiellement au-delà du minimum légal. Sa structure est la suivante: 

• type de notification 
• identité du responsable du traitement et de la personne déclarant la violation ; 
• faits de la violation, conséquences et mesures 
• informations complémentaires sur la violation 
• communication aux personnes concernées 
• autres questions éventuelles 
• annexes. 

Le modèle présente plusieurs points forts: 

• Il structure la notification de manière systématique autour de la triade CIA (confidentialité, intégrité, disponibilité) et pose, pour chaque type, des questions de suivi ciblées, notamment sur le point de savoir si des données ont effectivement été exfiltrées ou ne le sont que vraisemblablement, et si les mesures de protection pouvaient être contournées. 
• Il établit une distinction explicite entre les mesures visant à remédier à la violation en cours (section 4.3) et celles destinées à prévenir de futures violations (section 4.4), distinction matériellement pertinente pour l’évaluation du seuil prévu à l’article 34 RGPD mais absente de nombreux formulaires nationaux. 
• Il demande séparément le nombre de personnes concernées (section 3.3) et le nombre d’enregistrements touchés (section 3.4), avec une info-bulle pratique expliquant pourquoi « 500 enregistrements » peut dissimuler deux profils de risque entièrement différents. 
• La logique de suivi et de retrait est intégrée: une notification peut être marquée comme complète, incomplète ou retirée, avec des champs prévus pour le numéro de référence interne et l’identifiant de la notification antérieure. Cela est essentiel pour les incidents de type rançongiciel notifiés en plusieurs phases. 
• Enfin, le modèle demande expressément comment la violation a été découverte (détection interne, notification par un sous-traitant, une personne concernée, une partie externe ou la presse), élément souvent absent des formulaires nationaux et pertinent pour l’évaluation du délai de notification. 

Le modèle présente toutefois des lacunes notables. 

• Il est délibérément neutre sur le plan du droit national : il ne mentionne ni les bases légales nationales (en Belgique, par exemple, la loi sur les communications électroniques ou le Code de droit économique), ni les autorités sectorielles compétentes (l’IBPT pour les opérateurs de télécommunications), ni les obligations de notification parallèles auprès du VTC (entités flamandes) ou de la BNB (prestataires de services financiers au titre de la DSP2). 
• La catégorisation des données reste relativement abstraite. Le formulaire de l’APD belge est plus granulaire : il propose par exemple des options telles que le numéro de registre national, les enregistrements de vidéosurveillance, les données RH ou les données de réseaux intelligents, et va en cela plus loin que le modèle du CEPD. 

Cela est logique au regard de la portée pan-européenne du modèle, mais implique que le guide de l’APD belge reste un complément opérationnel indispensable. 

Le modèle deviendra-t-il contraignant? 

Pas encore, et il demeure incertain qu’il le devienne un jour, et si oui, quand. À l’issue de la consultation publique, le CEPD se prononcera sur le calendrier de mise en œuvre par les autorités nationales de protection des données. Le modèle ne repose sur aucune base légale contraignant ces autorités à l’adopter, et le CEPD ne peut pas le leur imposer au moyen d’un instrument contraignant dans le cadre actuel du RGPD. 

La situation pourrait évoluer dans le cadre de la proposition d’Omnibus numérique, qui modifierait l’article 33 RGPD et mandaterait expressément le CEPD pour établir un modèle commun de notification ainsi qu’une liste de circonstances dans lesquelles une violation présente un risque élevé, l’un et l’autre étant révisés tous les trois ans. Le modèle actuel anticipe donc une obligation légale qui formaliserait son propre mandat. Que la proposition d’Omnibus survive en ces termes à la phase de trilogue demeure incertain : le CEPD et le Contrôleur européen de la protection des données (CEPD), dans leur avis commun de février 2026, ont exprimé des réserves sur d’autres aspects de la proposition, notamment la proposition d’éléver le seuil de notification au « risque élevé » et l’extension du délai de 72 à 96 heures. 

La question de savoir si le modèle CEPD est descriptive, une cartographie des formulaires nationaux existants, ou prescriptif, une nouvelle norme destinée à remplacer les modèles nationaux, reste pour l’instant sans réponse. Celle-ci dépendra de la mesure dans laquelle les autorités nationales de protection des données réviseront leurs formulaires à l’issue de la consultation, ainsi que du résultat des négociations sur l’Omnibus. 

L’APD belge a considérablement rénové son formulaire de notification fin 2024/début 2025, en introduisant notamment une structure de notification en plusieurs phases. Si elle n’aligne pas son formulaire sur le modèle du CEPD, celui-ci aura peu d’impact opérationnel sur la pratique quotidienne belge. 

Le modèle résout-il le vrai problème? 

Le seuil, pas le formulaire 

Les 72 heures ne se perdent pas à remplir un formulaire. Elles se perdent à établir avec suffisamment de certitude ce qui s’est passé et à déterminer si la violation atteint le seuil de notification. L’analyse qualitative du seuil (« la violation est-elle susceptible d’engendrer un risque pour les droits et libertés des personnes concernées ? ») nécessite une instruction factuelle que ce modèle ne réduit pas. Dans ses Lignes directrices 09/2022, le CEPD a formellement adopté la méthodologie d’évaluation des risques de l’ENISA comme outil d’aide. Même avec cet instrument, la question « à partir de quel moment le risque est-il suffisamment significatif ? » reste un jugement qualitatif sans seuil minimum formel dans les lignes directrices du CEPD. 

Incidents IA : le risque d’imprécision factuelle 

Le modèle suppose que les faits d’une violation peuvent être établis avec une certitude raisonnable dans les 72 heures. Cette hypothèse est de plus en plus difficile à soutenir dans le contexte des incidents liés à l’intelligence artificielle. Considérons une organisation qui utilise un modèle d’IA générative dans le cadre d’un portail client. Un utilisateur signale que le modèle restitue dans ses réponses des données à caractère personnel appartenant à d’autres utilisateurs - exemple classique de ce que le CEPD décrit dans son avis 28/2024 comme la fuite et la régénération (leakage and regurgitation) de données à caractère personnel par des modèles d’IA. La cause peut résider dans les données d’entraînement, dans une injection de prompt par un tiers, dans une mauvaise configuration de la couche de récupération, ou dans une combinaison de ces facteurs. Déterminer précisément quelles données à caractère personnel ont été exposées, combien de personnes sont concernées, et s’il y a eu exfiltration ou simplement divulgation non autorisée, est souvent impossible dans les 72 heures sans une expertise cyber-légale du modèle lui-même, opération techniquement bien plus complexe que l’examen d’une simple fuite de base de données. Le modèle offre l’option de la « notification incomplète », mais celle-ci ne fait que reporter le moment de l’analyse factuelle. L’APD belge précise par ailleurs dans son guide qu’elle attend une expertise cyber-légale complète pour les incidents de piratage, incluant une analyse d’exfiltration et un examen des journaux système. Cette attente est difficile à satisfaire dans le contexte d’incidents IA, a fortiori dans les délais habituels. 

La structure belge de notification en plusieurs phases

L’APD belge a introduit fin 2024/début 2025 une structure de notification en deux phases. Les organisations peuvent soumettre une notification initiale (incomplète) dans les 72 heures, suivie d’une notification complémentaire dans les 21 jours au fur et à mesure de l’avancement de l’enquête. Cela correspond à l’option de « notification incomplète » du modèle du CEPD et à la possibilité ouverte par l’article 33(4) RGPD de fournir les informations par phases. La logique de l’APD et celle du modèle du CEPD convergent sur ce point, ce qui constitue un signal positif pour une éventuelle intégration future. Toutefois, les formulaires eux-mêmes ne sont pas parfaitement alignés : l’APD belge requiert, pour la notification complémentaire, des champs spécifiques qui ne correspondent pas directement aux champs de suivi du modèle CEPD, ce qui peut entraîner un double travail pour les incidents transfrontaliers. 

Le problème d’authentification 

Pour la pratique quotidienne belge, un autre obstacle se pose, qu’aucun modèle ne saurait résoudre : l’authentification sur la nouvelle plateforme de l’APD belge. Le représentant légal d’une organisation doit préalablement attribuer un rôle au DPO ou à un représentant habilité dans le système de l’APD (profil GBA_Documentum_Vertegenwoordiger). Pour les entreprises belges dont le représentant légal est un administrateur international ou européen ne disposant pas d’un identifiant eIDAS et donc dans l’impossibilité d’attribuer ce rôle, cela crée une difficulté pratique. Il s’agit d’un obstacle opérationnel structurel qui doit être résolu indépendamment de tout modèle de notification. 

Harmonisation : le contexte plus large 

Le modèle du CEPD constitue une étape dans un paysage d’harmonisation plus vaste. DORA dispose déjà d’un modèle de notification harmonisé établi par un règlement délégué. Le groupe de coopération NIS2 travaille à un instrument comparable par voie d’acte d’exécution. L’Omnibus numérique vise à regrouper l’ensemble au sein d’un point d’entrée unique géré par l’ENISA. Cette ambition est directement pertinente pour toute organisation relevant de plusieurs de ces régimes : un établissement financier qui est à la fois entité NIS2 et entité DORA doit aujourd’hui notifier le même incident au Centre pour la Cybersecurité Belgique (CCB), à son superviseur sectoriel et à l’APD belge, chacun selon son propre calendrier, son propre formulaire et son propre seuil. 

Le projet INCIDENTRON (convention de subvention n° 101249201), auquel Timelex participe, analyse précisément ce paysage : comment les obligations de notification peuvent-elles être intégrées sans créer d’asymétrie d’information entre les autorités de surveillance, ni réduire la qualité des notifications individuelles ? Le modèle du CEPD est un élément constitutif, mais l’intégration avec les autres systèmes de notification demeure la variable critique. 

Conclusion 

Le modèle du CEPD est analytiquement supérieur à nombre de formulaires nationaux, et la direction prise en matière d’harmonisation est la bonne. Son impact sur la simplification dépendra toutefois de facteurs qui demeurent incertains : 

• la question de savoir si les autorités nationales de protection des données adapteront leurs formulaires ; 
• la manière dont l’Omnibus numérique réglementera l’utilisation obligatoire du modèle par les autorités nationales et traitera la problématique du seuil ; 
• la question de savoir si le véritable goulot d’étranglement, l’analyse qualitative du seuil et l’expertise cyber-légale, sera soutenu par des instruments allant au-delà d’un champ standardisé. 

Un modèle représente la simplification la moins coûteuse que le CEPD pouvait offrir. C’est à la fois son mérite et sa limite.

La consultation publique se clôture le 5 août 2026. Les organisations et leurs conseils qui pâtissent de la fragmentation actuelle des obligations de notification disposent d’une occasion unique de soumettre des observations concrètes et ancrées dans la pratique, contribuant ainsi à orienter la suite des travaux sur le modèle comme sur les négociations relatives à l’Omnibus numérique.