Conformité RGPD en cybersécurité

Notification de violation RGPD — procédure 72h CNIL

La procédure de notification d'une violation de données personnelles à la CNIL est une obligation légale précise. Dès la découverte d'une violation (accès non autorisé, perte de données, ransomware chiffrant des données personnelles), l'organisation dispose de 72 heures pour notifier la CNIL si la violation présente un risque pour les droits et libertés des personnes. La notification se fait via le portail notifications.cnil.fr. Les éléments à fournir à la CNIL : nature de la violation (confidentialité, intégrité, disponibilité), catégories de données concernées (emails, coordonnées, données de santé, financières), nombre approximatif de personnes concernées, conséquences probables, mesures prises pour remédier, et mesures proposées pour atténuer les effets. Si toutes les informations ne sont pas disponibles dans les 72h, notifier avec les informations disponibles et compléter la notification dans les meilleurs délais. Une notification tardive ou incomplète est elle-même une violation du RGPD sanctionnable.

AIPD / DPIA — analyse d'impact RGPD

L'AIPD (Analyse d'Impact relative à la Protection des Données, ou DPIA — Data Protection Impact Assessment) est une évaluation systématique des risques pour les droits et libertés des personnes avant le déploiement d'un traitement de données personnelles susceptible d'engendrer un risque élevé. Traitements nécessitant obligatoirement une AIPD : traitement à grande échelle de données sensibles (santé, biométrie, données judiciaires), surveillance systématique à grande échelle de lieux publics (vidéosurveillance généralisée), profilage à grande échelle, traitement biométrique à des fins d'identification unique, et tout traitement innovant présentant un risque élevé. L'AIPD documente : la description du traitement, la nécessité et la proportionnalité, les risques pour les personnes, et les mesures pour atténuer ces risques. En France, la CNIL publie des lignes directrices et des modèles d'AIPD. Le DPO (Délégué à la Protection des Données) est le responsable naturel de la réalisation et du suivi des AIPDs.

Privacy by Design et Privacy by Default

Privacy by Design (protection des données dès la conception) et Privacy by Default (protection des données par défaut) sont deux principes RGPD (Article 25) qui imposent d'intégrer la protection des données personnelles dans la conception des systèmes, pas comme une couche ajoutée après coup. Privacy by Design signifie concevoir des applications et processus qui minimisent la collecte de données (data minimization), chiffrent les données sensibles, implémentent des contrôles d'accès appropriés, et facilitent l'exercice des droits RGPD (accès, rectification, effacement) dès leur conception initiale. Privacy by Default signifie que les paramètres par défaut d'un service doivent être les plus protecteurs possibles pour la vie privée — l'utilisateur doit activement opter pour partager plus, pas activement opter pour partager moins. Ces principes sont une obligation légale RGPD et doivent être intégrés dans les processus DevSecOps et les templates d'AIPD des équipes de développement.