L’article 32 du RGPD est l’un des plus cités et l’un des moins lus. Il tient en quelques lignes, n’impose aucune technologie, et pourtant c’est sur lui que se fondent une bonne partie des sanctions prononcées pour défaut de sécurité.
Sa formulation est volontairement ouverte : des mesures « techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Reste à savoir ce qu’« approprié » signifie quand une autorité vient vérifier.
Ce que le texte cite explicitement
L’article mentionne quatre familles de mesures, à titre indicatif :
- La pseudonymisation et le chiffrement des données à caractère personnel.
- La capacité à garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes de manière constante.
- La capacité à rétablir la disponibilité et l’accès aux données dans des délais appropriés en cas d’incident physique ou technique.
- Une procédure de test, d’analyse et d’évaluation régulières de l’efficacité des mesures.
Le troisième point est celui qu’on oublie : le RGPD impose la disponibilité, pas seulement la confidentialité. Une organisation dont les données sont chiffrées par un rançongiciel et irrécupérables est en défaut au titre de l’article 32, indépendamment de toute fuite.
Le quatrième est celui qui distingue une conformité réelle d’une conformité déclarative. Des mesures jamais testées ne sont pas des mesures : ce sont des intentions.
« Adapté au risque » : adapté à quoi ?
Le texte demande de tenir compte de l’état de l’art, des coûts de mise en œuvre, de la nature et des finalités du traitement, et des risques pour les personnes concernées.
Le point important est la fin de la phrase. Le risque à apprécier n’est pas le risque pour l’entreprise, c’est le risque pour les personnes : usurpation d’identité, discrimination, atteinte à la réputation, perte de confidentialité de données protégées par le secret.
Un fichier de prospection et un fichier de santé n’appellent pas les mêmes mesures, même volumétrie égale. C’est cette gradation qu’une autorité vérifie.
Ce que la CNIL regarde en contrôle
La CNIL publie un guide de la sécurité des données personnelles qui constitue, de fait, le référentiel d’appréciation. Les points qui reviennent le plus dans les décisions publiées :
- La gestion des accès : habilitations non revues, comptes d’anciens salariés actifs, droits trop larges.
- Les mots de passe : politique absente ou obsolète, absence d’authentification renforcée sur les accès distants.
- La journalisation : absence de traces permettant de constater un accès illégitime, ou conservation trop courte.
- Le chiffrement des flux et des supports mobiles.
- La sous-traitance : absence d’encadrement contractuel au titre de l’article 28.
- Les sauvegardes et leur test de restauration.
Aucun de ces points n’est exotique. Ce sont les mêmes que ceux d’un audit de sécurité classique — ce qui est une bonne nouvelle : un travail fait au titre d’ISO 27001 sert directement la conformité RGPD.
L’articulation avec la notification de violation
L’article 32 ne s’apprécie jamais seul. En cas de violation de données, l’article 33 impose une notification à l’autorité de contrôle dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes.
L’article 34 impose en outre d’informer les personnes concernées lorsque le risque est élevé.
En pratique, c’est ce délai de 72 heures qui révèle la qualité du dispositif de l’article 32. Sans journalisation exploitable, vous ne saurez pas dire quelles données ont été touchées ni combien de personnes sont concernées — et vous notifierez dans le flou.
Ce qui protège vraiment en cas de contrôle
Trois choses, dans cet ordre.
Une analyse de risque écrite et datée, montrant que vous avez apprécié les risques pour les personnes avant de choisir vos mesures. C’est ce qui transforme un choix subi en décision motivée.
Des preuves d’exécution : comptes rendus de revue d’habilitations, rapports de tests, journaux de restauration de sauvegardes. Une politique sans preuve d’application ne vaut rien.
Un suivi des écarts. Un risque identifié, tracé et en cours de traitement est infiniment mieux perçu qu’un risque ignoré. L’autorité ne s’attend pas à la perfection ; elle s’attend à la maîtrise.
Le lien avec les autres textes
Les exigences de sécurité de NIS 2 et celles du RGPD se recouvrent largement. Une organisation qui construit son dispositif au titre de l’un couvre l’essentiel de l’autre.
Attention toutefois : les délais et destinataires de notification diffèrent. Un même incident peut appeler une notification à la CNIL et une autre à l’autorité compétente NIS 2, avec des chronologies distinctes. Cette double obligation doit figurer dans votre procédure de gestion d’incident.
Sources
- Règlement (UE) 2016/679 (RGPD) — articles 28, 32, 33, 34 et 83
- CNIL — guide de la sécurité des données personnelles
Aller plus loin
L’articulation RGPD, NIS 2 et ISO 27001 est au cœur de nos missions de gouvernance, risques et conformité. L’état des lieux préalable relève de l’audit 360, et la question de la traçabilité est traitée dans notre article sur la journalisation.