Quelles mesures de sécurité le RGPD impose-t-il ?

Une obligation de moyens adaptée au risque

L'article 32 du RGPD impose au responsable du traitement et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes. Le texte cite quatre exemples : la pseudonymisation et le chiffrement, des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes, des moyens de rétablir la disponibilité des données en cas d'incident, et une procédure pour tester et évaluer régulièrement l'efficacité des mesures. Une petite structure n'est pas tenue aux mêmes moyens qu'une banque, mais elle doit pouvoir justifier ses choix.

Les mesures de base que la CNIL attend

Le guide de la sécurité des données personnelles publié par la CNIL, régulièrement actualisé, et le guide d'hygiène informatique de l'ANSSI convergent vers un socle de mesures que tout organisme devrait avoir mis en place. Leur absence est régulièrement relevée dans les sanctions, y compris contre de petites entreprises, parce qu'elles sont peu coûteuses au regard du risque qu'elles couvrent.

Les mots de passe

La CNIL a mis à jour en 2022 sa recommandation sur les mots de passe : elle privilégie la longueur et la complexité adaptées au contexte plutôt que des renouvellements imposés trop fréquents, recommande l'usage d'un gestionnaire de mots de passe et impose de ne jamais stocker les mots de passe en clair côté serveur, mais sous forme hachée et salée avec un algorithme reconnu. Pour les accès les plus sensibles, comme la messagerie d'un dirigeant, l'administration d'un site ou l'accès distant au réseau, la double authentification est désormais le niveau attendu.

Les sauvegardes

Une sauvegarde n'a de valeur que si l'on sait restaurer les données. La règle dite 3-2-1 (trois copies, sur deux supports différents, dont une hors site) reste un bon repère, complétée par une copie hors ligne ou immuable pour résister aux rançongiciels, qui chiffrent aussi les sauvegardes accessibles depuis le réseau. Les tests de restauration doivent être réguliers et documentés.

La sécurité organisationnelle

Beaucoup de violations de données ne viennent pas d'un piratage sophistiqué mais d'une erreur humaine : un courriel envoyé au mauvais destinataire, un tableur partagé par un lien public, un ordinateur oublié dans un train, des documents jetés sans être détruits. Les mesures organisationnelles comptent donc autant que la technique : une charte informatique connue des salariés, une procédure d'arrivée et de départ qui crée et supprime les accès, des règles pour le télétravail et les appareils personnels, une procédure en cas d'incident et une sensibilisation régulière. Le blog consacre un article à la sécurité en télétravail et RGPD.

Les prestataires informatiques

Lorsque l'informatique est confiée à un prestataire, celui-ci devient sous-traitant et doit lui aussi garantir une sécurité adaptée, mais le responsable reste tenu de vérifier les garanties offertes et de prévoir les bonnes clauses. Il est utile de demander par écrit les mesures appliquées (sauvegardes, supervision, mises à jour, accès à distance, localisation des données) et la procédure en cas d'incident. L'article du blog sur le prestataire informatique sous-traitant RGPD propose une liste de vérifications.

Adapter les mesures au risque

La CNIL recommande d'évaluer les risques traitement par traitement : un fichier de contacts professionnels n'appelle pas les mêmes précautions qu'un dossier médical ou qu'une base de données de clients contenant des données bancaires. Pour les données sensibles, les volumes importants ou les traitements exposés sur internet, il faut aller plus loin : chiffrement des bases, cloisonnement du réseau, tests d'intrusion, supervision, plan de continuité. L'analyse d'impact fournit le cadre de cette évaluation pour les traitements à risque élevé.

Ce qui arrive en cas de faille

Une faille de sécurité qui touche des données personnelles constitue une violation de données au sens du RGPD. Elle doit être documentée, notifiée à la CNIL dans les 72 heures si elle présente un risque pour les personnes et, si ce risque est élevé, communiquée aux personnes concernées. Les sanctions prononcées par la CNIL pour défaut de sécurité visent fréquemment des situations où des mesures élémentaires faisaient défaut : mots de passe en clair, absence de chiffrement, accès sans authentification, absence de journalisation. Le guide des violations de données détaille la procédure à suivre.

Ce que dit précisément l'article 32

L'article 32 impose au responsable et au sous-traitant de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes. Le texte cite plusieurs mesures à titre d'exemple : la pseudonymisation et le chiffrement, des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes, des moyens permettant de rétablir la disponibilité des données dans des délais appropriés en cas d'incident, et une procédure visant à tester, analyser et évaluer régulièrement l'efficacité des mesures. L'obligation est donc à la fois proportionnée et évolutive : les mesures attendues aujourd'hui ne sont pas celles de 2018, car l'état de l'art progresse et les menaces se transforment.

Les menaces les plus courantes

Le panorama des menaces publié chaque année par l'ANSSI et les statistiques de cybermalveillance.gouv.fr montrent que les petites structures sont exposées aux mêmes attaques que les grandes. L'hameçonnage, qui consiste à envoyer un faux message pour dérober des identifiants ou faire installer un logiciel malveillant, reste la porte d'entrée la plus fréquente. Les rançongiciels chiffrent les données et exigent une rançon, souvent après avoir exfiltré les fichiers pour menacer de les publier. Le piratage de comptes, facilité par la réutilisation des mots de passe, permet d'accéder aux messageries et aux outils en ligne. Les fraudes au président ou au faux fournisseur exploitent les informations disponibles pour détourner des paiements. S'y ajoutent les erreurs humaines, comme l'envoi d'un fichier au mauvais destinataire ou la perte d'un ordinateur non chiffré, qui représentent une part importante des violations notifiées à la CNIL.

La double authentification devient la norme

La CNIL considère désormais que l'authentification multifacteur fait partie des mesures attendues pour l'accès aux outils exposés sur internet, en particulier les messageries, les outils de travail à distance et les comptes d'administration. Plusieurs sanctions ont relevé son absence comme un manquement à l'article 32, notamment pour des accès à distance ayant permis des intrusions. Elle combine un élément que l'utilisateur connaît, comme un mot de passe, et un élément qu'il possède, comme un téléphone avec une application d'authentification ou une clé physique. Les codes reçus par SMS offrent une protection moindre, mais restent préférables à un simple mot de passe. Pour une petite entreprise, activer la double authentification sur la messagerie et les principaux services en ligne est l'une des mesures les plus efficaces au regard de son coût quasi nul.

La journalisation

La journalisation consiste à enregistrer les accès et les actions réalisées sur un système : connexions, consultations, modifications, suppressions, exports. Elle permet de détecter une utilisation anormale, de reconstituer les faits après un incident et de responsabiliser les utilisateurs. La CNIL a adopté en 2021 une recommandation sur la journalisation, qui préconise de conserver les traces pendant une durée comprise entre six mois et un an, de les protéger contre la modification et de les analyser régulièrement, de façon automatisée lorsque c'est possible. Pour les données sensibles, comme les dossiers médicaux, la journalisation des consultations est indispensable et doit permettre de savoir qui a consulté quel dossier et quand.

Le chiffrement

Le chiffrement rend les données illisibles sans la clé de déchiffrement. Il s'applique aux données au repos, sur les disques des ordinateurs portables, les serveurs, les sauvegardes et les supports amovibles, et aux données en transit, par l'usage systématique du protocole HTTPS pour les sites et les applications, de connexions sécurisées pour les échanges de fichiers et de messageries chiffrées pour les informations sensibles. Le chiffrement présente un double intérêt : il protège les données en cas de vol ou d'intrusion, et il peut dispenser d'informer les personnes en cas de violation, puisque l'article 34 prévoit cette exemption lorsque les données sont incompréhensibles pour toute personne non autorisée. Les systèmes d'exploitation récents intègrent des fonctions de chiffrement des disques qu'il suffit d'activer.

Les mises à jour

De nombreuses attaques exploitent des failles connues pour lesquelles un correctif existe depuis des semaines ou des mois. Maintenir à jour les systèmes d'exploitation, les logiciels, les navigateurs, les extensions, les équipements réseau et les sites internet est donc une mesure élémentaire. Les mises à jour automatiques doivent être activées lorsque c'est possible, et un inventaire des équipements permet de vérifier qu'aucun n'est oublié. Les logiciels et systèmes qui ne sont plus maintenus par leur éditeur, comme d'anciennes versions de systèmes d'exploitation ou de gestionnaires de contenu, doivent être remplacés, car leurs failles ne seront plus corrigées.

La sécurité physique

La sécurité ne se limite pas à l'informatique. Les locaux qui abritent des serveurs, des archives ou des dossiers papier doivent être protégés par des serrures, un contrôle d'accès ou une alarme. Les documents contenant des données personnelles ne doivent pas rester sur les bureaux ou dans les imprimantes partagées. Les écrans doivent être verrouillés lors des absences, même brèves, et orientés de façon à ne pas être visibles du public. Les dossiers papier destinés à la destruction doivent être détruits par broyage ou confiés à un prestataire spécialisé, et non jetés dans une poubelle ordinaire. La CNIL a déjà sanctionné des organismes dont les dossiers avaient été retrouvés dans des conteneurs accessibles au public.

Les référentiels de sécurité

Plusieurs référentiels aident à structurer la démarche. Le guide de la sécurité des données personnelles de la CNIL, mis à jour en 2024, présente vingt-cinq fiches thématiques assorties de précautions élémentaires. Le guide d'hygiène informatique de l'ANSSI liste quarante-deux mesures pour les organisations. La norme ISO/IEC 27001 propose un système de management de la sécurité de l'information, et la norme ISO/IEC 27701 l'étend à la protection de la vie privée. Pour les structures soumises à la directive NIS 2, qui renforce les obligations de cybersécurité de nombreuses entités dans des secteurs essentiels et importants, les mesures exigées au titre de cette directive contribuent aussi à la conformité à l'article 32.

Le télétravail et les appareils personnels

Le télétravail a élargi le périmètre à protéger. Les postes utilisés à domicile doivent bénéficier du même niveau de sécurité qu'au bureau : chiffrement, mises à jour, antivirus, verrouillage automatique. L'accès au système d'information doit passer par une connexion sécurisée, comme un VPN, avec double authentification. L'usage d'appareils personnels pour le travail, parfois désigné par l'acronyme anglais BYOD, doit être encadré par une charte qui précise les conditions de sécurité et le cloisonnement entre données personnelles et professionnelles. Les salariés doivent être sensibilisés aux risques propres au domicile, comme l'usage d'un réseau Wi-Fi mal protégé ou la confidentialité des appels passés en présence de tiers.

Tester ses mesures

L'article 32 exige une procédure pour tester, analyser et évaluer régulièrement l'efficacité des mesures. Concrètement, il peut s'agir de vérifier que les sauvegardes peuvent effectivement être restaurées, de faire réaliser un test d'intrusion sur un site ou une application, de mener une campagne de faux hameçonnage, de revoir périodiquement les droits d'accès pour supprimer ceux qui ne sont plus nécessaires, ou de faire auditer sa sécurité par un prestataire. Ces tests révèlent souvent des failles insoupçonnées, comme des comptes d'anciens salariés encore actifs ou des sauvegardes incomplètes, et permettent de les corriger avant qu'elles ne soient exploitées.

Gérer les habilitations

La gestion des habilitations consiste à donner à chaque utilisateur l'accès aux seules données dont il a besoin pour ses missions, selon le principe du moindre privilège. Elle suppose des profils d'accès définis par fonction, des comptes nominatifs plutôt que partagés, une procédure d'attribution validée par un responsable, une revue périodique des droits et la suppression immédiate des accès lors d'un départ ou d'un changement de poste. Les comptes d'administration, qui permettent de modifier la configuration des systèmes, doivent être réservés à quelques personnes, distincts des comptes utilisés au quotidien et protégés par une authentification forte. Les contrôles de la CNIL révèlent régulièrement des comptes d'anciens salariés toujours actifs ou des accès génériques partagés par toute une équipe, qui empêchent de savoir qui a fait quoi.

Les sauvegardes, dernier rempart

Les sauvegardes permettent de restaurer les données après une panne, une erreur ou une attaque. La règle dite « 3-2-1 » recommande de conserver trois copies des données, sur deux supports différents, dont une hors site. Face aux rançongiciels, qui cherchent à chiffrer aussi les sauvegardes accessibles depuis le réseau, au moins une copie doit être déconnectée ou protégée contre la modification. Les sauvegardes doivent elles-mêmes être chiffrées, car elles contiennent toutes les données, et testées régulièrement par des restaurations réelles : une sauvegarde jamais restaurée est une sauvegarde dont on ignore si elle fonctionne. Enfin, la durée de rétention des sauvegardes doit être cohérente avec les durées de conservation : une donnée supprimée de la base active ne devrait pas rester indéfiniment dans les sauvegardes.

Sécuriser son site internet

Le site internet est souvent le point d'exposition le plus visible d'une organisation. Il doit être servi exclusivement en HTTPS, avec un certificat à jour. Le gestionnaire de contenu, ses extensions et ses thèmes doivent être mis à jour sans délai, car les failles des extensions populaires sont rapidement exploitées par des robots. Les formulaires doivent être protégés contre les injections et les envois automatisés. Les comptes d'administration doivent utiliser des mots de passe robustes et la double authentification. Les mots de passe des utilisateurs, s'il existe un espace client, doivent être stockés sous forme hachée avec un algorithme adapté, jamais en clair. Les sauvegardes du site et de sa base de données doivent être régulières et externalisées. Un site vitrine minimaliste, sans base de données exposée, réduit d'ailleurs considérablement la surface d'attaque.

Un plan de sécurité réaliste, appliqué et réévalué chaque année, vaut mieux qu'une liste de mesures ambitieuses jamais déployées.