L’article 32 du RGPD tient en quelques lignes, mais il commande toute votre conformite. Il n’impose pas une securite absolue. Il impose des mesures appropriees au risque, et la capacite de le demontrer a tout moment.
Que dit exactement l’article 32 du RGPD ?
Le texte demande au responsable du traitement et au sous-traitant de mettre en oeuvre des mesures techniques et organisationnelles appropriees.
Ces mesures doivent garantir un niveau de securite adapte au risque encouru par les personnes concernees.
L’article cite quatre reperes concrets : la pseudonymisation, le chiffrement, la disponibilite des donnees et des tests reguliers d’efficacite.
Autrement dit, la securite n’est pas une case a cocher. C’est un equilibre a tenir dans la duree, traitement par traitement.
Pourquoi parle-t-on d’une obligation de moyens ?
La securite informatique absolue n’existe pas. Le RGPD ne vous la demande donc pas.
Il vous demande d’agir en professionnel diligent, selon l’etat des connaissances et le cout de mise en oeuvre.
Une TPE de trois salaries et un hopital n’ont pas les memes obligations concretes. Le curseur bouge avec le risque.
Ce raisonnement par le risque est le coeur de la methode et rejoint les grands principes du RGPD. Plus les donnees sont sensibles, plus les mesures attendues sont fortes.
Quelles mesures techniques et organisationnelles prevoir ?
Les mesures techniques touchent aux outils. Les mesures organisationnelles touchent aux comportements et aux procedures.
Les deux sont indissociables. Un chiffrement parfait ne sert a rien si le mot de passe est colle sur un post-it.
| Mesures techniques | Mesures organisationnelles |
|---|---|
| Chiffrement des postes et des sauvegardes | Politique de mots de passe robuste |
| Gestion fine des habilitations | Sensibilisation reguliere des salaries |
| Journalisation des acces | Procedure de gestion des incidents |
| Mises a jour et correctifs de securite | Clauses de securite dans les contrats |
| Sauvegardes testees et cloisonnees | Charte informatique signee |
Cette liste n’est pas exhaustive. Elle se construit apres une analyse de risque propre a chaque traitement, jamais copiee d’un modele voisin.
Choisir les bonnes mesures et les tenir a jour exige une veille constante sur les menaces. Confier ce pilotage a un DPO externalise qui suit votre securite au quotidien vous evite les angles morts et cadre votre budget conformite.
Comment prouver que l’on respecte l’article 32 ?
C’est le point le plus souvent oublie. L’article 32 se lit avec le principe d’accountability, celui de la preuve permanente.
Vous devez pouvoir documenter chaque choix de securite et la raison qui le justifie.
En cas de controle ou de violation de donnees a notifier sous 72 heures, l’absence de preuve pese autant que l’absence de mesure.
Constituez donc un dossier vivant, mis a jour a chaque evolution de votre systeme d’information.
- Le registre des traitements a jour, avec les mesures de securite par traitement
- La cartographie des habilitations et des acces
- Les rapports de tests d’intrusion et d’audits
- Les preuves de sensibilisation des equipes
- Les contrats de sous-traitance et clauses de securite associees
Ces documents forment votre dossier de preuve. Ils transforment une obligation abstraite en demarche verifiable devant la CNIL.
FAQ
L’article 32 s’applique-t-il aussi aux sous-traitants ?
Oui. L’article 32 vise expressement le responsable du traitement et le sous-traitant. Chacun doit mettre en oeuvre des mesures de securite adaptees. Le contrat de sous-traitance, ou DPA, precise les engagements techniques du prestataire. Le donneur d’ordre reste toutefois tenu de choisir un sous-traitant offrant des garanties suffisantes.
Le chiffrement est-il obligatoire selon l’article 32 ?
Non, le chiffrement n’est pas impose dans tous les cas. L’article 32 le cite comme un exemple de mesure possible, pas comme une regle generale. Son opportunite depend du risque. Pour des donnees sensibles ou massives, son absence sera cependant tres difficile a justifier devant la CNIL.
Que risque-t-on en cas de non-respect de l’article 32 ?
Le non-respect expose a des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Au-dela de l’amende, une faille non maitrisee genere une perte de confiance durable, des plaintes des personnes concernees et une atteinte reelle a l’image de l’organisation.
Comment savoir si mes mesures sont appropriees ?
Une mesure est appropriee quand elle reste proportionnee au risque identifie pour les personnes. Realisez une analyse de risque par traitement, comparez vos pratiques aux referentiels de la CNIL et de l’ANSSI, puis reevaluez regulierement. Documenter cette demarche est la meilleure preuve de son serieux.
