Authentification multifacteur : la CNIL adopte une recommandation conforme au RGPD

La délibération s’inscrit dans les missions exercées par la CNIL sur le fondement de l’article 8-I-2°-b) de la loi n° 78-17 du 6 janvier 1978. Le projet a été soumis à consultation publique du 28 mars au 31 mai 2024. Les contributions reçues ont été analysées et, lorsqu’il y avait lieu, intégrées à la version finale. La recommandation annexée est ainsi adoptée et sa publication au Journal officiel est ordonnée.

⬇️Télécharger la décision version officielle

La CNIL a préparé une recommandation destinée à accompagner les acteurs concernés. Le projet a été soumis à une consultation publique du 28 mars au 31 mai 2024. Après analyse des contributions reçues et prise en compte de certaines d’entre elles, la CNIL adopte la version finale de la recommandation et prévoit sa publication au Journal officiel.

• Utiliser l’authentification multifacteur comme élément de sécurité des données
• Évaluer les traitements de données reposant sur le dispositif
• Assurer la conformité de ces traitements au RGPD
• Prendre en compte les retours pertinents issus de la consultation publique
• Adopter et publier la recommandation applicable aux acteurs concernés

• Constat d’une augmentation des menaces cyber professionnalisées
• Projet de recommandation soumis à consultation publique
• Contributions de l’écosystème analysées par la CNIL
• Retours pertinents intégrés à la version finale

• Évaluer la contribution du MFA à la sécurité des données
• Identifier les traitements de données associés au dispositif
• Vérifier la conformité de ces traitements au RGPD
• Prendre en compte la recommandation adoptée par la CNIL
• Consulter la version publiée au Journal officiel

À faire

• Identifier les traitements liés à l’authentification multifacteur
• Évaluer leur conformité aux exigences du RGPD
• Documenter la contribution du MFA à la sécurité
• Consulter la recommandation CNIL adoptée
• Suivre la version publiée au Journal officiel

À éviter

• Déployer un MFA sans analyser les traitements associés
• Considérer le MFA comme automatiquement conforme au RGPD
• Négliger les menaces cyber pesant sur les données
• Ignorer les exigences de l’article 32 du RGPD
• Utiliser une version non actualisée de la recommandation

L’obligation de sécurité de l’article 32 du RGPD

La CNIL indique que l’authentification multifacteur peut contribuer au respect de l’obligation de sécurité prévue à l’article 32 du règlement (UE) 2016/679, dans un contexte de menaces cyber croissantes et professionnalisées. Cette contribution ne dispense toutefois pas d’assurer la conformité au RGPD des traitements de données mis en œuvre par le dispositif lui-même.

La conformité des traitements associés à l’authentification multifacteur

Les solutions de sécurité, dont l’authentification multifacteur, reposent sur des traitements de données. La CNIL rappelle que ces traitements doivent eux-mêmes être conformes au RGPD. La recommandation adoptée vise à accompagner les acteurs dans la mise en œuvre de cette technologie, sans que le texte fourni ne détaille les mesures particulières à appliquer.

La consultation publique des recommandations de la CNIL

Le projet de recommandation a été soumis à consultation publique du 28 mars au 31 mai 2024. Les retours de l’écosystème ont été analysés puis, le cas échéant, intégrés dans la version finale. Cette procédure a précédé l’adoption de la recommandation par la CNIL et sa publication au Journal officiel.