RGPD en pratique pour l'informatique des PME : 10 étapes

7 min de lecture · DataRoad

Le RGPD dans l'informatique des PME Cela se traduit par dix étapes techniques et organisationnelles que toute entreprise avec plus de 10 postes peut mettre en œuvre : savoir où se trouvent les données, contrôler qui y accède, chiffrer, créer et tester des sauvegardes, tenir des registres, avoir des contrats corrects avec les fournisseurs et savoir quoi faire dans les premières 72 heures d’un incident. Cet article traite uniquement de ce côté — ce que l’informatique doit garantir. Ce n’est pas un conseil juridique : pour la base juridique des traitements, des consentements et des droits des titulaires, veuillez consulter votre avocat ou votre responsable de la protection des données.

Ce que le RGPD exige de l’informatique

Le Règlement général sur la protection des données (Règlement (UE) 2016/679) ne stipule pas que l’on doit acheter un pare-feu. Il stipule que la sécurité doit être adaptée au risque, et donne des exemples à l’article 32.º, paragraphe 1 :

• la pseudonymisation et la chiffrement des données personnelles ;
• la capacité d'assurer la confidentialité, l'intégrité, la disponibilité et la résilience permanentes des systèmes ;
• la capacité à rétablir la disponibilité et l’accès aux données dans les délais après un incident ;
• un processus visant à tester et à évaluer régulièrement l’efficacité des mesures.

Les 10 étapes

1. Savoir où se trouvent les données personnelles

Serveur, Microsoft 365, logiciel de facturation, logiciel de ressources humaines, disques externes, courriels anciens. On ne protège pas ce qui n’existe pas. Le résultat de cette étape est un tableau simple : quels données, sur quel système, qui en est responsable.

2. Donner accès uniquement à ceux qui en ont besoin

Le commercial n’a pas besoin de voir les relevés de paie ; le réceptionniste n’a pas besoin de la fiche administrative. Les autorisations par fonction sont revues à chaque changement de poste.

3. Protéger les comptes avec MFA

La plupart des accès non autorisés commencent par une parole de passe volée. L’authentification multifactorielle (le deuxième niveau de confirmation, généralement sur le téléphone portable) doit être activée sur le courrier électronique, le cloud et l’accès à distance.

4. Code de chiffrement des portables, téléphones portables et copies

La cifrabilité est l'un des deux exemples que l'article 32 lui-même désigne. En pratique : disque crypté sur tous les portables, téléphones mobiles avec verrouillage et gestion, sauvegardes cryptées.

5. Faisons des sauvegardes et testons-les

L’article 32.º parle de rétablir l’accès “ dans les meilleurs délais ”. Un backup qui n’a jamais été rétabli ne prouve rien. Nous recommandons un test de rétablissement au moins une fois par trimestre — voir Le test de sauvegarde en 30 minutes Et les nôtres solutions de sauvegarde.

6. Mettre les systèmes à jour

Les systèmes sans correctifs de sécurité sont la forme la plus courante de perte de l“” intégrité et de la résilience » exigées par le règlement. Des mises à jour avec un délai précis et des équipements non supportés par le fabricant remplacés.

7. Mémoriser les personnes qui ont accédé à quoi

Les registres d’ouverture de session, d’accès aux dossiers sensibles et d’ajustements des autorisations. C’est grâce à eux que l’autorité de contrôle peut répondre, en cas d’incident, à la question que la CNPD se pose : quels données ont-elles été affectées ?

8. Avoir des contrats clairs avec les sous-traitants

Quiconque traite des données pour le compte de son entreprise — l’entreprise informatique, le fournisseur de cloud, le logiciel de paie — est un sous-traitant. L’article 28 exige que seuls des sous-traitants qui fournissent des garanties suffisantes soient utilisés et que la relation soit stipulée dans un contrat écrit, avec des instructions documentées, une confidentialité, des mesures de sécurité, des règles pour sous-traiter des tiers, un soutien en cas de violation et le retour ou l’élimination des données à la fin du service. Nous expliquons ce que vous devez vérifier Contrat informatique : clauses de sortie et données.

9. Avoir un plan pour les 72 premières heures

Consultez la section suivante. Le plan doit indiquer qui décide, qui recueille les informations techniques et qui rédige la notification.

10. Tester et réviser tous les ans

Le dernier point de l'article 32 est le plus oublié : évaluer régulièrement si les mesures fonctionnent. Une révision annuelle, documentée, avec les corrections apportées, constitue également la meilleure preuve de diligence.

Violation de données : l'horloge des 72 heures

Selon l’article 33 du RGPD et la CNPD, la notification d’une violation de données personnelles doit être effectuée dans un délai de 72 heures après que l’entreprise en a été informée, sauf si la violation ne peut pas entraîner un risque pour les droits des personnes. La CNPD met à disposition un formulaire spécifique à cet effet. Lorsque le risque est élevé, l’article 34 oblige également à informer les personnes concernées.

Deux points qui surprendront de nombreux gestionnaires. Premièrement, l’obligation de documentation existe même lorsque il n’y a pas de notification : la CNPD rappelle que le responsable est tenu de documenter toutes les violations. Deuxièmement, le sous-traitant — y compris l’entreprise informatique — doit avertir le client sans délai injustifié lorsqu’il en a connaissance d’une violation. Un portable perdu sans chiffre d’accès peut constituer une violation de données ; avec un chiffre d’accès, l’évaluation du risque est très différente.

Un cas réel : serveur, UPS et sauvegardes dans une entité publique

Dans l’Union des paroisses de Massamá et de Monte Abraão, DataRoad a été choisie par contrat public pour installer et configurer un nouveau serveur, implanter un système de UPS (batterie qui maintient les équipements en fonctionnement en cas de coupure d’électricité), mettre en place des sauvegardes locales et dans le cloud et migrer les données et les configurations vers la nouvelle infrastructure. C’est en pratique ce que l’article 32 exige en matière de disponibilité : les données existent sur plus d’un emplacement et peuvent être restaurées. Lisez l’article Contrat public 2022 à Massamá et Monte Abraão.

DataRoad met en œuvre les mesures techniques — accès sécurisé, chiffrement, sauvegardes, mises à jour, enregistrements, pare-feu — et les documente. Elle ne fournit pas d’avis juridiques. La sécurité est incluse dans les plans IT Unlimited ; Plan Premium Ajoute l'assistance sur site, utile lorsque vous devez intervenir auprès d'un serveur ou d'un poste. Voir également notre approche cybersécurité pour les entreprises et comme 7 politiques internes de cybersécurité.

Foire aux questions

Le RGPD oblige-t-il à crypter toutes les données ?

Cela n'oblige pas à coder tout, mais la mention de la codification sert d'exemple de mesure appropriée à l'article 32. Dans les portables, les téléphones mobiles et les sauvegardes, c'est la manière la plus simple et la moins coûteuse de réduire le risque que la perte devienne une violation grave.

Dois-je signaler la CNPD si nous perdons un ordinateur portable ?

Cela dépend du risque pour les personnes dont les données se trouvaient sur l’appareil. Un ordinateur portable avec le disque crypté et supprimé à distance présente un risque beaucoup plus faible que celui d’un ordinateur portable sans protection. Dans tous les cas, l’incident doit être documenté. La décision finale appartient au responsable du traitement, avec le soutien juridique si nécessaire.

L'entreprise informatique est-elle un sous-traitant ?

En règle générale, oui, lorsque vous avez accès à des systèmes contenant des données personnelles. C’est pourquoi le contrat doit respecter l’article 28 du RGPD : instructions, confidentialité, sécurité, assistance en cas d’incident et restitution ou élimination des données à la fin.

Combien de temps avons-nous pour signaler une violation ?

En règle générale, 72 heures après avoir été informé de la violation, via le formulaire de la CNPD. Si la notification n’est pas effectuée dans ce délai, elle doit être accompagnée des raisons du retard.

Diagnostic technique RGPD en 10 jours ouvrés

Nous avons vérifié les 10 points clés de votre infrastructure — accès, MFA, chiffrement, sauvegardes, mises à jour, registres et plan d’incident — et avons remis un rapport détaillant les mesures techniques manquantes. Pour les entreprises avec plus de 10 postes · contrat d’assistance · support à distance, local et téléphonique.

Sources

• EUR-Lex — Règlement (UE) 2016/679 (RGPD), articles 28, 32, 33 et 34
• CNPD — Violation de données ou data breach
• CNPD — Formulaire de notification de violation de données personnelles