L'article 32 du RGPD impose à toute organisation des mesures techniques et organisationnelles « appropriées » pour protéger les données personnelles qu'elle traite. Le texte ne dresse aucune liste fermée : il attend un niveau de sécurité des données adapté au risque, et la capacité de le démontrer. Pour un dirigeant de PME, la difficulté est de savoir quoi mettre en place et quoi conserver comme preuve.
Ce guide organise les mesures attendues en quatre familles (organisationnelles, techniques, physiques, sous-traitants), à partir des 25 fiches du guide CNIL édition 2024 : pour chacune, une liste de contrôle, les erreurs relevées par la CNIL dans ses sanctions récentes et les pièces qui prouvent vos mesures. La gestion d'une violation déjà survenue est traitée dans le guide Réagir à une violation de données, le volet pénal dans l'article Vol de données en entreprise.
Chapitre 01 — L'obligation de l'article 32
Ce que l'article 32 du RGPD exige de votre entreprise
Que demande exactement l'article 32 du RGPD ?
L'article 32 oblige le responsable du traitement et le sous-traitant à garantir un niveau de sécurité adapté au risque. Il cite des exemples (pseudonymisation, chiffrement, confidentialité, intégrité, disponibilité, résilience, restauration, tests réguliers) sans les rendre tous obligatoires. Le niveau attendu dépend des données, du contexte et des conséquences pour les personnes.
« Le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. »
L'article 5, paragraphe 2, et l'article 24 imposent de pouvoir démontrer la conformité : une mesure non documentée est, pour un contrôleur, une mesure inexistante. L'article 83, paragraphe 4, plafonne l'amende pour manquement à l'article 32 à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (texte sur EUR-Lex).
Le référentiel pratique est le Guide de la sécurité des données personnelles de la CNIL (édition 2024, 25 fiches).
Chapitre 02 — Mesures organisationnelles
Les mesures organisationnelles : pilotage, personnes, habilitations
C'est une famille souvent négligée, alors qu'elle coûte peu. Le guide CNIL ouvre par une fiche « Piloter la sécurité » : impliquer la direction, tenir un plan d'action, contrôler l'effectivité des mesures, avec une revue au moins annuelle. La sécurité des données se pilote comme tout autre risque : un responsable, un calendrier, des comptes rendus.
S'y ajoutent la charte informatique, la sensibilisation et la gestion des habilitations : profils séparant les tâches, validation de chaque demande d'accès par un responsable, retrait des droits dès qu'ils ne sont plus justifiés, revue annuelle.
Pilotage
Personnes et accès
Source : décision France Travail, cnil.fr.
Chapitre 03 — Mesures techniques
Les mesures techniques : authentification, traces, sauvegardes
La CNIL attend d'abord des précautions élémentaires, pas des outils avancés : authentifier, maintenir à jour, tracer, sauvegarder, chiffrer. Le tableau met chaque précaution en regard d'une défaillance relevée par la CNIL (fiche ou sanction).
| Mesure | Précaution attendue (guide CNIL 2024) | Défaillance relevée par la CNIL |
|---|---|---|
| Mots de passe | Identifiant unique, aucun compte partagé, 12 caractères et quatre types de caractères quand le mot de passe est la seule mesure, stockage sous forme d'empreinte | Mots de passe par défaut conservés, stockage en clair, hachage obsolète |
| Accès distants | Multifacteur avec deux facteurs réellement distincts, VPN pour les accès externes | Hôpital privé de la Loire (3 septembre 2026, 500 000 euros) : ni VPN ni multifacteur pour les utilisateurs externes |
| Journalisation | Journaux des consultations et modifications, conservés six mois à un an, analysés pour détecter les anomalies | France Travail : journalisation insuffisante pour détecter des comportements anormaux |
| Sauvegardes | Une copie sur un site distinct, une copie hors ligne, restauration testée | Sauvegardes sur le même système que les données, jamais testées |
| Nomades | Chiffrement des portables et supports amovibles, correctifs appliqués sans délai | Postes non mis à jour, supports non chiffrés |
À noter : la CNIL ne demande plus de renouvellement périodique du mot de passe pour les simples utilisateurs, et une vérification en deux étapes par un seul canal ne vaut pas multifacteur. Sources : guide CNIL 2024 (PDF) et décision Hôpital privé de la Loire.
Chapitre 04 — Locaux et sous-traitants
Sécurité physique et sous-traitants : les deux familles oubliées
Deux familles souvent oubliées, auxquelles le guide CNIL consacre une fiche chacune.
Sécuriser les locaux
La fiche « Protéger les locaux » demande des portes verrouillées, une alarme vérifiée, des zones distinguées selon le risque, des visiteurs accompagnés, des clés et codes protégés. Erreurs signalées : documents confidentiels laissés visibles, accès aux zones sensibles non tracés. Pour une PME : armoire fermée pour le papier, bureau rangé le soir, baie informatique hors de portée des visiteurs.
Encadrer les sous-traitants
L'article 28 impose de ne recourir qu'à des sous-traitants présentant des « garanties suffisantes » et d'encadrer la relation par un contrat écrit (texte sur cnil.fr). La fiche « Gérer la sous-traitance » précise ce que la sécurité des données confiée à un tiers exige : clauses sur la confidentialité, l'authentification, la destruction en fin de contrat, les incidents, et un droit de vérification. Erreurs pointées : démarrer sans contrat conforme, utiliser un service en nuage sans garantie sur la localisation des données, ignorer les sous-traitants de vos sous-traitants.
- 1Inventorier — Listez tous les prestataires qui accèdent à des données personnelles : hébergeur, logiciels, paie, maintenance.
- 2Qualifier — Obtenez la description de leurs mesures de sécurité et la liste de leurs propres sous-traitants.
- 3Contractualiser — Vérifiez la présence des mentions de l'article 28, paragraphe 3, dont l'assistance en cas de violation.
- 4Contrôler — Prévoyez une vérification annuelle, par questionnaire ou audit, et conservez-en la trace.
Le CEPD le rappelle : le sous-traitant est tenu aux mêmes obligations de sécurité que vous (page PME du CEPD).
Chapitre 05 — Documenter et prouver
Documenter vos mesures : la preuve de conformité
Comment prouver vos mesures de sécurité en cas de contrôle ?
Vous prouvez vos mesures par des documents datés et tenus à jour : politique de sécurité, registre, revues d'habilitations, comptes rendus de tests, contrats. L'article 32, paragraphe 3, ajoute qu'un code de conduite ou une certification approuvés peuvent servir d'élément de démonstration, sans dispenser des mesures elles-mêmes.
La preuve de la sécurité des données RGPD tient dans un dossier que vous pouvez produire rapidement.
| Mesure | Pièce justificative à conserver |
|---|---|
| Pilotage | Politique de sécurité signée par la direction, plan d'action daté, compte rendu de revue annuelle |
| Registre et risques | Registre avec description des mesures (article 30), analyse de risques et suivi de mise en œuvre |
| Habilitations et sensibilisation | Matrice des profils, revue annuelle, charte, feuilles d'émargement |
| Sauvegardes et incidents | Comptes rendus de tests de restauration, registre des violations (article 33, paragraphe 5) |
| Sous-traitants | Contrats conformes à l'article 28, questionnaires ou rapports d'audit annuels |
Attention : des mesures identifiées dans une analyse d'impact mais non appliquées aggravent la responsabilité au lieu de l'atténuer. Pour inscrire la sécurité des données dans une démarche d'ensemble, le guide Réussir sa conformité RGPD en PME présente les autres chantiers.
À retenir
- L'article 32 impose des mesures adaptées au risque, pas une liste fixe.
- Les précautions élémentaires passent avant les outils avancés : mots de passe, habilitations, mises à jour, sauvegardes testées, journaux.
- Les sanctions récentes de la CNIL visent des failles simples : authentification faible, droits trop larges, absence de détection.
- Locaux et sous-traitants font partie de l'obligation : contrat conforme à l'article 28 et contrôle annuel.
- Chaque mesure se prouve par une pièce datée ; une mesure décidée mais non appliquée se retourne contre vous.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- Sécurité des donnéesLa sécurité des données désigne l'ensemble des mesures techniques et organisationnelles qui protègent les données personnelles contre la perte, la destruction, l'altération, la divulgation et l'accès non autorisé. C'est une obligation du RGPD.
- Intégrité et confidentialitéL'intégrité et la confidentialité forment le principe de sécurité du RGPD : les données doivent être protégées contre l'accès non autorisé, la perte, la destruction ou l'altération, par des mesures techniques et organisationnelles appropriées.
- Mesures techniques et organisationnellesLes mesures techniques et organisationnelles sont l'ensemble des moyens, informatiques et humains, qu'un organisme met en place pour protéger les données personnelles et garantir un niveau de sécurité adapté au risque.
- Registre des traitementsLe registre des traitements est le document, tenu par écrit, qui recense l'ensemble des traitements de données personnelles d'un organisme : finalités, catégories de données et de personnes, destinataires, durées de conservation et mesures de sécurité.
- Sanction RGPDUne sanction RGPD est une mesure prononcée par une autorité de contrôle, en France la formation restreinte de la CNIL, contre un organisme qui ne respecte pas le règlement. Elle peut aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
À vous de jouer
La conformité n'attend pas le prochain contrôle.
Vous avez la méthode. Pour la mettre en œuvre sans y passer des semaines, faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et repartir avec un plan d'action clair.
