--- title: "RGPD et cybersécurité gérée | DataRoad IT" description: "RGPD et cybersécurité gérée : 10 contrôles techniques de l'art. 32, contrats de l'art. 28 et 72 heures pour notifier l'autorité. Proposition sans engagement." language: fr url: https://www.dataroad-it.com/fr/rgpd-cybersecurite-geree-10-mesures-techniques/ source: https://www.dataroad-it.com/fr/rgpd-cybersecurite-geree-10-mesures-techniques/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > RGPD et cybersécurité gérée : 10 contrôles techniques de l'art. 32, contrats de l'art. 28 et 72 heures pour notifier l'autorité. Proposition sans engagement. # RGPD et cybersécurité gérée : 10 contrôles techniques à prouver En bref Pour les décideurs pressés. - 01 L'article 32 du RGPD exige chiffrement, contrôle des accès, récupération des données et tests réguliers. - 02 Une violation se notifie à la CNPD en principe sous 72 heures ; elle est toujours documentée. - 03 Le prestataire IT est en général sous-traitant et le contrat doit respecter l'article 28. - 04 DataRoad met en œuvre et documente les contrôles techniques ; elle ne fournit pas de conseil juridique. ### Dans cet article **Une violation de données personnelles sans mesures techniques documentées transforme un incident IT en problème avec la CNPD, avec les clients et avec la réputation de l'entreprise.** Pour l'infrastructure, le RGPD se traduit en dix contrôles à la portée de toute organisation de plus de 10 postes, à mettre en œuvre et, surtout, à démontrer. DataRoad - IT Services and Consulting les organise ici en trois blocs (savoir, protéger, prouver) et explique les 72 premières heures après une violation. La partie juridique (bases légales, consentements, droits des personnes) reste en dehors : elle relève de votre avocat ou de votre délégué à la protection des données. ## RGPD et cybersécurité gérée : que faut-il savoir tout de suite ? - **Article 32** Il impose une sécurité technique effective : chiffrement, confidentialité, récupération des données et évaluation périodique. - **72 heures** C'est le délai de principe pour notifier la CNPD, l'autorité portugaise de protection des données, à compter du moment où l'entreprise en a connaissance, via un formulaire dédié. - **Tout consigner** Chaque violation est documentée, y compris celles qui ne sont pas notifiées. - **Article 28** Celui qui vous fournit des services IT et accède à vos données est, en règle générale, sous-traitant ; le contrat doit respecter cet article. ## Qu'exige la loi de l'infrastructure, sans jargon ? Le Règlement (UE) 2016/679 n'impose ni marques ni produits. Il demande une sécurité proportionnée au risque. Le paragraphe 1 de l'article 32 énumère des exemples : pseudonymisation et chiffrement ; confidentialité, intégrité, disponibilité et résilience constantes ; rétablissement de l'accès aux données dans des délais appropriés après un incident ; et tests réguliers de l'efficacité des mesures. En termes de direction, quatre garanties : accès réservé à ceux qui en ont besoin, changements maîtrisés, récupération en temps utile et vérification périodique. Et les données personnelles, c'est tout ce qui identifie une personne : nom, e-mail, numéro fiscal, adresse, dossier client, bulletin de salaire. ## Bloc 1, Savoir où sont les données et qui y accède - **Inventaire des données personnelles**: passer en revue serveur, Microsoft 365, facturation, disques externes, logiciel RH et anciennes boîtes mail. Résultat : un tableau avec le type de données, le système et le responsable. - **Moindre privilège**: droits définis par la fonction : le commercial ne voit pas les salaires, l'accueil n'accède pas au dossier de la direction. À chaque changement de poste, ils sont revus. - **Contrats avec ceux qui traitent des données pour vous**: prestataire IT, cloud, gestion de la paie. L'article 28 impose des garanties suffisantes et un contrat écrit définissant instructions, confidentialité, sécurité, conditions de recours à des tiers, coopération en cas de violation et restitution ou destruction des données à la fin. Voyez ce qu'il faut vérifier dans [les clauses de sortie et de données d'un contrat IT](https://www.dataroad-it.com/fr/contrat-msp-clauses-sortie-acces-donnees/). ## Bloc 2, Protéger contre la perte, le vol et l'attaque - **Authentification multifacteur**: une grande partie des intrusions part d'un mot de passe compromis. Le second facteur, en général sur le téléphone, doit protéger messagerie, cloud et accès à distance. - **Chiffrement**: l'une des deux mesures citées par l'article 32 lui-même : disques chiffrés sur les portables, téléphones gérés et verrouillés, sauvegardes chiffrées. - **Mises à jour avec délai défini**: les systèmes sans correctifs sont la voie la plus fréquente de perte d'intégrité et de résilience. Fixez des délais d'installation et retirez les équipements que le constructeur ne supporte plus. - **Sauvegardes réellement restaurées**: sans restauration testée, la sauvegarde n'est qu'une hypothèse. Nous conseillons au minimum un test par trimestre : voir [l'exercice de restauration de 30 minutes](https://www.dataroad-it.com/fr/sauvegarde-geree-test-restauration-30-minutes/) et le service de [sauvegarde gérée](https://www.dataroad-it.com/fr/sauvegarde-geree-entreprises-portugal/). ## Bloc 3, Prouver sa diligence quand on vous le demande - **Journaux d'accès**: authentifications, accès aux dossiers sensibles, changements de droits. En cas d'incident, ce sont ces journaux qui permettent de dire à la CNPD quelles données ont été touchées. - **Plan de réponse pour les 72 premières heures**: qui décide, qui rassemble l'information technique, qui remplit la notification. Tout est convenu avant d'en avoir besoin. - **Revue annuelle écrite**: l'exigence de l'article 32 la plus souvent oubliée. Une revue par an, avec corrections consignées, est la meilleure preuve que l'entreprise a agi avec diligence. ## Que faire dans les 72 heures suivant une violation ? L'article 33 et les orientations de la CNPD fixent la notification dans les 72 heures après la prise de connaissance, sauf si la violation ne présente pas de risque pour les droits des personnes concernées. En cas de risque élevé, l'article 34 impose en outre d'informer les personnes elles-mêmes. | Quand | Quoi | Qui | | --- | --- | --- | | Détection | Alerte technique, réclamation, demande de rançon ou portable disparu | Le collaborateur qui détecte, en informant le support | | Heures suivantes | Confinement : isoler les machines, bloquer les comptes, conserver les journaux | Équipe technique IT | | Premier jour | Comprendre quelles données et combien de personnes sont concernées | IT et direction | | Jusqu'au 3e jour | Décider et, le cas échéant, soumettre le formulaire à la CNPD | L'entreprise, en tant que responsable du traitement | | Dans tous les cas | Consigner la violation, ses conséquences et les mesures prises | L'entreprise | Deux détails prennent beaucoup d'entreprises par surprise. Documenter est obligatoire même sans notification. Et le sous-traitant, prestataire IT compris, doit alerter le client dans les meilleurs délais. Un portable perdu non chiffré peut constituer une violation ; avec un disque chiffré, l'évaluation du risque est tout autre. ## Exemple réel : la continuité dans un organisme public Dans le cadre d'un marché public avec l'União de Freguesias de Massamá e Monte Abraão, DataRoad a installé et configuré un nouveau serveur, mis en place un onduleur (des batteries qui maintiennent les équipements en marche en cas de coupure de courant), déployé des sauvegardes locales et dans le cloud et migré données et configurations. C'est la disponibilité telle que la décrit l'article 32 : des données stockées à plusieurs endroits et récupérables. [Découvrez le projet de Massamá e Monte Abraão](https://www.dataroad-it.com/fr/massama-monte-abraao-serveur-sauvegardes/). ## Comment la cybersécurité gérée de DataRoad vous aide-t-elle ? Nous mettons en œuvre et documentons les contrôles techniques, accès, chiffrement, sauvegardes, mises à jour, journaux, pare-feu. Nous ne fournissons pas de conseil juridique. En 11 ans, DataRoad n'a jamais subi d'incident de sécurité. Tout contrat IT Unlimited inclut la sécurité. Avec la [formule Premium](https://www.dataroad-it.com/fr/it-unlimited-premium-assistance-site-illimitee/), vous bénéficiez en plus d'une assistance sur site illimitée, utile quand il faut intervenir physiquement sur un serveur ou un poste. En savoir plus sur la [cybersécurité gérée pour les entreprises](https://www.dataroad-it.com/fr/cybersecurite-entreprise/) et les [sept politiques internes que toute entreprise devrait avoir](https://www.dataroad-it.com/fr/cybersecurite-geree-sept-politiques-ecrites/). ## Questions fréquentes ### Faut-il chiffrer toutes les données pour respecter le RGPD ? Tout chiffrer n'est pas obligatoire, mais le chiffrement est expressément cité comme mesure appropriée. Pour les sauvegardes, téléphones et portables, c'est le moyen le plus simple d'empêcher qu'une perte ne devienne une violation grave. ### Un portable perdu doit-il être déclaré à la CNPD ? Seulement s'il existe un risque pour les personnes concernées. Si le disque est chiffré et effacé à distance, ce risque baisse fortement. L'incident est toujours consigné et la décision revient au responsable du traitement, avec un appui juridique si nécessaire. ### Notre partenaire IT est-il sous-traitant ? Oui, dans la plupart des cas, dès lors qu'il accède à des systèmes contenant des données personnelles. Le contrat doit alors respecter l'article 28 : instructions, confidentialité, sécurité, coopération en cas d'incident et restitution ou destruction des données. ### Quel est le délai de notification d'une violation ? En règle générale, 72 heures à partir du moment où l'entreprise en a connaissance, via le formulaire mis à disposition par la CNPD. Si ce délai est dépassé, la notification doit justifier le retard. ## Sources - [EUR-Lex, RGPD, Règlement (UE) 2016/679 (art. 28, 32, 33 et 34)](https://eur-lex.europa.eu/legal-content/PT/TXT/HTML/?uri=CELEX:32016R0679) - [CNPD, Violations de données personnelles](https://www.cnpd.pt/organizacoes/outras-obrigacoes/violacao-de-dados-ou-data-breach/) - [CNPD, Notification de violation](https://www.cnpd.pt/DataBreach/DataBreach_pt.aspx) ## Vous voulez savoir ce qui manque à votre infrastructure ? En 10 jours ouvrés, nous évaluons les dix contrôles sur vos systèmes et vous remettons par écrit les lacunes et l'ordre dans lequel les combler. Demandez une proposition sans engagement. **Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.** Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt. **Appel vers un fixe portugais.* Choisie par des entreprises reconnues et internationales ★★★★★ 5,0 · 52 avis Google ★★★★★ 5,0 · 52 avis Google DataRoad ## Articles associés [Infogérance et cybersécuritéÉquipes en déplacement : portables, mobiles et Wi-Fi public sûrsLe vrai risque en voyage est le portable perdu non chiffré, pas le Wi-Fi de l'hôtel. Disque chiffré, gestion centrale, MFA et connexion maît…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/cybersecurite-equipes-en-deplacement/)[Infogérance et cybersécuritéSurface d'attaque externe : ce qu'Internet voit de votre sociétéLes attaques automatisées cherchent des versions vulnérables, quelle que soit la taille de l'entreprise. En 2025, le CERT.PT a enregistré 3 …12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/surface-attaque-externe-entreprise/)[Infogérance et cybersécuritéNOC et cybersécurité gérée : qui surveille votre PME, et quandLa question n'est pas d'avoir un SOC : c'est qui reçoit l'alerte à 22 h un samedi et ce qu'il fait ensuite. Chez DataRoad, nuits, week-ends …12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/noc-soc-cybersecurite-geree-pme/)[Infogérance et cybersécuritéSécurité Microsoft 365 : les 10 contrôles qui vous incombentDans Microsoft 365, la plateforme appartient à Microsoft et les clés sont à vous. Selon Microsoft, le MFA et le blocage de l'authentificatio…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/microsoft-365-cybersecurite-geree-responsabilite/)[Infogérance et cybersécuritéMots de passe exposés : auditer le domaine et agir en 5 joursLe risque n'est pas l'e-mail dans une fuite : c'est le même mot de passe qui ouvre un compte professionnel. Changer ce qui est exposé, MFA p…12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/identifiants-entreprise-fuites-de-donnees/)[Infogérance et cybersécuritéInventaire des actifs : la base de la gestion du parc et de NIS2Sans inventaire des actifs, pas de renouvellement planifié, pas de sécurité démontrable ni de réponse au CNCS. Les entités NIS2 doivent tran…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/inventaire-actifs-gestion-parc-informatique/)[Infogérance et cybersécuritéComptes break-glass Microsoft 365 : l'assurance de l'entrepriseUn administrateur bloqué peut laisser e-mail, Teams et fichiers sans gestion pendant des jours. Les comptes break-glass sont l'administrateu…12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/comptes-break-glass-microsoft-365/)[Infogérance et cybersécuritéWindows 365 en entreprise : quand le PC cloud réduit les coûtsLe PC cloud est rentable pour consultants, saisonniers, équipes sans bureau et parcs mixtes Mac et Windows. Pour la vidéo, la CAO ou un inte…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/windows-365-pc-cloud-entreprise/)[Infogérance et cybersécuritéSauvegarde gérée : le test de restauration de 30 minutesUne sauvegarde jamais restaurée est un risque différé. En 30 minutes, un ancien document, un e-mail supprimé et un serveur démarré en isolem…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/sauvegarde-geree-test-restauration-30-minutes/) Des chiffres vérifiables **11** ans d’activité **232** clients **< 10 min** délai moyen de réponse **15+** Certifications IT de constructeurs **10+** Pays avec des clients accompagnés **5,0 ★** 52 avis Google Transparence ## Ce que beaucoup de prestataires taisent, nous le publions. [Voir les offres et les prix →](https://www.dataroad-it.com/it-unlimited/) - **Prix affichés** Essential dès 395 €/mois + TVA, Premium dès 750 € et Premium 365 dès 1 200 €. - **Sans engagement long** Contrat annuel, sans engagement et aucun frais d’adhésion. - **Tout par écrit** Ce qui est inclus, le périmètre et le prix, avant de signer. - **Support sans heures comptées** À distance et par téléphone dans tous les plans ; sur site à partir de Premium. Partenaires et certifications DataRoad · Cybersécurité gérée ## One StepAhead of IT. Personne ne remarque la sécurité avant le jour où elle cède. C’est pourquoi la nôtre travaille chaque jour : alertes traitées, accès revus, sauvegardes vérifiées. - **5 ★** sur Google · 52 avis - **11** ans d’activité, depuis 2015 - **232** entreprises protégées We do **IT** right. DataRoad IT Unlimited ## Combien coûterait à votre entreprise une journée sans systèmes ? Demandez une évaluation des risques sans engagement. [Demander une proposition sans engagement →](https://www.dataroad-it.com/fr/#contact)+351 211 459 950 **Appel vers un fixe portugais · Plus de 10 postes · contrat d’assistance · support à distance, sur site et par téléphone[Vous ne savez pas ce qu’il vous faut ? Parlez à l’assistant →](https://www.dataroad-it.com/fr/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/fr/rgpd-cybersecurite-geree-10-mesures-techniques/