Sécurité des données : ce que l’article 32 du RGPD impose, et comment le documenter

Une fuite de données ne commence presque jamais par une attaque sophistiquée. Elle commence par un mot de passe réutilisé, un partage de fichiers ouvert à tous, une sauvegarde jamais testée ou un ancien salarié dont l’accès n’a pas été retiré. C’est pour cela que le RGPD fait de la sécurité une obligation à part entière, et qu’il demande de la documenter.

Ce que dit l’article 32

Le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes.

Le texte cite notamment, selon les besoins :

• la pseudonymisation et le chiffrement des données ;
• des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes ;
• des moyens permettant de rétablir la disponibilité des données en temps utile après un incident ;
• une procédure visant à tester, analyser et évaluer régulièrement l’efficacité des mesures.

Il n’y a donc pas de liste fermée : l’obligation est proportionnée au risque. Un fichier de prospects et un dossier médical n’appellent pas les mêmes mesures.

Une démarche par les risques

Pour chaque traitement, demandez-vous ce qui arriverait aux personnes si les données étaient :

• divulguées (accès illégitime) : usurpation d’identité, atteinte à la réputation, discrimination ;
• modifiées (perte d’intégrité) : décision prise sur une information fausse ;
• perdues (indisponibilité) : impossibilité de verser un salaire, de soigner, de répondre à une obligation.

Plus les conséquences sont graves et probables, plus les mesures doivent être fortes. La CNIL publie un guide de la sécurité des données personnelles, organisé en fiches pratiques, qui sert de référence pour cette démarche.

Les mesures attendues

Les mesures techniques

• Authentification : mots de passe longs et uniques, gestionnaire de mots de passe, double authentification pour les accès sensibles et les accès à distance.
• Habilitations : chacun n’accède qu’aux données dont il a besoin ; revue périodique des droits ; retrait immédiat au départ d’un collaborateur.
• Chiffrement : des échanges (HTTPS), des postes portables et des supports amovibles, des sauvegardes externalisées, et des données les plus sensibles.
• Sauvegardes : régulières, conservées hors du système principal, et testées par des restaurations.
• Mises à jour : systèmes et logiciels maintenus à jour, en particulier les correctifs de sécurité.
• Traçabilité : journalisation des accès et des actions sur les données sensibles, conservée pour une durée limitée.
• Protection du réseau et des postes : pare-feu, antivirus, cloisonnement des réseaux, verrouillage automatique des sessions.

Les mesures organisationnelles

• Sensibilisation des équipes : hameçonnage, mots de passe, confidentialité.
• Charte informatique qui fixe les règles d’utilisation.
• Encadrement des sous-traitants : clauses de sécurité dans le contrat (article 28), vérification de leurs garanties.
• Procédure de gestion des violations de données : qui alerte, qui décide, comment notifier dans les délais.
• Sécurité physique : accès aux locaux, rangement des documents papier, destruction sécurisée.

Le cas particulier des sous-traitants

L’article 32 s’applique aussi au sous-traitant. L’hébergeur, l’éditeur du logiciel en ligne ou le prestataire informatique doivent eux-mêmes appliquer des mesures adaptées, et le contrat qui les lie au responsable (article 28.3.c) doit les y obliger. Demandez-leur une description de leurs mesures : c’est une information que vous devrez pouvoir produire.

Documenter les mesures dans le registre

Le registre comporte, dans la mesure du possible, une description générale des mesures de sécurité (article 30.1.g). Pour chaque traitement, une liste concise suffit, pourvu qu’elle corresponde à la réalité :

Accès limité au service RH ; authentification par mot de passe et double authentification ; logiciel de paie hébergé en France, chiffré ; sauvegarde quotidienne testée chaque trimestre ; journal des accès conservé un an.

Ce niveau de précision permet de répondre à un contrôle, de vérifier que rien n’a été oublié et de mesurer les progrès d’une année sur l’autre.

Les manquements les plus souvent relevés

Les décisions de la CNIL reviennent régulièrement sur les mêmes défauts :

• mots de passe faibles ou stockés en clair ;
• absence de journalisation des accès ;
• comptes d’anciens salariés toujours actifs ;
• données accessibles sans authentification à partir d’une simple adresse ;
• sauvegardes absentes ou jamais testées ;
• sous-traitant choisi sans vérification de ses garanties.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 5.1.f, 28, 30 et 32, EUR-Lex.
• CNIL, « Guide de la sécurité des données personnelles », cnil.fr.
• ANSSI, « Guide d’hygiène informatique », cyber.gouv.fr.