Mesures techniques et organisationnelles (MTO) : définition

Ce qu'il faut comprendre

L'expression revient dans plusieurs articles du RGPD. L'article 24 impose au responsable de mettre en œuvre des mesures appropriées pour garantir et démontrer sa conformité. L'article 25 en fait la base de la protection des données dès la conception et par défaut. L'article 32 les applique à la sécurité, en tenant compte de l'état des connaissances, des coûts, de la nature du traitement et des risques.

Les mesures techniques sont, par exemple, le chiffrement, la pseudonymisation, la gestion des droits d'accès, l'authentification forte, la journalisation et les sauvegardes. Les mesures organisationnelles sont les procédures, la charte informatique, la formation des équipes, la clause de confidentialité, la gestion des départs et le contrôle des prestataires. Les deux catégories se complètent : un mot de passe robuste ne protège rien s'il est noté sur l'écran.

Le RGPD ne fournit pas de liste fermée. Il impose une démarche proportionnée : un fichier d'adhérents d'un club de lecture n'exige pas les mêmes protections qu'un dossier de soins. Le choix des mesures doit être documenté. Erreur fréquente : tout miser sur la technique. La plupart des incidents viennent d'erreurs humaines, d'où l'importance de la sensibilisation et des procédures.

Exemple concret

Un cabinet comptable de douze salariés renforce la sécurité des dossiers de ses clients. Côté technique, il active l'authentification à deux facteurs sur la messagerie, chiffre les ordinateurs portables et teste la restauration de ses sauvegardes. Côté organisationnel, il rédige une procédure de départ des salariés, forme l'équipe à l'hameçonnage et vérifie les clauses de son prestataire informatique.

Textes de référence

• RGPD, art. 24
• RGPD, art. 25
• RGPD, art. 32

Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.