Protéger les données personnelles face au risque numérique

Les données personnelles sont à la fois un actif et une source de risque. Elles circulent en permanence entre des applications métier, des services en ligne, des prestataires et des supports mobiles, et chaque point de passage est une occasion de perte, de fuite ou de détournement. La plupart des contenus sur le sujet s'arrêtent aux principes — « il faut sécuriser », « il faut se conformer » — sans dire comment. Cette page propose l'inverse : une démarche opérationnelle en quatre temps, adossée au Règlement général sur la protection des données (règlement UE 2016/679, dit RGPD), à la loi Informatique et Libertés et à la doctrine de la CNIL.

Les quatre temps sont les suivants : connaître ses traitements et son exposition réelle, se mettre en conformité de façon structurée, appliquer des mesures de sécurité proportionnées, et savoir réagir dans les délais légaux en cas d'incident. Chacun renvoie à une page dédiée qui en détaille la méthode. Parmi les mesures techniques de base figurent la gestion des accès, les sauvegardes testées, le chiffrement des échanges et le fait de recourir à un VPN pour les accès distants et les réseaux non maîtrisés, afin que les flux ne transitent jamais en clair sur une infrastructure que vous ne contrôlez pas.

Ce qui suit s'adresse aux responsables de traitement de petites structures — entreprises, associations, collectivités — et aux personnes qui prennent en charge la conformité sans être juristes. L'objectif n'est pas de couvrir le RGPD article par article, mais de donner un fil conducteur et des livrables concrets.

Connaître son exposition : la cartographie du risque numérique

On ne protège que ce que l'on a recensé. La première étape est donc un inventaire : quels traitements de données personnelles réalise votre structure (paie, clients, prospects, recrutement, vidéosurveillance, newsletter), quelles catégories de données chacun mobilise, et notamment s'il s'agit de données sensibles au sens de l'article 9 du RGPD (santé, opinions, origine, orientation, données biométriques). Il faut ensuite décrire, pour chaque traitement, les supports (serveurs, postes, mobiles, papier), les flux (qui accède, qui reçoit, où part la donnée), les sous-traitants impliqués et les durées de conservation appliquées.

Cet inventaire alimente le registre des activités de traitement, obligatoire dans la quasi-totalité des cas au titre de l'article 30. Il sert aussi de base à l'évaluation du risque proprement dite : pour chaque traitement, on estime la probabilité qu'un incident survienne et la gravité de ses conséquences pour les personnes concernées — pas seulement pour l'organisation. Le croisement des deux donne une hiérarchie des priorités et un registre des risques que l'on met à jour. Lorsqu'un traitement est susceptible d'engendrer un risque élevé, une analyse d'impact relative à la protection des données (AIPD, article 35) devient obligatoire. La méthode d'inventaire et de cotation, avec un modèle de registre, est détaillée sur la page consacrée à cartographier son risque numérique.

Se mettre en conformité : une démarche en six étapes

La CNIL structure la mise en conformité en six étapes : désigner un pilote — un délégué à la protection des données (DPO) lorsque c'est requis, un référent identifié sinon ; cartographier les traitements ; prioriser les actions à mener ; gérer les risques ; organiser les processus internes ; et documenter l'ensemble. Cette structuration évite l'erreur la plus commune, qui consiste à empiler des mesures techniques sans avoir d'abord posé l'état des lieux.

Le RGPD n'impose pas des outils, il impose des obligations, et laisse le choix des moyens. Les principales sont : tenir le registre (article 30), informer les personnes de façon claire au moment de la collecte (articles 12 à 14), être en mesure de répondre aux demandes d'exercice des droits — accès, rectification, effacement, opposition, portabilité — dans un délai d'un mois (articles 15 à 22), sécuriser les traitements (article 32), notifier les violations (articles 33 et 34), encadrer contractuellement les sous-traitants (article 28), et réaliser une AIPD quand le risque l'exige (article 35).

La conformité n'est pas un état que l'on atteint une fois pour toutes : le principe de responsabilité (accountability) impose de pouvoir démontrer à tout moment, pièces à l'appui, que ces obligations sont respectées. Le détail de chaque étape, avec le livrable attendu et le piège fréquent, figure sur la page dédiée aux six étapes de conformité RGPD.

Sécuriser techniquement : des mesures proportionnées au risque

L'article 32 du RGPD demande des mesures « appropriées » au risque : il n'existe donc pas de liste unique valable pour tous, mais une grille à adapter selon la sensibilité des données et l'exposition du traitement. Un socle commun se dégage néanmoins. Côté gestion des accès : appliquer le principe du moindre privilège (chacun n'accède qu'à ce dont il a besoin), individualiser les comptes, activer l'authentification multifacteur sur les accès sensibles et les accès distants, et revoir les habilitations à chaque mouvement de personnel.

Côté infrastructure : tenir les systèmes à jour, cloisonner le réseau, journaliser les accès et les opérations sensibles — puis relire ces journaux, ce qui est trop souvent négligé —, et disposer de sauvegardes régulières, externalisées et surtout testées, selon une logique de type trois copies sur deux supports dont une hors site. Côté données : chiffrer les postes nomades et les supports amovibles, chiffrer les échanges en transit, et gérer correctement les clés de chiffrement. Enfin, le facteur humain est une mesure de sécurité à part entière : l'hameçonnage, la réutilisation de mots de passe et les erreurs de manipulation sont à l'origine d'une large part des incidents, et une sensibilisation régulière des équipes réduit cette surface. La grille complète, par niveau de sensibilité, est développée sur la page mesures techniques de sécurité des données.

Réagir à une violation : la règle des 72 heures

Une violation de données personnelles, au sens de l'article 4-12 du RGPD, est un incident de sécurité qui entraîne la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données — de façon accidentelle ou illicite. Un rançongiciel qui rend des fichiers indisponibles est une violation, au même titre qu'un envoi de courriel au mauvais destinataire ou qu'un vol d'ordinateur portable.

La séquence est toujours la même : détecter, qualifier, puis décider des notifications. Si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance (article 33) ; si le risque est élevé, les personnes concernées doivent en être informées dans les meilleurs délais (article 34). Toutes les violations, y compris celles qui ne sont pas notifiées, doivent être consignées dans un registre interne des violations, qui doit lui aussi pouvoir être présenté à la CNIL. L'arbre de décision, le contenu exact d'une notification et un modèle de registre sont détaillés sur la page notifier une violation de données personnelles.

Maîtriser la chaîne de sous-traitance et les transferts

Confier des données à un hébergeur, à un logiciel en ligne, à un prestataire de paie ou à une société d'infogérance ne transfère pas la responsabilité : le responsable de traitement répond toujours des données qu'il fait traiter par un tiers. L'article 28 impose un contrat écrit qui prévoit, au minimum, que le sous-traitant n'agit que sur instructions documentées, garantit la confidentialité et la sécurité, n'a recours à un sous-traitant ultérieur qu'avec autorisation, assiste le responsable pour les droits et les violations, et supprime ou restitue les données en fin de contrat.

Lorsque des données quittent l'Union européenne, un encadrement spécifique s'ajoute. Après l'invalidation du Privacy Shield par la Cour de justice de l'Union européenne en 2020 (arrêt Schrems II), les transferts hors UE reposent sur une décision d'adéquation quand elle existe — un nouveau cadre encadre depuis 2023 les transferts vers les entreprises américaines certifiées — ou, à défaut, sur des clauses contractuelles types accompagnées d'une analyse d'impact du transfert et, si nécessaire, de mesures supplémentaires. Choisir un hébergement dans l'Union, ou un prestataire non soumis à une législation extraterritoriale, simplifie considérablement cette analyse. La liste des clauses à vérifier et une grille de questions à poser avant de signer figurent sur la page encadrer ses sous-traitants et les transferts hors UE.

Ce que la protection des données apporte réellement

Le premier bénéfice est la réduction du risque. Risque de sanction d'abord — les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial —, mais surtout risque opérationnel : le coût réel d'un incident tient à l'interruption d'activité, à la reconstitution des données, à la gestion de crise et à la perte de clients. Une structure qui a cartographié ses traitements, sécurisé ses accès et préparé sa réponse aux incidents encaisse un incident bien mieux qu'une structure qui découvre son exposition le jour de l'attaque.

Le second bénéfice est la confiance. Des usagers, des clients et des partenaires de mieux en mieux informés attendent des garanties, et la capacité à démontrer sa conformité devient un critère dans les appels d'offres et les partenariats. Enfin, une donnée dont on connaît l'origine, la finalité et la durée de vie est une donnée que l'on peut exploiter sereinement : la gouvernance des données n'est pas seulement une contrainte défensive, c'est une condition d'un usage maîtrisé.

FAQ

Quelle est la définition du risque numérique ?

Le risque numérique désigne l'ensemble des événements susceptibles de compromettre la disponibilité, l'intégrité ou la confidentialité des données et des systèmes : cyberattaque, panne, erreur humaine, défaillance d'un prestataire, vol de matériel. Pour les données personnelles, on l'évalue en fonction de la gravité des conséquences pour les personnes concernées, pas seulement pour l'organisation.

Faut-il désigner un délégué à la protection des données ?

La désignation d'un DPO est obligatoire pour les organismes publics, et pour les organismes dont l'activité principale conduit à un suivi régulier et systématique à grande échelle des personnes, ou au traitement à grande échelle de données sensibles. En dehors de ces cas, elle reste recommandée, mais une structure peut se limiter à identifier un référent interne clairement désigné.

Quelles données personnelles sont les plus exposées ?

Les données les plus recherchées sont les identifiants et mots de passe, les coordonnées bancaires, les pièces d'identité et les données de contact, qui alimentent la fraude et l'usurpation d'identité. Les données sensibles — santé notamment — appellent une vigilance renforcée en raison de la gravité d'une divulgation.

Comment savoir si des données ont été compromises ?

Les signaux sont la présence de comptes ou de connexions inconnus dans les journaux, des opérations inhabituelles, des alertes d'outils de sécurité, des fichiers chiffrés ou renommés, ou le signalement d'un tiers. La détection repose sur une journalisation activée et relue régulièrement ; sans journaux, une compromission peut passer inaperçue pendant des mois.

Quel est le délai pour réagir à une violation ?

La notification à la CNIL doit intervenir dans les 72 heures suivant la prise de connaissance de la violation, lorsqu'un risque pour les droits et libertés existe. L'information des personnes concernées, lorsqu'elle est requise, doit se faire dans les meilleurs délais. Toute violation, notifiée ou non, est inscrite au registre interne.