1. La protection des données personnelles et la prévention de la perte de données sensibles reposent sur une approche globale combinant sauvegardes régulières, plan de continuité ou de reprise d’activité, archivage sécurisé, encadrement des développements informatiques, maintenance maîtrisée, gestion de la sous-traitance, sécurisation des échanges, protection des locaux et mécanismes cryptographiques adaptés. Ces exigences s’inscrivent dans le cadre du RGPD, qui impose au responsable de traitement de démontrer la conformité et de garantir un niveau de sécurité approprié aux risques pour les personnes concernées.
2. La CNIL rappelle, dans ses fiches pratiques, que la sécurité ne se limite pas à la technique : elle implique l’organisation (procédures, responsabilités, contrats), la prévention (sensibilisation, tests, audits) et l’anticipation (plans de continuité, gestion de fin de vie des matériels, archivage). L’objectif est de limiter l’impact d’une disparition ou d’une altération non désirée de données, de garantir la disponibilité, l’intégrité, la confidentialité et l’authenticité des informations, tout en respectant les principes de minimisation et de durée de conservation prévus par le RGPD.
3. La fiche 10 insiste sur la nécessité d’effectuer des sauvegardes régulières pour limiter l’impact d’une disparition ou d’une altération non désirée de données. Des copies de sauvegarde doivent être réalisées et testées régulièrement. Un plan de continuité ou de reprise d’activité anticipant les éventuels incidents (par exemple une panne matérielle) doit être préparé afin d’assurer la continuité d’activité et la disponibilité des systèmes essentiels.
4. S’agissant de la sauvegarde des données, il est recommandé d’effectuer des sauvegardes fréquentes, qu’il s’agisse de données papier ou électroniques. Il peut être opportun de prévoir des sauvegardes incrémentales quotidiennes et des sauvegardes complètes à intervalles réguliers. Une sauvegarde incrémentale consiste à n’enregistrer que les modifications faites par rapport à une précédente sauvegarde, ce qui réduit le volume transféré et accélère les opérations, tout en exigeant une bonne maîtrise de la chaîne de restauration.
5. La localisation des supports est un enjeu majeur : il convient de stocker au moins une sauvegarde sur un site extérieur, si possible dans des coffres ignifugés et étanches, afin de se prémunir contre un sinistre majeur sur le site principal. Il est également recommandé d’isoler au moins une sauvegarde hors ligne, déconnectée du réseau de l’entreprise, pour éviter qu’un rançongiciel ou une autre menace informatique ne compromette simultanément les données de production et leurs sauvegardes.
6. Les données sauvegardées doivent être protégées au même niveau de sécurité que celles stockées sur les serveurs d’exploitation. Cela implique, par exemple, de chiffrer les sauvegardes, de prévoir un stockage dans un lieu sécurisé et d’encadrer contractuellement toute prestation d’externalisation des sauvegardes. Lorsque les sauvegardes sont transmises par le réseau, le canal de transmission doit être chiffré s’il n’est pas interne à l’organisme, afin de prévenir l’interception ou la modification des données en transit.
7. En matière de reprise et de continuité d’activité, il est recommandé de rédiger un plan de reprise et de continuité d’activité informatique, même sommaire, incluant la liste des intervenants. Les utilisateurs, prestataires et sous-traitants doivent savoir qui alerter en cas d’incident. La restauration des sauvegardes et l’application du plan de continuité ou de reprise doivent être testées régulièrement pour vérifier leur efficacité réelle et identifier les points de fragilité.
8. La disponibilité des matériels est également prise en compte : il est conseillé d’utiliser un onduleur pour protéger le matériel servant aux traitements essentiels et de prévoir une redondance matérielle des équipements de stockage, par exemple au moyen d’une technologie RAID (Redundant Array of Independant Disk). Le RAID désigne des techniques de répartition de données sur plusieurs supports de stockage afin de prévenir la perte de données consécutive à la panne d’un des supports, mais il ne remplace pas les sauvegardes.
9. La fiche 10 met également en avant ce qu’il ne faut pas faire : conserver les sauvegardes sur les mêmes systèmes que les données sauvegardées sans les isoler, car une menace informatique pourrait s’attaquer aux deux ; conserver les sauvegardes au même endroit que les machines hébergeant les données, car un sinistre majeur à cet endroit entraînerait une perte définitive des données. Pour aller plus loin, le Secrétariat général de la défense et de la sécurité nationale (SGDSN) a publié un guide pour réaliser un plan de continuité d’activité, et, lorsque les exigences de disponibilité sont élevées, il est conseillé de mettre en place une réplication des données vers un site secondaire.
10. La fiche 11 distingue clairement la sauvegarde de l’archivage. Archiver consiste à gérer les données qui ne sont plus utilisées au quotidien mais qui n’ont pas encore atteint leur durée limite de conservation, par exemple parce qu’elles sont conservées pour un éventuel contentieux. Les archives doivent être sécurisées de manière appropriée au regard des risques, de la nature des données et des impacts pour les personnes concernées en cas de violation.
11. Il est recommandé de définir un processus de gestion des archives : quelles données doivent être archivées, comment et où elles sont stockées, comment sont gérées les données descriptives (métadonnées). Des modalités d’accès spécifiques doivent être mises en œuvre, puisque l’utilisation d’une archive doit rester ponctuelle et exceptionnelle. Pour la destruction des archives, il convient de choisir un mode opératoire garantissant que l’intégralité de l’archive a été détruite, afin d’éviter toute réutilisation non autorisée.
12. Parmi les erreurs à éviter, la fiche 11 cite l’utilisation de supports ne présentant pas une garantie de longévité suffisante (par exemple, la longévité des CD et DVD inscriptibles dépasse rarement 4 ou 5 ans) et la conservation des données en base active en les notant simplement comme étant archivées. Les données archivées ne doivent être accessibles qu’à un service spécifique spécialement chargé d’y accéder, ce qui participe à la minimisation des accès et à la réduction des risques de fuite ou de modification.
13. Pour approfondir, la CNIL a publié une recommandation concernant les modalités d’archivage électronique dans le secteur privé. Les données présentant un intérêt historique, scientifique ou statistique sont régies par le Code du patrimoine, et des informations complémentaires sont disponibles sur le site des Archives de France, notamment sur la pérennisation de l’information numérique. En partenariat avec le Service interministériel des archives de France (SIAF), la CNIL a également publié un guide pratique sur les durées de conservation, et le délégué et le comité interministériel aux archives de France ont produit différents documents et référentiels, dont un référentiel général de gestion des archives.
14. La fiche 12 met l’accent sur l’intégration de la sécurité et de la protection des données personnelles dès la conception des projets. La protection des données doit être intégrée dans le cycle de développement informatique dès la phase de conception et pour les configurations par défaut, afin d’offrir aux personnes concernées une meilleure maîtrise de leurs données et de limiter les erreurs, pertes, modifications non autorisées ou mauvais usages.
15. Les précautions élémentaires incluent l’intégration de la protection des données dès la conception de l’application ou du service, y compris les exigences de sécurité des données. Ces exigences se traduisent par des choix d’architecture (décentralisée ou centralisée), de fonctionnalités (anonymisation à bref délai, minimisation des données), de technologies (chiffrement des communications). Il est recommandé de mettre en place une défense en profondeur, c’est-à-dire une combinaison de plusieurs mesures de sécurité, afin de ne pas faire reposer la protection sur une seule ligne de défense.
16. Pour tout développement à destination du grand public, une réflexion doit être menée sur les paramètres influant sur le respect de la vie privée, notamment le paramétrage par défaut. Il est conseillé d’éviter les zones de texte libre ou de commentaire, sources de collecte de données personnelles supplémentaires non nécessaires ou disproportionnées. Des tests complets (unitaires, d’intégration, fonctionnels) doivent être réalisés avant la mise à disposition ou la mise à jour d’un produit.
17. Les développements informatiques et les tests doivent être effectués dans un environnement distinct de la production (ordinateurs ou machines virtuelles différents) et sur des données fictives ou anonymisées. Un audit ou une revue de code doit être réalisé avant tout passage en production d’une mise à jour pour éviter l’apparition de nouvelles sources de violation de données personnelles. Il est explicitement déconseillé d’utiliser des données personnelles réelles pour les phases de développement et de test, sauf cas très encadrés (par exemple en pré-production sécurisée).
18. Pour aller plus loin, la CNIL a publié un guide RGPD de l’équipe de développement pour aider à mettre en conformité les développements informatiques avec la réglementation. Le développement doit imposer des formats de saisie et d’enregistrement qui minimisent les données collectées (par exemple, un champ ne permettant de saisir que l’année de naissance si le mois et le jour ne sont pas nécessaires). Un article dédié aux zones de texte libre ou de commentaires rappelle les bons réflexes pour éviter les dérives. Les conventions ou règles de codage et la documentation sont essentielles pour maintenir l’application dans le temps sans introduire de nouvelles vulnérabilités.
19. Les formats de données doivent être compatibles avec la durée de conservation choisie : si un document numérique doit être conservé 20 ans, il peut être pertinent de privilégier des formats ouverts, plus susceptibles d’être maintenus sur le long terme. La création et la gestion de profils utilisateur donnant des droits d’accès variables selon les catégories d’utilisateur doivent être intégrées dès la conception. Lorsque des tests sur données fictives ne suffisent pas, un environnement de pré-production avec des données réelles peut être utilisé, à condition d’être configuré et sécurisé au même niveau que la production et de n’intervenir qu’après l’ensemble des tests préalables.
20. La fiche 13 rappelle que la sécurité doit être garantie à toutes les étapes du cycle de vie des matériels et logiciels. Les opérations de support doivent être encadrées pour maîtriser l’accès aux données par les prestataires, et les données doivent être effacées de façon sécurisée des matériels destinés à être mis au rebut, envoyés en réparation ou restitués en fin de contrat de location.
21. Il est recommandé d’enregistrer les interventions de maintenance dans une main courante, d’ouvrir les accès nécessaires à la télémaintenance uniquement à la demande du prestataire et pour une durée adaptée, puis de refermer ces accès à l’issue de l’intervention. Les contrats de maintenance doivent comporter une clause de sécurité, et les interventions par des tiers doivent être encadrées par un responsable de l’organisme. Il est déconseillé de laisser seul un intervenant extérieur dans les salles sensibles (par exemple la salle serveur).
22. Avant la mise au rebut, l’envoi en réparation ou la fin de contrat, il faut supprimer de façon sécurisée les données des matériels. Il ne faut pas installer des applications de télémaintenance vulnérables (par exemple celles qui ne chiffrent pas les communications), ni réutiliser, revendre ou jeter des supports ayant contenu des données personnelles sans suppression sécurisée. Il est également déconseillé de laisser un accès complet ou permanent aux systèmes pour la télémaintenance.
23. Pour aller plus loin, il est recommandé de rédiger et mettre en œuvre une procédure de suppression sécurisée des données et d’utiliser des logiciels dédiés à la suppression de données sans destruction physique, ayant été audités ou certifiés. L’ANSSI accorde des certifications de premier niveau (CSPN) à certains de ces logiciels. Des outils de surveillance en temps réel (sessions « 4 yeux ») ou a posteriori (enregistrement) des interventions de télémaintenance peuvent être mis en place, dans le respect des dispositions légales et avec information des personnes concernées.
24. Un exemple de clause de maintenance illustre les bonnes pratiques : chaque opération doit faire l’objet d’un descriptif (dates, nature des opérations, noms des intervenants) transmis au responsable ; en cas de télémaintenance, le prestataire ne peut intervenir qu’après autorisation d’accès ou, selon les cas, après information préalable permettant au responsable d’identifier et de surveiller les accès. Des registres doivent être établis par les deux parties, mentionnant les dates, la nature détaillée des interventions et les noms des auteurs. Cette clause doit être couplée à une clause de confidentialité pour la sous-traitance.
25. La fiche 14 traite de la sous-traitance et de la nécessité d’encadrer la sécurité des données avec les sous-traitants. Les traitements de données réalisés par un sous-traitant pour le compte du responsable de traitement doivent bénéficier de garanties suffisantes, notamment en matière de sécurité. Le responsable de traitement doit connaître le détail des mesures de sécurité mises en œuvre par ses sous-traitants pour la démonstration de la conformité, conformément aux articles 5.2 et 24.1 du RGPD.
26. Il est recommandé de faire appel uniquement à des sous-traitants présentant des garanties suffisantes (connaissances spécialisées, fiabilité, ressources) et d’exiger la communication de la politique de sécurité des systèmes d’information et des éventuelles certifications. Un contrat avec les sous-traitants doit définir l’objet, la durée, la finalité du traitement et les obligations des parties, notamment en termes de sécurité des traitements. Ce contrat doit préciser la répartition des responsabilités et des obligations de confidentialité, les contraintes minimales d’authentification, les conditions de restitution et de destruction des données en fin de contrat, ainsi que les règles de gestion et de notification des incidents, y compris l’information du responsable de traitement en cas de violation de données personnelles.
27. Le contrat doit également prévoir l’assistance que doit fournir le sous-traitant pour garantir le respect des obligations de sécurité (article 32 du RGPD et lignes directrices 07/2020 du CEPD) et la revue régulière des mesures de sécurité, avec les conditions de leur révision. Le responsable de traitement doit disposer de moyens de vérification de l’effectivité des garanties (audits de sécurité, visites des installations). Ces garanties incluent le chiffrement des données selon leur sensibilité ou, à défaut, des procédures garantissant que le prestataire n’a pas accès aux données non nécessaires, le chiffrement des transmissions (HTTPS, VPN), et des mesures de protection du réseau, de traçabilité, de gestion des habilitations, d’authentification et d’audits.
28. Parmi les erreurs à éviter, la fiche 14 cite le fait d’entamer une prestation de sous-traitance sans contrat conforme à l’article 28 du RGPD et le recours à des services de cloud sans garantie quant à la localisation géographique des données ni vérification des conditions légales et des éventuelles formalités auprès de la CNIL pour les transferts de données hors UE. Pour aller plus loin, la CNIL propose un guide pour accompagner les sous-traitants, et il est recommandé de consulter et mettre en œuvre les dispositions de l’article 28 du RGPD.
29. Concernant le cloud computing, il est conseillé de privilégier des sous-traitants adhérant à des codes de conduite (article 40 du RGPD) contenant des exigences en matière de sécurité et des précisions sur les obligations spécifiques au cloud. Des codes approuvés par les autorités après avis du CEPD, comme CISPE et EU Cloud CoC, constituent des références. Pour les données de santé, un hébergeur doit disposer d’une certification d’hébergeur de données de santé (HDS), et l’Agence du numérique en santé publie la liste des hébergeurs certifiés et la liste des hébergeurs agréés encore valides.
30. La fiche 15 traite de la sécurisation des échanges avec d’autres organismes. Sans mesures complémentaires, les canaux grand public (messagerie électronique, messagerie instantanée, plateformes de dépôt de fichiers) constituent rarement un moyen sûr pour transmettre des données personnelles. Une simple erreur d’adresse peut conduire des personnes non habilitées à prendre connaissance de données, et les entités ayant accès aux serveurs de transit peuvent accéder au contenu ou aux métadonnées.
31. Il est recommandé de chiffrer les données avant leur enregistrement sur un support physique à transmettre (clé USB, disque dur portable, disque optique). Lors d’un envoi via un réseau, il convient de chiffrer les pièces sensibles (en se référant à la fiche 17 sur le chiffrement, le hachage et la signature), d’utiliser un protocole garantissant la confidentialité et l’authentification du serveur destinataire pour les transferts de fichiers (par exemple SFTP ou HTTPS, dans leurs versions les plus récentes), et d’assurer la confidentialité des secrets (clé de chiffrement, mot de passe) en les transmettant via un canal distinct des données protégées (par exemple fichier chiffré par e-mail et mot de passe par téléphone ou SMS).
32. Les fichiers provenant de l’extérieur ne doivent être ouverts que si l’expéditeur est connu et après analyse antivirus. Si l’usage du fax est nécessaire, des mesures spécifiques doivent être mises en place : installation du fax dans un local physiquement contrôlé accessible uniquement au personnel habilité, affichage de l’identité du fax destinataire lors de l’émission, doublement de l’envoi par fax par un envoi des documents originaux, et préenregistrement des numéros des destinataires dans le carnet d’adresses. Il est explicitement déconseillé de transmettre des fichiers contenant des données personnelles en clair via des messageries et plateformes grand public.
33. Pour aller plus loin, il est possible d’utiliser des algorithmes à clé publique lorsque les acteurs disposent d’une infrastructure de gestion de clés publiques, afin de garantir la confidentialité, l’intégrité et l’authentification des communications. La signature électronique des données par l’émetteur avant l’envoi permet de garantir qu’il est à l’origine de la transmission. L’usage d’un serveur de dépôt de fichiers temporaires peut être approprié, à condition de paramétrer une durée limitée de mise à disposition, de restreindre l’accès aux seuls destinataires autorisés et, si nécessaire, de chiffrer les fichiers avant dépôt. Certains outils protègent également les métadonnées, ce qui est pertinent lorsque celles-ci sont sensibles. Pour les systèmes les plus sensibles, il est recommandé de cantonner les fichiers venant de l’extérieur dans des zones isolées pour éviter la propagation de logiciels malveillants.
34. La fiche 16 rappelle que la protection des locaux hébergeant les serveurs informatiques et les matériels réseaux est un volet essentiel de la sécurité. L’accès aux locaux doit être contrôlé pour éviter ou ralentir un accès direct non autorisé aux fichiers papier ou aux matériels, et les locaux doivent être protégés contre les incendies, inondations et autres menaces physiques.
35. Les précautions élémentaires incluent l’installation d’alarmes anti-intrusion avec vérification périodique de leur bon fonctionnement, la mise en place de détecteurs de fumée et de moyens de lutte contre les incendies inspectés annuellement, la protection des clés et des codes d’alarme, la distinction des zones des bâtiments selon les risques (par exemple un contrôle d’accès dédié pour la salle informatique), et la tenue à jour d’une liste des personnes autorisées à pénétrer dans chaque zone, avec revue périodique.
36. Les règles de contrôle d’accès des visiteurs doivent être établies, au minimum en imposant un accompagnement en dehors des zones d’accueil du public. L’accès au réseau (prises dans les bureaux, baies de brassage) doit être protégé, et seuls les équipements autorisés doivent pouvoir s’y connecter. Les matériels informatiques doivent être protégés physiquement par des moyens spécifiques (systèmes anti-incendie dédiés, surélévation contre les inondations, redondance d’alimentation électrique, redondance de climatisation). Il est déconseillé de sous-dimensionner ou négliger l’entretien de ces infrastructures, car une panne peut entraîner l’arrêt des machines ou l’ouverture des accès aux salles, neutralisant les mesures de sécurité physique.
37. Pour aller plus loin, il est recommandé de conserver une trace des accès aux salles ou bureaux contenant du matériel traitant des données personnelles pouvant avoir un impact négatif grave en cas d’incident, en informant les utilisateurs et les instances représentatives du personnel. Seul le personnel dûment habilité doit être admis dans les zones à accès restreint, avec port d’un moyen d’identification visible (badge) et enregistrement des arrivées et départs des visiteurs. Les permissions d’accès aux zones sécurisées doivent être réexaminées et mises à jour régulièrement.
38. La fiche 17 détaille l’usage des fonctions de hachage, des signatures numériques et du chiffrement pour assurer l’intégrité, la confidentialité et l’authenticité des informations. Les fonctions de hachage permettent de vérifier que les données n’ont pas été modifiées ; les signatures numériques ajoutent la vérification de l’authenticité du signataire et la non-répudiation ; le chiffrement (parfois improprement appelé cryptage) garantit la confidentialité d’un message.
39. Il est recommandé d’utiliser des algorithmes reconnus et sûrs : SHA-2 ou SHA-3 comme familles de fonctions de hachage, bcrypt, scrypt, Argon2 ou PBKDF2 pour le stockage des mots de passe, AES avec un mode de construction approprié (CCM, GCM, EAX) ou ChaCha20 (avec Poly1305) pour le chiffrement symétrique, RSA-OAEP, ECIES-KEM ou DLIES-KEM pour le chiffrement asymétrique, et RSA-SSA-PSS pour les signatures. Les tailles de clés doivent être suffisantes : pour AES, au moins 128 bits ; pour les algorithmes basés sur RSA, des modules et exposants secrets d’au moins 2 048 ou 3 072 bits, avec des exposants publics adaptés.
40. Les recommandations d’utilisation appropriées doivent être appliquées en fonction de l’algorithme, car les erreurs d’implémentation ont un impact important sur la sécurité. Les clés secrètes doivent être protégées par des droits d’accès restrictifs et un mot de passe sûr. Une procédure de gestion des clés et certificats doit être rédigée, incluant la gestion des cas d’oubli de mot de passe de déverrouillage. Il est déconseillé d’utiliser des algorithmes obsolètes comme DES, 3DES, MD5 ou SHA-1, ou de confondre hachage et chiffrement en considérant qu’une fonction de hachage suffit à assurer la confidentialité.
41. Pour aller plus loin, la CNIL propose une page dédiée pour comprendre les grands principes de la cryptologie et du chiffrement. L’ANSSI a publié des guides sur les mécanismes cryptographiques pour aider les développeurs et administrateurs dans leurs choix d’algorithmes, de dimensionnement et d’implémentation. Lors de la réception d’un certificat électronique, il convient de vérifier l’usage indiqué, la validité, l’absence de révocation et la chaîne de certification. Il est recommandé d’utiliser des logiciels ou bibliothèques cryptographiques vérifiés par des tiers.
42. Différentes solutions de chiffrement peuvent être utilisées : des solutions certifiées ou qualifiées par l’ANSSI, le logiciel VeraCrypt pour la mise en œuvre de conteneurs chiffrés, ou GNU Privacy Guard pour la cryptographie asymétrique (signature et chiffrement). Pour les autorités administratives, les annexes du référentiel général de sécurité (RGS) s’appliquent, notamment les annexes B1 et B2 concernant les mécanismes cryptographiques et la gestion des clés.
43. Les fiches récapitulatives proposées par la CNIL permettent d’évaluer le niveau de sécurité des données personnelles d’un organisme. Elles couvrent la sensibilisation des utilisateurs, l’authentification (identifiant unique, politique de mot de passe, limitation des tentatives), la gestion des habilitations (profils, suppression des permissions obsolètes, revue annuelle), la journalisation et la gestion des incidents, la sécurisation des postes de travail (verrouillage automatique, antivirus, pare-feu), la sécurisation de l’informatique mobile (chiffrement des équipements mobiles, sauvegardes, secrets de déverrouillage), la protection du réseau informatique interne (limitation des flux, VPN, sécurisation des réseaux Wi-Fi avec WPA3), la sécurisation des serveurs (accès restreints, mises à jour critiques, disponibilité des données), la sécurisation des sites web (TLS, contrôle des entrées, gestion des cookies), les sauvegardes et la continuité d’activité, l’archivage sécurisé, l’encadrement des développements informatiques, la maintenance et la fin de vie des matériels et logiciels, la sous-traitance, la sécurisation des échanges, la protection des locaux et l’usage approprié du chiffrement, du hachage et de la signature.
44. L’ensemble de ces mesures forme un cadre cohérent permettant de prévenir la perte de données sensibles, de réduire la probabilité et l’impact des incidents de sécurité, et de démontrer la conformité au RGPD. La mise en œuvre concrète suppose une analyse des risques propre à chaque organisme, la formalisation de procédures, la contractualisation avec les prestataires, la formation des équipes et un suivi régulier (tests, audits, revues de sécurité) pour adapter les dispositifs aux évolutions techniques et réglementaires.
45. « Site web, cookies et autres traceurs » – CNIL
46. « Bonnes pratiques » – ANSSI
47. « Recommandations de sécurité relatives à TLS » – ANSSI
48. « Sécuriser un site web » – ANSSI
49. « Guide pour réaliser un plan de continuité d’activité » – SGDSN / economie.gouv.fr
51. « Préserver les données numériques : de quoi parle-t-on ? » – FranceArchives
52. « Les durées de conservation des données » – CNIL
53. « Publications et ressources » – Gouvernement.fr (archives)
54. « Guide RGPD de l’équipe de développement » – CNIL
55. « Zones bloc note et commentaires : les bons réflexes pour ne pas déraper » – CNIL
56. « Produits certifiés CSPN » – ANSSI
58. « Clauses contractuelles types entre responsable de traitement et sous-traitant » – CNIL
59. Lignes directrices 07/2020 sur les mesures de sécurité – CEPD
Approfondir ce sujet :