Lorsqu’on parle de conformité au Règlement Général sur la Protection des Données (RGPD), on pense immédiatement à la protection des données personnelles, à la sécurité des systèmes d’information et au respect des droits des individus. Pourtant, un aspect souvent négligé mérite une attention croissante : la continuité d’activité. En 2025, cet enjeu prend une importance accrue, notamment avec les nouvelles attentes des autorités de contrôle en matière de résilience opérationnelle et la montée des exigences issues du règlement européen DORA (Digital Operational Resilience Act), qui influence désormais les pratiques de nombreux secteurs, y compris ceux des Services de Prévention et de Santé au Travail (SPST).
Le RGPD n’impose pas explicitement la mise en place d’un Plan de Continuité d’Activité (PCA), mais il en souligne la nécessité à travers son article 32, qui exige des responsables de traitement et de leurs sous-traitants qu’ils garantissent un niveau de sécurité approprié. Cet article mentionne la capacité à assurer en permanence la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes et des services de traitement, ainsi que la possibilité de restaurer l’accès aux données personnelles en temps opportun en cas d’incident. Ces exigences démontrent que le RGPD ne se limite pas à la prévention des risques : il valorise aussi la préparation à la gestion de crise et la reprise d’activité.
En 2025, cette approche proactive devient incontournable. L’augmentation des cyberattaques, les pannes d’infrastructures cloud et les nouvelles obligations de traçabilité imposent aux organisations de revoir leurs dispositifs de continuité. Un PCA n’est donc plus seulement un outil de gestion de crise, mais un pilier de la conformité et de la confiance numérique.
Un Plan de Continuité d’Activité a pour objectif de permettre à une organisation de poursuivre ses missions essentielles malgré une perturbation majeure. Qu’il s’agisse d’une cyberattaque, d’une panne électrique ou d’un incident environnemental, il garantit la disponibilité des services critiques et la protection des données personnelles. En assurant cette continuité, le PCA limite les interruptions d’activité, réduit les pertes financières et préserve la réputation de l’organisation. En 2025, il contribue également à répondre aux nouvelles exigences de résilience numérique introduites dans le cadre européen.
La résilience représente aujourd’hui la capacité d’une structure à s’adapter rapidement à un incident tout en maintenant la conformité réglementaire. Dans le cadre du RGPD, cela signifie pouvoir rétablir les services essentiels sans compromettre la sécurité ou la confidentialité des données. Un PCA bien conçu devient donc un outil stratégique de gouvernance de la donnée et de conformité continue.
Pour bâtir un PCA efficace, il est nécessaire de réaliser une analyse d’impact sur les activités (Business Impact Analysis – BIA), d’identifier les processus critiques, d’établir des stratégies de continuité et des plans de réponse aux incidents, puis de définir des procédures de communication interne et externe. En 2025, la dimension « test et audit » de ces plans est renforcée : les organismes doivent désormais justifier la mise à jour régulière de leurs PCA et documenter les retours d’expérience après chaque incident.
Deux approches peuvent être adoptées pour élaborer un PCA. La première, dite simplifiée, consiste à se concentrer sur les éléments essentiels pour résister à un choc et rétablir rapidement l’activité. Cette méthode est adaptée aux structures de taille réduite ou aux SPST disposant de ressources limitées. Elle permet d’assurer un retour à la normale rapide mais reste limitée en matière de vision globale et de pérennité.
La seconde, la démarche complète, s’intègre dans une politique globale de gestion des risques. Elle consiste à identifier les scénarios de crise possibles, à hiérarchiser les priorités, à évaluer les probabilités et les impacts, et à justifier les choix techniques et budgétaires auprès de la direction. Cette approche plus stratégique offre une vision d’ensemble, favorise la justification des investissements et évite les redondances.
En 2025, l’intégration du PCA dans la gouvernance RGPD devient une bonne pratique reconnue par les autorités de contrôle et les organismes d’accréditation. Les SPST, en particulier, sont invités à formaliser leur stratégie de continuité au même titre que leur registre de traitement ou leur politique de sécurité. Cette évolution reflète une maturité croissante du secteur face aux défis numériques et à la responsabilité accrue en matière de données de santé.
Ainsi, bien que le RGPD ne mentionne toujours pas expressément le Plan de Continuité d’Activité, son application en 2025 ne peut être pleinement conforme sans une réflexion approfondie sur la résilience organisationnelle. Un PCA robuste n’est plus un simple outil technique, mais une composante essentielle de la conformité et de la confiance numérique.
SPSTi DPO PARTAGE accompagne désormais les SPST dans la conception et la mise à jour de leurs PCA, en intégrant les dernières exigences 2025 en matière de résilience, de documentation et de sécurité opérationnelle.
