Quelle sécurité des données le RGPD exige-t-il ?
En bref
Le RGPD demande des mesures techniques et organisationnelles adaptées au risque, sans imposer de produit particulier. Il cite notamment le chiffrement et la pseudonymisation, la capacité à garantir la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, la possibilité de rétablir l'accès après un incident, et une procédure de test régulier de l'efficacité des mesures.
Le RGPD ne fournit pas de liste d'outils à installer. Il fixe une obligation de résultat proportionnée : protéger les données en fonction du risque qu'un incident ferait peser sur les personnes. Cette souplesse déroute, alors qu'elle permet d'adapter l'effort. Cet article donne des repères généraux et ne constitue pas un conseil juridique.
Le principe : des mesures adaptées au risque
Le raisonnement part des personnes, pas de la technique. Un fichier de contacts commerciaux et un dossier contenant des informations de santé n'appellent pas les mêmes protections. Quatre propriétés structurent l'analyse :
- Confidentialité : seules les personnes autorisées accèdent aux données.
- Intégrité : les données ne sont pas modifiées ou détruites par accident.
- Disponibilité : elles restent accessibles quand on en a besoin.
- Résilience : le service se rétablit après un incident, dans un délai maîtrisé.
Le règlement mentionne explicitement le chiffrement et la pseudonymisation comme mesures possibles, ainsi que l'existence d'une procédure pour tester et évaluer régulièrement l'efficacité du dispositif. Autrement dit, il ne suffit pas de mettre en place des protections : il faut vérifier qu'elles fonctionnent.
Les mesures qui reviennent dans tous les dossiers
| Domaine | Mesure concrète |
|---|---|
| Comptes et accès | Un compte nominatif par personne, des droits limités au besoin réel, un retrait immédiat lors d'un départ. |
| Authentification | Mots de passe uniques dans un gestionnaire, et double authentification sur la messagerie et les accès d'administration. |
| Postes de travail | Mises à jour appliquées, disque chiffré, verrouillage automatique, protection contre les logiciels malveillants. |
| Échanges | Chiffrement des flux du site, envoi des pièces sensibles par un moyen protégé plutôt qu'en pièce jointe simple. |
| Sauvegardes | Copies régulières, dont une déconnectée, et restauration testée. |
| Traçabilité | Journalisation des accès aux données sensibles, conservée et consultable. |
| Prestataires | Contrats, vérification des garanties, suivi des changements. |
| Personnes | Consignes écrites, sensibilisation régulière, procédure de signalement d'un incident. |
Organiser la démarche
- Partez de vos traitements : quelles données, pour qui, avec quelles conséquences en cas de fuite ?
- Classez-les en deux ou trois niveaux de sensibilité plutôt qu'en une échelle compliquée.
- Appliquez un socle commun à tout le système : comptes nominatifs, mises à jour, sauvegardes, double authentification.
- Renforcez les traitements les plus sensibles : chiffrement, cloisonnement, journalisation, accès restreint à quelques personnes.
- Écrivez ce que vous faites : sans trace, vous ne pourrez pas le démontrer.
- Testez : restauration d'une sauvegarde, revue des droits, contrôle technique du site.
- Reprenez le cycle à chaque changement notable.
Les défaillances les plus fréquentes
- des comptes partagés entre plusieurs personnes, qui rendent toute traçabilité illusoire ;
- des droits accumulés au fil des changements de poste et jamais retirés ;
- des sauvegardes qui tournent sans qu'aucune restauration n'ait jamais été essayée ;
- des exports de données oubliés sur un poste ou dans un espace partagé ;
- des accès de prestataires restés ouverts après la fin de la mission ;
- une documentation écrite une fois, jamais relue.
Nos repères sur la règle de sauvegarde 3-2-1 et sur l'audit de sécurité d'un site web détaillent deux de ces chantiers. Selon les cas, un secteur réglementé impose des exigences supplémentaires : reportez-vous aux guides de la CNIL et de l'ANSSI. NexSecure vérifie ces points et corrige les écarts lors d'un audit de sécurité.
Questions fréquentes
Le RGPD impose-t-il le chiffrement ?
Il le cite comme une mesure possible, sans le rendre systématique. Le chiffrement s'impose en pratique dès que le risque est élevé, par exemple pour des données sensibles ou pour des supports susceptibles d'être perdus ou volés.
Faut-il un antivirus et un pare-feu pour être conforme ?
Aucun produit n'est imposé. Le règlement demande des mesures adaptées au risque. Protection des postes, mises à jour, comptes nominatifs et sauvegardes testées constituent un socle attendu dans la plupart des situations.
Comment prouver que les mesures sont suffisantes ?
En documentant votre analyse du risque, les mesures retenues et les contrôles effectués : dates de test de restauration, revues de droits, rapports d'audit. La démonstration repose sur ces traces, pas sur des déclarations d'intention.
À quelle fréquence tester les mesures ?
Le règlement demande des tests réguliers sans fixer de rythme. Adaptez-le au risque et aux changements : une revue après chaque évolution notable, complétée par un contrôle périodique des sauvegardes et des droits d'accès.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet