Sécurité des systèmes informatiques et protection des fichiers nominatifs

La délibération recommande une démarche systématique d’évaluation des risques et d’étude générale de la sécurité pour tout nouveau traitement informatique, ainsi qu’un réexamen des traitements existants. Elle rattache cette approche aux articles 3, 21 (paragraphe 3), 29, 36 (paragraphe 3) et 43 (paragraphe 2) de la loi n° 78-17 du 6 janvier 1978.

La sécurité doit être appréciée selon la finalité du traitement, le volume des informations et leur degré de sensibilité. Les détenteurs ou utilisateurs de fichiers nominatifs doivent notamment examiner la fiabilité des matériels et logiciels, ainsi que la résistance des installations aux atteintes accidentelles ou volontaires.

La recommandation met également l’accent sur la formalisation et l’actualisation des règles de sécurité et de confidentialité, la définition claire des responsabilités du personnel et la sensibilisation des catégories professionnelles concernées. Elle préconise enfin une prise en compte de la sécurité dès la conception des produits, ainsi qu’une clarification contractuelle des garanties apportées par les constructeurs et fournisseurs.

⬇️Télécharger la décision version officielle

La CNIL formule des mesures générales de sécurité pour les systèmes informatiques et les fichiers nominatifs. Elle distingue les atteintes accidentelles, liées notamment aux catastrophes ou aux défaillances, des atteintes volontaires visant les équipements, les logiciels ou les informations. Elle recommande d’évaluer systématiquement les risques, de formaliser les mesures de sécurité et de confidentialité, de définir les responsabilités, de sensibiliser les personnels et d’intégrer la sécurité dès la conception.

La Commission Nationale de l’Informatique et des Libertés adopte une délibération relative aux mesures générales de sécurité applicables aux systèmes informatiques et aux fichiers nominatifs.

La délibération relève la diversité des systèmes de traitement, leurs différences de puissance et d’organisation, ainsi que l’évolution permanente des techniques informatiques et de télécommunication. Elle distingue les atteintes accidentelles, liées notamment aux catastrophes naturelles ou aux défaillances des installations, des atteintes volontaires visant les équipements, les logiciels ou les informations.

Elle recommande une évaluation systématique des risques, la formalisation des mesures de sécurité et de confidentialité, la définition des responsabilités, la sensibilisation des personnels et l’intégration de la sécurité dès la conception des matériels et logiciels.

• Évaluer les risques avant la mise en œuvre du traitement
• Tenir compte de la finalité du traitement
• Apprécier le volume des informations traitées
• Évaluer leur degré de sensibilité
• Contrôler la fiabilité des matériels et logiciels
• Prévoir la résistance aux atteintes accidentelles et volontaires
• Définir et actualiser les responsabilités et mesures de sécurité

• Évaluation générale des risques du traitement informatique
• Étude de fiabilité des matériels et logiciels
• Analyse de l’implantation et de l’environnement des locaux
• Document de référence sur la sécurité et la confidentialité

Les détenteurs ou utilisateurs de fichiers nominatifs sont appelés à intégrer la sécurité avant toute mise en œuvre et à réexaminer les traitements existants. Les personnels, fournisseurs et concepteurs doivent contribuer à une organisation documentée, coordonnée et durable de la sécurité.

• Évaluer les risques de chaque nouveau traitement
• Réexaminer périodiquement les traitements existants
• Documenter et actualiser les mesures de sécurité
• Définir précisément les responsabilités des personnels
• Prévoir contractuellement les garanties des fournisseurs

À faire

• Évaluer les risques avant chaque nouveau traitement
• Analyser la finalité, le volume et la sensibilité
• Contrôler la fiabilité des matériels et logiciels
• Formaliser les mesures dans un document actualisé
• Définir les responsabilités des personnels

À éviter

• Mettre en œuvre un traitement sans étude préalable
• Négliger les erreurs et lacunes des logiciels
• Ignorer les risques liés aux locaux
• Laisser les mesures de sécurité obsolètes
• Omettre la sensibilisation des professionnels concernés

Les critères d’évaluation des risques informatiques

La sécurité doit être déterminée sous la responsabilité des détenteurs ou utilisateurs de fichiers nominatifs, avant la mise en œuvre du traitement. L’évaluation tient compte de la finalité du traitement, du volume des informations et de leur degré de sensibilité au regard des risques d’atteinte à la personne humaine.

La fiabilité des matériels et logiciels

La recommandation préconise une étude attentive des matériels et logiciels afin d’éviter que des erreurs, des lacunes ou des cas particuliers ne produisent des résultats préjudiciables aux personnes. La sécurité concerne tout système, quelle que soit sa puissance.

La formalisation des mesures de sécurité

Les dispositions destinées à assurer la sécurité et la confidentialité doivent être définies, consignées dans un document de référence, tenues à jour et respectées de manière permanente. Les responsabilités du personnel doivent être clairement réparties.

Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 3 de la loi n° 78-17 du 6 janvier 1978, Article 21 (par. 3) de la loi n° 78-17 du 6 janvier 1978, Article 29 de la loi n° 78-17 du 6 janvier 1978, Article 36 (par. 3) de la loi n° 78-17 du 6 janvier 1978, Article 43 (par. 2) de la loi n° 78-17 du 6 janvier 1978