L'article 32 du RGPD impose à toute entreprise traitant des données personnelles de mettre en œuvre des "mesures techniques et organisationnelles appropriées" pour garantir un niveau de sécurité adapté au risque. Le texte ne fournit pas de liste fermée de mesures obligatoires, ce qui laisse une marge d'interprétation qui, en pratique, génère la question la plus fréquente chez qui met en œuvre la conformité : quelles mesures suffisent réellement.

Cet article détaille ce que l'article 32 exige, ce que le marché a déjà consolidé comme réponse pratique face à l'absence de liste fermée, ce qui change pour les données sensibles, la conduite à tenir en cas d'incident, et comment la taille de l'entreprise entre dans l'équation.

La différence entre ce sujet et la vie privée en tant que telle est détaillée dans un autre article de ce dossier ; l'accent est mis ici exclusivement sur la couche technique et organisationnelle de la sécurité.

La décision de ne pas figer un standard technique précis dans le texte légal est délibérée. La technologie de sécurité de l'information évolue par cycles de quelques mois : un chiffrement jugé robuste aujourd'hui peut devenir obsolète en quelques années, et une loi qui imposerait un standard technique figé deviendrait rapidement dépassée.

L'article 32 délègue donc au responsable du traitement la tâche de définir le niveau de sécurité adéquat, en fixant des critères d'évaluation clairs : l'état des connaissances techniques, les coûts de mise en œuvre, la nature, la portée, le contexte et les finalités du traitement, ainsi que la gravité du risque pour les droits et libertés des personnes physiques.

Cela ne signifie pas un vide normatif. Cela signifie que l'exigence varie : une clinique qui traite des données de santé a besoin de contrôles bien plus stricts qu'une newsletter qui ne traite que nom et adresse e-mail.

Une mesure technique est tout contrôle mis en œuvre directement dans l'infrastructure technologique de l'entreprise, sans dépendre d'une décision humaine au moment de l'usage. Six catégories reviennent le plus fréquemment dans les mises en œuvre jugées adéquates par le marché.

La donnée en transit est celle qui circule entre systèmes, par exemple entre le navigateur du client et le serveur de l'entreprise. La donnée au repos est celle stockée dans une base de données ou un fichier. Les deux nécessitent un chiffrement : les connexions HTTPS couvrent le premier cas, des algorithmes comme AES-256 appliqués à la base de données couvrent le second.

Aucun salarié n'a besoin de voir toute la donnée. Le contrôle d'accès par rôle signifie que l'équipe support voit l'historique de commande du client, mais pas, par exemple, la donnée bancaire complète, réservée à l'équipe financière.

Un mot de passe seul est jugé insuffisant pour les systèmes stockant un volume significatif de données personnelles. L'authentification à double facteur est aujourd'hui le seuil minimal attendu pour l'accès administratif à tout système traitant des données personnelles.

L'article 32 parle explicitement de garantir la "disponibilité" et la "résilience" des systèmes, pas seulement la confidentialité. Une sauvegarde régulière, testée périodiquement, garantit qu'une attaque par rançongiciel ou une panne matérielle ne se transforme pas en perte définitive de données.

Des systèmes qui enregistrent et alertent sur un comportement anormal permettent à l'entreprise de découvrir un incident en quelques heures, et non en plusieurs mois. Le délai entre la survenance d'une fuite et sa découverte est, historiquement, l'un des facteurs qui aggrave le plus le dommage final.

En pratique, maintenir un niveau de sécurité "approprié au risque" se traduit par tester régulièrement les contrôles, via un audit interne ou des tests d'intrusion externes, pour vérifier que ce qui a été mis en œuvre fonctionne toujours à mesure que le système évolue.

Une mesure organisationnelle est un contrôle qui dépend d'un processus organisationnel et d'un comportement humain, pas uniquement d'une configuration système. Quatre axes ressortent comme les plus déterminants.

Un document formel, approuvé par la direction, qui fixe des règles claires : qui peut accéder à quel système, comment créer un mot de passe, que faire en cas de tentative de phishing identifiée. Sans ce document, chaque salarié applique son propre jugement, précisément au point le plus sensible de l'organisation.

La majorité des incidents de sécurité dans le monde réel ne commencent pas par une attaque technique sophistiquée, mais par un salarié qui clique sur un lien malveillant ou partage un mot de passe par erreur. Une formation récurrente, pas seulement lors de l'intégration, réduit ce vecteur de manière mesurable.

Quand l'entreprise fait appel à un prestataire qui traite des données personnelles en son nom (un service d'e-mailing marketing, une plateforme de support, une CMP), la responsabilité de la sécurité de la donnée ne disparaît pas simplement parce qu'elle est externalisée. Des contrats incluant des clauses de sécurité spécifiques, et un processus d'évaluation du prestataire avant contractualisation, font partie intégrante de la mesure organisationnelle exigée.

Le RGPD exige la désignation d'un DPO dans certains cas précis (autorité publique, traitement à grande échelle, données sensibles à grande échelle), mais même hors de ces cas, quelqu'un dans l'entreprise doit être responsable de l'existence, du suivi et de la mise à jour de la politique de sécurité. Sans responsable clairement identifié, les politiques de sécurité ont tendance à devenir obsolètes silencieusement.

L'article 9 du RGPD définit les catégories particulières de données (santé, origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques ou biométriques, vie sexuelle ou orientation sexuelle) et exige, en principe, une base légale renforcée pour leur traitement.

Cette exigence renforcée s'étend directement à la sécurité : les données sensibles nécessitent généralement une ségrégation physique ou logique du reste de la base de données, une journalisation d'accès plus granulaire (qui a consulté le dossier spécifique d'une personne, pas seulement qui a accédé au système en général), une minimisation plus stricte de la collecte, et une revue d'accès plus fréquente pour retirer les autorisations des salariés qui n'en ont plus besoin.

Même avec des contrôles adéquats, les incidents surviennent. Face à une violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, le RGPD impose une notification à la CNIL dans un délai de 72 heures après en avoir pris connaissance, et, lorsque le risque est élevé, une communication directe aux personnes concernées.

Documenter chaque incident en interne, y compris ceux jugés non notifiables, fait partie des obligations de traçabilité de l'article 33 : l'absence de notification ne dispense pas de conserver une trace de l'évaluation qui a conduit à cette décision.

Le terme "fuite de données" s'est popularisé pour décrire tout événement d'exposition indue d'information, mais le concept juridique plus large de "violation de données" couvre des scénarios distincts : accès non autorisé, perte, altération indue et destruction de la donnée. Une attaque par rançongiciel qui chiffre et rend inaccessible la donnée pour l'entreprise elle-même, sans nécessairement la copier vers l'extérieur, constitue également une violation de données au sens du RGPD, même sans "fuite" au sens populaire du terme.

Le RGPD prévoit un régime de sanctions administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé, pour les manquements les plus graves, dont l'absence de mesures de sécurité appropriées. Le montant effectif tient compte de la nature de l'infraction, du degré de coopération avec l'autorité de contrôle, des mesures déjà prises pour atténuer le dommage, et de l'existence de manquements antérieurs.

Au-delà de la sanction administrative, une entreprise victime d'une violation de données significative fait face à un coût réputationnel qui, dans la plupart des cas documentés sur le marché, dépasse largement le montant de toute amende : la confiance du client, une fois brisée par une fuite rendue publique, met considérablement plus de temps à se reconstruire que le temps nécessaire pour régler une sanction.

Une erreur courante consiste à penser que le RGPD exige le même niveau d'investissement technique d'une petite entreprise et d'un grand groupe. Le texte parle de mesures "appropriées au risque", ce qui ouvre la voie à la proportionnalité, mais jamais à l'absence de contrôle.

Une microentreprise qui ne traite que nom, e-mail et téléphone de ses clients pour la facturation n'a pas besoin du même appareil de sécurité qu'une banque. Elle a néanmoins besoin d'un contrôle d'accès basique, d'une sauvegarde fonctionnelle et d'une hygiène minimale des mots de passe, précisément parce que l'article 32 ne fixe de seuil zéro pour aucun traitement de données personnelles.

L'absence de réglementation technique détaillée dans le texte du RGPD ne signifie pas que le marché français part de zéro. Le guide de la sécurité des données personnelles de la CNIL détaille, fiche par fiche, les mesures concrètes attendues : authentification des utilisateurs, gestion des habilitations, traçabilité et gestion des incidents, sécurisation des postes de travail, sécurisation de l'informatique mobile, protection du réseau informatique interne, sécurisation des serveurs et des applications, sauvegarde et plan de reprise d'activité, archivage sécurisé, encadrement de la maintenance et de la destruction des données, gestion des sous-traitants, sécurisation des échanges avec d'autres organismes, protection des locaux, encadrement des développements informatiques, chiffrement, anonymisation et pseudonymisation, et sécurisation des sites web.

Une entreprise qui suit méthodiquement ce guide couvre, dans la grande majorité des cas, ce qu'un contrôle CNIL rechercherait lors d'un audit de sécurité au titre de l'article 32.

• Existe-t-il un inventaire des emplacements où chaque type de donnée personnelle est stocké ?
• L'accès aux données sensibles est-il restreint par rôle, plutôt qu'ouvert à toute l'équipe ?
• Les systèmes d'administration exigent-ils une authentification à double facteur ?
• Existe-t-il une routine de sauvegarde testée, pas seulement configurée ?
• Existe-t-il une supervision active des accès anormaux aux systèmes hébergeant des données personnelles ?
• Existe-t-il une politique de sécurité de l'information formelle, approuvée par la direction ?
• Les prestataires traitant des données personnelles pour le compte de l'entreprise ont-ils une clause contractuelle de sécurité ?
• Existe-t-il un plan de réponse aux incidents, avec un responsable désigné et testé au moins une fois ?
• Les données sans finalité active sont-elles réellement supprimées, et non simplement archivées indéfiniment ?

L'adoption large du télétravail a modifié le périmètre de sécurité de nombreuses entreprises. Auparavant, la donnée restait dans un réseau interne fermé ; aujourd'hui, elle est consultée depuis le domicile, des espaces de coworking, et parfois depuis des équipements personnels.

Cela ne change rien à l'obligation de l'article 32, cela change seulement où les contrôles doivent s'appliquer : VPN ou accès segmenté pour tout système hébergeant des données personnelles, gestion des équipements (antivirus à jour, disque chiffré, verrouillage automatique de l'écran), et une politique d'usage acceptable couvrant explicitement des scénarios comme les réseaux Wi-Fi publics ou l'usage du stockage cloud personnel pour des fichiers professionnels.

Confondre conformité documentaire et conformité technique réelle. Une politique de sécurité imprimée dans un tiroir ne remplace pas le contrôle d'accès effectivement configuré dans le système.

Considérer la sécurité comme un investissement ponctuel. Configurer un contrôle une fois et ne jamais le réviser équivaut, après quelques années, à ne plus avoir de contrôle du tout, parce que les menaces et la technologie évoluent en continu.

Ignorer que la sécurité du consentement aux cookies relève de la même obligation. Le bandeau de cookies du site traite lui aussi des données personnelles (identifiants de navigateur, comportement de navigation), et l'intégrité technique de ce flux est soumise à la même exigence de sécurité. Ce point spécifique est détaillé dans Sécurité des Données dans le Consentement.

Se fier à des résumés tiers plutôt qu'au texte officiel. Le texte intégral de l'article 32 est disponible sur EUR-Lex, et il est toujours utile de le consulter directement avant de fonder des décisions uniquement sur des interprétations tierces, y compris celles de cet article.

Toutes les entreprises ne peuvent pas mettre en œuvre les neuf catégories de contrôle décrites ici en une seule fois. Un ordre pratique de priorité, fondé sur l'impact par euro investi, suit généralement cette séquence : d'abord, contrôle d'accès et authentification renforcée, car c'est le contrôle le plus économique et celui qui réduit le plus immédiatement la surface de risque ; ensuite, sauvegarde testée, car elle protège contre le scénario de dommage le plus irréversible ; puis, chiffrement de la donnée au repos pour les bases hébergeant des données sensibles ou financières ; ensuite, politique documentée et formation, à coût réduit et à effet direct sur la réduction de l'erreur humaine ; et enfin, supervision et plan de réponse aux incidents, qui prend tout son sens une fois que les contrôles précédents ont déjà réduit le volume d'événements à surveiller.

Oui, 72 heures après avoir pris connaissance de la violation, sauf lorsque celle-ci n'est pas susceptible d'engendrer de risque pour les droits et libertés des personnes concernées, auquel cas la notification à la CNIL n'est pas obligatoire, mais doit être documentée en interne.

L'obligation de sécurité s'applique à tout responsable de traitement, sans exception de taille. Ce qui varie, c'est la proportionnalité de la mesure face au risque, pas l'existence de l'obligation elle-même.

Il n'existe pas de liste fermée et officielle. L'évaluation porte sur le caractère adéquat de la mesure au regard du risque et de la sensibilité de la donnée traitée, en tenant compte de la technologie disponible au moment du traitement. Documenter les mesures adoptées et la justification de chaque choix aide à démontrer la bonne foi lors d'un contrôle.

Non, pas à lui seul. Un hébergeur cloud fiable couvre une partie de la sécurité physique et réseau, mais l'entreprise cliente reste responsable du contrôle d'accès, de la politique de conservation et de la réponse aux incidents au sein de sa propre application.

Aucune certification ne garantit à elle seule une conformité légale automatique. Des certifications comme ISO/IEC 27001 aident à démontrer une maturité en sécurité de l'information, mais l'évaluation finale de l'adéquation reste toujours casuistique.

Oui. L'article 32 exige des mesures qui incluent la prévention du risque d'erreur humaine interne, pas seulement d'attaque externe. Une défaillance causée par un salarié ayant partagé un mot de passe de façon inappropriée n'exonère pas l'entreprise de responsabilité si aucune formation, politique ou contrôle technique n'existait pour atténuer ce risque spécifique.

Le bandeau de cookies de votre site traite des données personnelles comme n'importe quel autre système, et mérite la même attention au titre de l'article 32. Commencez gratuitement avec AdOpt et organisez le registre de consentement avec la même rigueur technique que celle déjà appliquée au reste de votre organisation.

• Vie Privée vs Sécurité des Données : Quelle Est la Différence ?
• Sécurité des Données dans le Consentement : Protéger l'Utilisateur de la Collecte à l'Activation