Sécurité des données personnelles RGPD : structurer vos mesures techniques et juridiques

Lecture rapide

La gestion des risques permet de déterminer les précautions à prendre pour préserver la sécurité des données. Le RGPD impose des mesures techniques et organisationnelles appropriées, pour responsables de traitement et sous-traitants. Ce guide rappelle les précautions élémentaires : recenser les traitements et supports, apprécier les risques (accès illégitime, modification, disparition), identifier sources et menaces, déterminer les mesures existantes ou prévues, estimer gravité et vraisemblance, puis mettre en œuvre et vérifier ces mesures.

Analyse juridique

Sécurité des données personnelles et RGPD : structurer la démarche et les contrôles

1. La sécurité des données personnelles au sens du RGPD repose sur une approche de gestion des risques qui doit être structurée, documentée et contrôlée. Le guide pratique de la CNIL sur la sécurité des données personnelles rappelle que la protection des données exige des « mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque », obligation qui s’impose au responsable de traitement comme aux sous-traitants (article 32 du RGPD). Cette démarche doit être intégrée dans la gouvernance de l’organisme et pilotée notamment par le DPO, le RSSI et les équipes informatiques, en lien avec les juristes et les utilisateurs.

2. La gestion des risques permet de déterminer les précautions à prendre « au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données » (article 121 de la loi Informatique et Libertés). Elle se décline en trois grandes étapes : recenser les traitements de données personnelles et les supports (matériels, logiciels, canaux de communication, supports papier, locaux), apprécier les risques (impacts sur les droits et libertés, sources de risques humaines et non humaines, menaces réalisables, mesures existantes ou prévues, gravité et vraisemblance), puis mettre en œuvre et vérifier les mesures de sécurité. Cette structuration est indispensable pour évaluer le niveau de sécurité de l’organisme et prioriser les actions.

3. L’appréciation des risques doit couvrir les trois événements redoutés majeurs : l’accès illégitime à des données (ex. usurpation d’identité après divulgation de fiches de paie), la modification non désirée de données (ex. altération de journaux d’accès entraînant une accusation à tort), et la disparition de données (ex. impossibilité d’accéder au dossier patient empêchant la détection d’une interaction médicamenteuse). Pour chaque traitement, il convient d’identifier les sources de risques (administrateur, utilisateur, attaquant externe, concurrent, mais aussi eau, épidémie, virus informatique non ciblé), les menaces sur les supports (usage inadapté, modification, perte, observation, détérioration, surcharge) et les mesures de sécurité existantes (contrôle d’accès, sauvegardes, traçabilité, sécurité des locaux, chiffrement, anonymisation). La gravité et la vraisemblance peuvent être estimées sur une échelle (négligeable, modérée, importante, maximale) pour orienter les décisions.

4. Cette réflexion alimente directement les analyses d’impact relatives à la protection des données (AIPD) prévues par l’article 35.7 du RGPD, qui doivent comporter une description des opérations et des finalités, une évaluation de la nécessité et de la proportionnalité, une évaluation des risques et les mesures envisagées pour y faire face. Les guides AIPD de la CNIL et l’outil PIA facilitent la conduite et la formalisation de ces analyses. Les audits de sécurité, réalisés périodiquement, complètent cette démarche en évaluant le niveau de sécurité des traitements, en tenant compte de l’évolution des menaces et des systèmes, et en débouchant sur des plans d’action suivis au plus haut niveau. L’étude des risques sur la sécurité de l’information (par exemple via la méthode EBIOS RM de l’ANSSI) peut être menée en parallèle de l’étude des risques sur la vie privée, ces approches étant compatibles.

Sensibiliser les utilisateurs et encadrer les comportements

5. La sensibilisation des utilisateurs est un pilier de la sécurité des données personnelles. Le guide insiste sur la nécessité de faire prendre conscience à chaque utilisateur, interne ou externe, des enjeux en matière de sécurité et de vie privée, des risques liés aux libertés et des conséquences potentielles en cas de manquement. Cette sensibilisation peut prendre la forme de séances dédiées, de mises à jour régulières des procédures, de rappels par messagerie. Les procédures d’exploitation doivent être documentées, tenues à jour, rédigées dans un langage clair et adaptées à chaque catégorie d’utilisateurs, afin que toute action sur un traitement (administration ou simple utilisation) soit encadrée.

6. La rédaction d’une charte informatique dotée d’une force contraignante (par exemple par annexion au règlement intérieur) est recommandée. Cette charte doit rappeler les règles de protection des données et les sanctions encourues, définir son champ d’application (modalités d’intervention des équipes informatiques, moyens d’authentification, politique de mots de passe, règles de sécurité à respecter), préciser les modalités d’utilisation des moyens informatiques et de télécommunication (poste de travail, équipements nomades, espaces de stockage, réseaux locaux, dispositifs personnels, accès Internet, messagerie, téléphonie), encadrer les conditions d’administration du système d’information (systèmes de filtrage, traçabilité, gestion du poste de travail) et détailler les responsabilités et sanctions en cas de non-respect. L’obligation de signaler toute violation ou tentative de violation, de ne jamais partager ses identifiants, de verrouiller son poste, de respecter les procédures de copie sur supports amovibles fait partie des exigences minimales.

7. Pour renforcer cette culture de sécurité, le guide recommande une politique de classification de l’information (public, interne, confidentiel) avec marquage des documents, supports et e-mails contenant des données confidentielles, ainsi que l’ajout de mentions visibles sur les documents contenant des données sensibles (au sens de l’article 6 de la loi Informatique et Libertés et de l’article 9 du RGPD). Des séances de formation et des campagnes de sensibilisation (y compris des simulations d’attaque comme le phishing) doivent être organisées. L’engagement de confidentialité pour les personnes manipulant des données personnelles, conforme à l’article 32 du RGPD, précise les obligations de non-divulgation, de limitation des usages, de protection physique et logique, d’utilisation de moyens de communication sécurisés et de restitution des supports, ainsi que les sanctions disciplinaires et pénales encourues (notamment au regard des articles 226-13 et 226-16 à 226-24 du code pénal).

Authentifier les utilisateurs et gérer les habilitations

8. L’authentification des utilisateurs est au cœur de la maîtrise des accès. Pour s’assurer qu’un utilisateur n’accède qu’aux données dont il a besoin, il doit disposer d’un identifiant unique et s’authentifier avant toute utilisation des moyens informatiques. Les mécanismes d’authentification reposent sur un facteur de connaissance (mot de passe), un facteur de possession (carte à puce) ou un facteur inhérent (biométrie ou comportement, comme la frappe au clavier). Le traitement de données biométriques visant à identifier un individu de manière unique est un traitement de données sensibles soumis à l’article 9 du RGPD et, sur le lieu de travail, au règlement type relatif à l’accès par authentification biométrique. L’authentification multifacteur combine au moins deux catégories de facteurs et est dite forte lorsqu’un facteur repose sur un mécanisme cryptographique robuste.

9. La CNIL recommande, pour les mots de passe, de les conserver de façon sécurisée, de ne pas imposer de renouvellement périodique aux simples utilisateurs (contrairement aux administrateurs), d’obliger le changement du mot de passe attribué automatiquement lors de la première connexion, et d’imposer une complexité adaptée : entropie minimale de 80 bits par défaut (par exemple 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux, ou 14 caractères avec majuscules, minuscules et chiffres), entropie de 50 bits si des mesures complémentaires sont en place (temporisation, Captcha, blocage après 10 échecs), entropie de 13 bits pour un matériel détenu par l’utilisateur avec blocage après 3 échecs. La CNIL met à disposition un outil de vérification de la politique de mots de passe et recommande l’usage de moyens mnémotechniques (phrases transformées) ou de gestionnaires de mots de passe pour générer et stocker des secrets robustes.

10. Le guide liste également les pratiques à proscrire : communiquer un mot de passe, le stocker en clair ou dans un lieu accessible, l’enregistrer dans un navigateur sans mot de passe maître, utiliser des mots de passe liés à la personne (nom, date de naissance), réutiliser le même mot de passe, conserver les mots de passe par défaut, s’envoyer ses mots de passe par e-mail, utiliser des fonctions cryptographiques non éprouvées ou obsolètes (MD5, SHA-1) pour le stockage. Pour aller plus loin, il est recommandé de privilégier l’authentification multifacteur, de limiter les tentatives d’accès et de bloquer temporairement les comptes, d’imposer un renouvellement périodique pour les administrateurs, de mettre en œuvre des moyens techniques pour faire respecter les règles (blocage en cas de non-renouvellement), d’éviter les identifiants par défaut et de désactiver les comptes par défaut. Les mots de passe doivent être stockés de façon sécurisée, transformés avec une fonction de hachage spécifiquement conçue à cet effet, utilisant un sel ou une clé, en cohérence avec la fiche n°17 « Chiffrer, hacher ou signer ».

11. La gestion des habilitations complète l’authentification. Il s’agit de limiter les accès aux seules données nécessaires à l’accomplissement des missions. Le guide préconise de définir des profils d’habilitation en séparant les tâches et les domaines de responsabilité, de faire valider toute demande d’habilitation par un responsable, de supprimer immédiatement les permissions d’accès en cas de changement de poste ou de fin de contrat, et de réaliser une revue régulière des habilitations (au moins annuelle) pour supprimer les comptes non utilisés et réaligner les droits. Sont à proscrire : les comptes partagés, l’attribution de droits d’administrateur non justifiés, l’octroi de privilèges excessifs, l’oubli de retirer des autorisations temporaires ou de supprimer les comptes des personnes parties. Une politique de contrôle d’accès documentée doit encadrer les procédures d’arrivée, de départ et de changement d’affectation, les conséquences en cas de non-respect et les mesures de restriction et de contrôle des accès, en lien avec la fiche n°4 sur la traçabilité.

Tracer les opérations et gérer les incidents

12. La journalisation et la gestion des incidents sont essentielles pour détecter et traiter les violations de données (atteinte à la confidentialité, à l’intégrité ou à la disponibilité). Un dispositif de gestion des traces et des incidents doit enregistrer les événements pertinents et garantir l’intégrité des enregistrements, sans les conserver de manière excessive. Il convient de prévoir un système de journalisation des activités métier, des interventions techniques (y compris administrateurs), des anomalies et des événements de sécurité, de conserver ces événements sur une période glissante de six mois à un an (sauf obligations particulières), d’enregistrer les opérations de création, consultation, modification et suppression avec l’identifiant de l’auteur, la date, l’heure, la nature de l’opération et la référence des données concernées, et d’informer les utilisateurs de l’existence du dispositif après consultation des instances représentatives du personnel.

13. Les équipements de journalisation et les informations journalisées doivent être protégés contre les opérations non autorisées, les mésusages par des comptes habilités et l’écrasement des données. Les sous-traitants doivent être contractuellement tenus de mettre en œuvre la journalisation conformément aux recommandations. En matière de gestion des incidents, il faut établir des procédures d’analyse des données collectées, de génération d’alertes et de traitement en cas de comportement anormal, s’assurer que les gestionnaires du dispositif notifient rapidement toute anomalie au responsable de traitement, prévoir un dispositif de remontée des incidents par les utilisateurs, diffuser la conduite à tenir et la liste des contacts en cas d’incident, tenir un registre interne des violations de données personnelles et notifier à la CNIL, dans les 72 heures, les violations présentant un risque pour les droits et libertés, ainsi que, en cas de risque élevé et sauf exception, informer les personnes concernées. L’utilisation des journaux à d’autres fins (par exemple le contrôle du temps de travail) constitue un détournement de finalité prohibé.

Sécuriser les postes de travail et l’informatique mobile

14. Les postes de travail sont un point d’entrée majeur pour les intrusions, les virus et la prise de contrôle à distance. Le guide recommande un verrouillage automatique de session, l’installation d’un pare-feu logiciel en limitant l’ouverture des ports aux besoins stricts, l’usage d’antivirus régulièrement mis à jour, une politique de mise à jour automatique des logiciels, la limitation des droits des utilisateurs au strict nécessaire, la centralisation du stockage des données sur des espaces sauvegardés plutôt que sur les postes, la mise à disposition de moyens de sauvegarde ou de synchronisation pour les données locales, et l’effacement sécurisé des données avant réaffectation d’un poste. Les supports amovibles (clés USB, disques externes) doivent être limités, analysés, et l’exécution automatique désactivée. Les outils d’administration à distance doivent recueillir l’accord de l’utilisateur et rendre visible la prise de main.

15. Il est déconseillé d’utiliser des systèmes d’exploitation non supportés ou de donner des droits à privilèges à des utilisateurs non compétents en sécurité. Pour aller plus loin, le guide préconise d’interdire l’exécution d’applications téléchargées de sources non sûres, de limiter les applications nécessitant des droits administrateur, de mettre en place des solutions d’analyse et de décontamination des supports amovibles, de rechercher la source d’une compromission et les traces d’intrusion dans tout le système d’information, d’effectuer une veille de sécurité (par exemple via le CERT-FR), de mettre à jour rapidement les applications et systèmes d’exploitation en cas de failles critiques, de fixer physiquement les postes (câbles antivol) et de diffuser les consignes en cas d’incident.

16. L’informatique mobile (ordinateurs portables, smartphones, clés USB) expose à des risques spécifiques, notamment le vol ou la perte de matériel et l’usage de réseaux non maîtrisés. Les utilisateurs doivent être sensibilisés à ces risques et aux procédures prévues. Il convient de mettre en œuvre des mécanismes maîtrisés de sauvegarde ou de synchronisation des postes nomades, de prévoir des moyens de chiffrement des postes et supports (chiffrement de disque, chiffrement fichier par fichier, conteneurs chiffrés), d’activer le verrouillage automatique des smartphones avec un secret de déverrouillage, et d’informer les utilisateurs des contacts en cas de perte ou de vol. L’usage de services cloud installés par défaut comme outils de sauvegarde ou de synchronisation doit être évité sans analyse approfondie de leurs conditions d’utilisation et de leurs engagements de sécurité, car ils ne respectent généralement pas les préconisations de la fiche n°13 sur la sous-traitance.

17. Pour renforcer la sécurité en mobilité, le guide recommande l’usage de filtres de confidentialité sur les écrans dans les lieux publics, l’interdiction de laisser des équipements ou documents sans surveillance, la prudence dans les conversations portant sur des informations sensibles, la limitation du stockage de données sur les postes nomades (voire son interdiction lors de déplacements à l’étranger), la mise en place de mécanismes de protection contre le vol (câbles, marquage visible) et de limitation des impacts (verrouillage, chiffrement). Lorsque des appareils mobiles servent à la collecte de données en itinérance, les données doivent être chiffrées sur le terminal, un verrouillage après quelques minutes d’inactivité doit être prévu, et une purge des données collectées doit intervenir dès leur transfert vers le système d’information.

Protéger le réseau interne, sécuriser serveurs et sites web

18. La protection du réseau informatique interne vise à n’autoriser que les fonctions réseau nécessaires aux traitements. Il est recommandé de limiter les accès Internet en bloquant les services non nécessaires (VoIP, pair à pair), de gérer les réseaux Wi-Fi avec un chiffrement à l’état de l’art (WPA3 ou WPA2 conforme aux recommandations de l’ANSSI) et de séparer les réseaux invités du réseau interne, d’imposer un VPN pour l’accès à distance avec authentification forte, de s’assurer qu’aucune interface d’administration n’est accessible directement depuis Internet (la télémaintenance passant par un VPN), et de limiter les flux réseau au strict nécessaire via pare-feux, proxies et filtrage des ports. L’usage de Telnet pour la connexion aux équipements actifs est à proscrire au profit de SSH ou d’un accès physique, et un accès Internet non filtré ou un Wi-Fi en WEP ne doivent pas être mis à disposition.

19. La sécurisation des serveurs est une priorité car ils centralisent un grand nombre de données. Le guide préconise de désinstaller ou désactiver les services et interfaces inutiles, de limiter l’accès aux outils d’administration aux seules personnes habilitées, d’utiliser des comptes de moindres privilèges pour les opérations courantes, d’adopter une politique spécifique de mots de passe pour les administrateurs (changement au départ d’un administrateur ou en cas de suspicion de compromission), d’installer sans délai les mises à jour critiques des systèmes et applications, d’utiliser des logiciels de détection de programmes malveillants régulièrement mis à jour, de gérer les bases de données avec des comptes nominatifs et spécifiques à chaque application, de mettre en œuvre des mesures contre les attaques (injection SQL, scripts), d’effectuer des sauvegardes vérifiées (en lien avec la fiche n°10) et de déployer le protocole TLS pour tout échange de données sur Internet, en vérifiant sa bonne mise en œuvre. Les services non sécurisés, l’usage des serveurs comme postes de travail, la présence de bases de données sur des serveurs directement accessibles depuis Internet et les comptes génériques sont à éviter.

20. La sécurisation des sites web impose de garantir l’identité du site et la confidentialité des informations transmises. Le protocole TLS doit être mis en œuvre sur tous les sites, en utilisant les versions les plus récentes, et son usage doit être obligatoire pour toutes les pages d’authentification, de formulaire ou affichant des données personnelles. Les ports de communication doivent être limités au strict nécessaire (par exemple, uniquement le port 443 pour HTTPS), l’accès aux interfaces d’administration doit être restreint aux personnes habilitées, et l’usage de cookies non nécessaires doit être conditionné au consentement préalable de l’internaute après information. Il est recommandé de limiter le nombre de composants, d’en assurer une veille régulière et de les mettre à jour, et de limiter les informations renvoyées lors de la création de compte ou de la réinitialisation de mot de passe pour ne pas révéler l’existence d’un compte. Le transit de données personnelles dans les URL, l’authentification ou les flux en clair, l’usage des serveurs web comme postes de travail, la mise en ligne de bases de données directement accessibles et les comptes génériques doivent être proscrits.

Structurer les contrôles et les moyens de vérification

21. La démarche de sécurité des données personnelles décrite par la CNIL est indissociable de contrôles réguliers et de moyens de vérification techniques. Les audits de sécurité, les tests de vulnérabilité (scans avec des outils comme nmap, nessus, nikto), la surveillance automatique des journaux avec alertes adaptées, les systèmes de détection et de prévention d’intrusion (IDS/IPS), le cloisonnement réseau (séparation réseau interne/DMZ) et le cloisonnement système contribuent à évaluer et à renforcer le niveau de sécurité. Les recommandations de l’ANSSI sur la configuration TLS, la sécurisation des sites web, la sécurisation de l’administration des systèmes d’information, la gestion des clés et les mécanismes cryptographiques fournissent un cadre technique complémentaire.

22. L’ensemble de ces mesures – gestion des risques, AIPD, sensibilisation, charte informatique, authentification, gestion des habilitations, journalisation, gestion des incidents, sécurisation des postes de travail et de l’informatique mobile, protection du réseau interne, sécurisation des serveurs et des sites web – permet de structurer une démarche cohérente de sécurité des données personnelles conforme au RGPD. Cette démarche doit être pilotée, financée et revue régulièrement, en s’appuyant sur les guides et outils de la CNIL et de l’ANSSI, afin de garantir un niveau de sécurité adapté au risque et de démontrer le respect du règlement.

Pour en savoir plus

23. www.cnil.fr

24. La loi Informatique et Libertés

25. Le règlement général sur la protection des données – RGPD

26. Les guides AIPD (analyse d’impact relative à la protection des données)

27. Outil PIA : téléchargez et installez le logiciel de la CNIL

28. Guides CNIL sur la sécurité des données personnelles

29. Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité

30. Vérifier sa politique de mots de passe

31. 5 arguments pour adopter le gestionnaire de mots de passe

32. Le contrôle d’accès biométrique sur les lieux de travail

33. Notifier une violation de données personnelles

34. Notifications d’incidents de sécurité aux autorités de régulation

35. Recommandation relative aux mesures de journalisation

36. Site web, cookies et autres traceurs

37. Agence nationale de la sécurité des systèmes d’information (ANSSI)

38. La méthode EBIOS Risk Manager

39. Mécanismes cryptographiques

40. Recommandations relatives à l’authentification multifacteur et aux mots de passe

41. Sécuriser un site web

42. Recommandations de sécurité relatives à TLS

43. Sécuriser les accès Wi-Fi

44. Recommandations relatives à l’interconnexion d’un système d’information à Internet

45. Recommandations relatives à l’administration sécurisée des systèmes d’information

46. Recommandations pour la mise en place de cloisonnement système

47. Bonnes pratiques à l’usage des professionnels en déplacement

48. CERT-FR – Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques

49. Les bons réflexes en cas d’intrusion sur un système d’information

50. Assistance aux victimes de cybermalveillance

51. Nmap

52. Nessus

53. Nikto2

54. SSL Server Test

55. SSL-Tools

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.