RGPD et sécurité des données : ce que doit faire une PME
L'obligation de sécurité de l'article 32, les documents à tenir et la conduite à tenir en cas de violation, expliqués sans jargon juridique.
L'obligation de sécurité (article 32)
L'article 32 du RGPD impose de mettre en œuvre des mesures techniques et organisationnelles « appropriées » pour garantir un niveau de sécurité adapté au risque : confidentialité, intégrité, disponibilité et résilience des systèmes, capacité de restaurer les données, et tests réguliers de l'efficacité des mesures. Le texte ne liste pas de technologie obligatoire : il demande de proportionner les mesures aux risques et de pouvoir le démontrer.
Ce qu'il faut pouvoir montrer
- Un registre des traitements (article 30) : quelles données, pourquoi, où, combien de temps, avec quels sous-traitants.
- Des mesures de sécurité documentées : contrôle des accès, MFA, chiffrement, sauvegardes, mises à jour, journalisation.
- Des contrats avec vos sous-traitants (article 28) qui encadrent la sécurité et l'usage des données.
- Une procédure en cas de violation : qui détecte, qui décide, qui notifie.
- Une analyse d'impact (AIPD) pour les traitements à risque élevé.
La CNIL publie un guide de la sécurité des données personnelles qui détaille ces mesures de façon pratique.
Violation de données : notifier sous 72 heures
Une violation de données personnelles est une atteinte à la sécurité qui entraîne la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données. Le responsable de traitement doit :
- la documenter dans tous les cas ;
- la notifier à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle est peu susceptible d'engendrer un risque pour les personnes ;
- informer les personnes concernées sans retard injustifié lorsque le risque est élevé pour leurs droits et libertés.
Réflexes d'urgence en cas de rançongiciel : notre guide.
Sanctions
Le RGPD prévoit des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves (article 83). En pratique, la CNIL tient compte de la gravité, de la taille de l'organisme et des efforts de mise en conformité. Au-delà de l'amende, les coûts réels sont l'interruption d'activité, l'image et la perte de confiance des clients.
Ce qu'un audit apporte, et ce qu'il n'apporte pas
Un audit réseau aide à démontrer que vous testez la sécurité de vos systèmes (article 32) : services exposés, chiffrement, configurations. Il fournit des constats techniques et un plan d'action. Il ne vaut ni attestation de conformité RGPD ni audit juridique : pour la conformité complète, rapprochez-vous de votre DPO ou d'un conseil spécialisé.
Questions fréquentes
Une TPE est-elle concernée par le RGPD ?
Oui. Dès qu'une entreprise traite des données personnelles (clients, salariés, prospects), le RGPD s'applique, avec des obligations proportionnées au risque.
Faut-il désigner un DPO ?
Pas systématiquement : c'est obligatoire dans certains cas (par exemple traitement à grande échelle de données sensibles ou suivi régulier à grande échelle). Il peut aussi être désigné volontairement. Consultez les critères de la CNIL.
Quelle différence entre RGPD et NIS2 ?
Le RGPD protège les données personnelles ; NIS2 vise la sécurité des réseaux et la continuité des services. Un incident peut relever des deux. Voir le guide NIS2.
Un audit nous rend-il conformes au RGPD ?
Non. Il documente l'état technique de la sécurité ; la conformité demande aussi registre, contrats, information des personnes, procédures et gouvernance.
Tester la sécurité de vos systèmes
30 minutes pour cadrer votre besoin, sans engagement. Aucun test technique sans votre autorisation écrite.