Dans cet article
Pour l'infrastructure IT, le RGPD se résume à dix mesures techniques et organisationnelles qu'une entreprise de plus de 10 postes peut appliquer et prouver. Cartographier les données, limiter les accès, activer la MFA, chiffrer, réaliser et tester des sauvegardes, mettre à jour, journaliser les accès, contractualiser avec les sous-traitants, disposer d'un plan à 72 heures et faire une revue annuelle. Ce texte ne couvre que le volet technique ; la base légale des traitements, les consentements et les droits des personnes concernées relèvent de votre avocat ou de votre délégué à la protection des données.
Quatre faits à retenir
- Article 32 Il exige des mesures techniques concrètes : chiffrement, confidentialité, capacité à rétablir les données et tests réguliers.
- 72 heures Délai de principe pour notifier une violation de données personnelles à la CNPD (l'autorité portugaise de protection des données), à compter de la prise de connaissance par l'entreprise, via le formulaire prévu.
- Documentation obligatoire Toutes les violations sont consignées, même celles qui ne sont pas notifiées.
- Article 28 Le prestataire IT qui accède à vos données est, en règle générale, sous-traitant, et le contrat doit respecter cet article.
Ce que demande l'article 32, en langage de direction
Le Règlement (UE) 2016/679 ne dit pas quel équipement acheter ; il exige une sécurité adaptée au risque. Le paragraphe 1 de l'article 32 donne des exemples : la pseudonymisation et le chiffrement ; la confidentialité, l'intégrité, la disponibilité et la résilience constantes ; la capacité de rétablir l'accès aux données dans des délais appropriés après un incident ; et une procédure pour tester régulièrement l'efficacité des mesures.
Traduction : seuls ceux qui le doivent voient les données, personne ne les modifie sans contrôle, l'entreprise les récupère à temps si tout tombe en panne, et tout cela est testé. Les données personnelles sont toutes les données relatives à une personne identifiable — noms, e-mails, numéros fiscaux, adresses, dossiers clients, bulletins de paie.
Les 10 mesures, dans l'ordre d'exécution
1. Cartographie des données personnelles
Serveur, Microsoft 365, facturation, logiciel RH, disques externes, anciens e-mails. Le résultat est un tableau simple : quelles données, dans quel système, avec quel responsable.
2. Accès au strict nécessaire
Des autorisations par fonction — le commercial n'ouvre pas les bulletins de paie, l'accueil n'entre pas dans le dossier de la direction — revues à chaque changement de poste.
3. MFA sur tout ce qui est exposé
La plupart des accès frauduleux commencent par un mot de passe volé. Le second facteur, généralement sur le téléphone, doit être actif sur la messagerie, le cloud et l'accès distant.
4. Chiffrement des portables, smartphones et copies
C'est l'un des deux exemples que cite l'article 32 : disque chiffré sur tous les portables, smartphones verrouillés et gérés, sauvegardes chiffrées.
5. Sauvegardes avec restauration testée
Une sauvegarde jamais restaurée ne prouve rien. Nous recommandons au moins un test de restauration par trimestre — voyez comment tester une sauvegarde en 30 minutes et nos sauvegardes gérées.
6. Des mises à jour avec délai
Les systèmes non corrigés sont la façon la plus courante de perdre intégrité et résilience. Fixez des délais d'installation et remplacez les équipements qui ne sont plus supportés par le constructeur.
7. Journaux d'accès
Connexions, accès aux dossiers sensibles et modifications d'autorisations. Ce sont ces journaux qui répondent à la question de la CNPD en cas d'incident : quelles données ont été touchées ?
8. Contrats avec les sous-traitants
Prestataire IT, cloud, logiciel de paie : l'article 28 exige des garanties suffisantes et un contrat écrit avec instructions documentées, confidentialité, mesures de sécurité, règles de recours à des sous-traitants ultérieurs, assistance en cas de violation et restitution ou suppression des données en fin de contrat. Ce qu'il faut vérifier : clauses de sortie et données dans le contrat IT.
9. Un plan pour les 72 premières heures
Qui décide, qui collecte les informations techniques, qui remplit la notification — défini avant d'en avoir besoin.
10. Une revue annuelle documentée
Le point le plus oublié de l'article 32. Une revue par an, avec des corrections consignées, est aussi la meilleure preuve de diligence.
Chronologie d'une violation de données
Selon l'article 33 et la CNPD, la notification intervient dans les 72 heures suivant la prise de connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits des personnes. Si le risque est élevé, l'article 34 impose aussi d'informer les personnes concernées.
| Moment | Action | Responsable |
|---|---|---|
| Heure 0 | Détection : alerte, plainte, demande de rançon, portable perdu | Tout collaborateur prévient le support |
| Premières heures | Confinement : isoler les équipements, bloquer les comptes, préserver les journaux | Équipe IT |
| Sous 24 heures | Établir quelles données et combien de personnes sont touchées | IT avec la direction |
| Sous 72 heures | Décider et, le cas échéant, notifier la CNPD via le formulaire | Responsable du traitement (l'entreprise) |
| Toujours | Documenter la violation, ses effets et les mesures prises | Entreprise |
Deux points surprennent : l'obligation de documenter existe même sans notification ; et le sous-traitant — y compris le prestataire IT — doit prévenir le client dans les meilleurs délais. Un portable perdu non chiffré peut constituer une violation ; chiffré, l'évaluation du risque change complètement.
DataRoad IT Unlimited
Parlez à DataRoad. Nous évaluons votre activité et proposons l’offre adaptée.
En pratique : la disponibilité dans un organisme public
Pour la União de Freguesias de Massamá e Monte Abraão, DataRoad a été retenue par marché public pour installer et configurer un nouveau serveur, mettre en place un onduleur (la batterie qui maintient les équipements sous tension lors d'une coupure de courant), monter des sauvegardes locales et dans le cloud, et migrer les données et configurations. C'est ce que l'article 32 demande en matière de disponibilité : des données à plus d'un endroit et restaurables. Lire le cas de Massamá et Monte Abraão.
Où intervient la cybersécurité gérée
DataRoad met en œuvre et documente les mesures techniques — accès, chiffrement, sauvegardes, mises à jour, journaux, pare-feu — et ne fournit pas de conseil juridique. En 11 ans, DataRoad n'a jamais subi d'incident de sécurité. La sécurité est incluse dans les formules IT Unlimited ; IT Unlimited Premium ajoute une assistance sur site illimitée, utile lorsqu'il faut intervenir sur un serveur ou un poste. Pour en savoir plus : cybersécurité gérée pour les entreprises et les 7 politiques internes de cybersécurité.
Questions fréquentes
Le RGPD oblige-t-il à chiffrer toutes les données ?
Il n'oblige pas à tout chiffrer, mais il cite le chiffrement comme mesure appropriée. Sur les portables, les smartphones et les sauvegardes, c'est le moyen le plus simple d'éviter qu'une perte ne devienne une violation grave.
La perte d'un portable oblige-t-elle à notifier la CNPD ?
Cela dépend du risque pour les personnes concernées. Un disque chiffré et effacé à distance présente un risque bien moindre. L'incident est toujours documenté ; la décision revient au responsable du traitement, avec un appui juridique si nécessaire.
Le prestataire IT est-il sous-traitant ?
En règle générale oui, lorsqu'il accède à des systèmes contenant des données personnelles. Le contrat doit respecter l'article 28 : instructions, confidentialité, sécurité, assistance en cas d'incident et restitution ou suppression des données.
Quel est le délai pour notifier une violation ?
En principe 72 heures après la prise de connaissance, via le formulaire de la CNPD. Au-delà de ce délai, la notification doit indiquer les motifs du retard.
Sources
Prochaine étape : diagnostic technique RGPD en 10 jours ouvrés
Nous vérifions les 10 mesures sur votre infrastructure et livrons un rapport de ce qui manque, dans une proposition sans engagement. Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.
