RGPD Article 32 — Sécurité des traitements
conformiteDéfinition
L'article 32 du RGPD impose au responsable de traitement et au sous-traitant de mettre en oeuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Le texte énumère non exhaustivement les mesures pouvant contribuer à ce niveau : pseudonymisation et chiffrement des données personnelles, capacité à assurer la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, restauration rapide des données, et processus de test et d'évaluation réguliers. L'appréciation du caractère approprié des mesures doit prendre en compte l'état de l'art, les coûts de mise en oeuvre, la nature des données, et la vraisemblance et gravité des risques. En pratique, les autorités de protection (CNIL, ANSSI) considèrent comme mesures minimales attendues : le chiffrement des données sensibles, le MFA pour les accès aux données personnelles, la gestion des habilitations, les journaux d'accès, la politique de mots de passe robuste, et les sauvegardes testées. Les violations de l'article 32 sont régulièrement sanctionnées lors d'incidents de sécurité ayant compromis des données personnelles.
Description
L'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Il énumère notamment la pseudonymisation, le chiffrement, la résilience des systèmes et les procédures de test réguliers comme mesures pouvant contribuer à ce niveau.
Exigences clés
L'appréciation des mesures appropriées doit considérer l'état de l'art, les coûts, la nature des données et la vraisemblance des risques. Les autorités considèrent comme minimum : chiffrement des données sensibles, MFA, gestion des habilitations, journaux d'accès et sauvegardes testées.
Points clés
- Les violations de l'article 32 sont régulièrement sanctionnées lors d'incidents de sécurité impliquant des données personnelles
- Les amendes peuvent atteindre 10 M€ ou 2% du CA mondial en cas de violation des obligations de sécurité
- L'article 32 exige des tests et évaluations réguliers de l'efficacité des mesures de sécurité en place
Ce terme vous interpelle ?
Nos experts interviennent sur toutes les thématiques de ce glossaire — pentest, conformité NIS 2 / ISO 27001, forensics, sécurité IA. Réponse sous 24h, devis gratuit et sans engagement.