Protection des données et déploiement conforme d’un serveur mandataire web filtrant

La conformité du dispositif de sécurité ne peut donc pas être dissociée de celle des traitements qu’il met en œuvre. La recommandation a été élaborée après une consultation publique, dont les contributions ont été analysées et, le cas échéant, intégrées à la version finale. La délibération mentionne également l’article 8-I-2°-b) de la loi n° 78-17 du 6 janvier 1978, sans en préciser les modalités d’application.

⬇️Télécharger la décision version officielle

Ces solutions peuvent contribuer à la sécurité des données, mais reposent elles-mêmes sur des traitements de données à caractère personnel. Un projet de recommandation a été soumis à consultation publique du 28 juillet au 30 septembre 2025. Les retours recueillis ont été analysés et certains ont été pris en compte dans la version finale.

La CNIL a ensuite adopté la recommandation par délibération et prévu la publication de cette dernière au Journal officiel de la République française.

• Utiliser le serveur dans une démarche de sécurité en profondeur
• Rattacher le dispositif à l’obligation de sécurité de l’article 32 du RGPD
• Identifier les traitements de données mis en œuvre par l’outil
• Assurer la conformité de ces traitements au RGPD
• Prendre en compte les observations recueillies lors de la consultation

• Texte de la délibération n° 2026-022
• Référence à l’article 32 du RGPD
• Projet soumis à consultation publique
• Analyse des retours de l’écosystème
• Version finale de la recommandation adoptée

• Évaluer les traitements associés au serveur
• Vérifier leur conformité au RGPD
• Documenter leur contribution à la sécurité
• Prendre en compte la recommandation de la CNIL
• Actualiser l’analyse après publication des orientations

À faire

• Cartographier les traitements du serveur filtrant
• Évaluer les mesures de sécurité déployées
• Vérifier l’application de l’article 32 du RGPD
• Documenter la conformité des traitements associés
• Consulter la recommandation publiée par la CNIL

À éviter

• Assimiler sécurité technique et conformité RGPD
• Déployer le serveur sans analyser ses traitements
• Négliger les données traitées par filtrage
• Écarter les exigences de sécurité applicables
• Ignorer les orientations finales de la CNIL

L’obligation de sécurité des traitements

L’article 32 du règlement (UE) 2016/679 est mentionné comme fondement de l’obligation de sécurité des données. La CNIL indique qu’un serveur mandataire web filtrant peut contribuer à satisfaire cette obligation dans le cadre d’une approche de sécurité en profondeur.

La conformité des traitements associés aux outils de sécurité

Le déploiement d’un serveur mandataire web filtrant repose lui-même sur des traitements de données. La CNIL rappelle que ces traitements doivent également être conformes au RGPD, indépendamment de la contribution de l’outil à la sécurité des données.

La consultation publique d’une recommandation

Le projet de recommandation a été soumis aux observations de l’écosystème du 28 juillet au 30 septembre 2025. Les contributions ont été analysées et, le cas échéant, prises en compte avant l’adoption de la version finale.