Adopté en 2016, le « Règlement Général sur la Protection des Données », encadre le traitement des données personnelles sur le territoire de l’Union européenne. Le RGPD fait de la sécurité un pilier incontournable de la protection des données personnelles, et la CNIL rappelle que cybersécurité et sécurité des données sont aujourd’hui indissociables pour garantir la confiance numérique.
🤔 Qu’est-ce que le RGPD et à quoi sert-il ?
Le RGPD, pour « Règlement général sur la protection des données » (en anglais « General Data Protection Regulation ») encadre le traitement des données personnelles dans toute l’Union européenne et s’applique à tout organisme qui traite des données de résidents européens. Sa finalité est de protéger les droits et libertés des personnes (vie privée, maîtrise de leurs informations), en imposant des règles sur la licéité des traitements, la transparence, la minimisation des données, la durée de conservation et la sécurité.
🛡️ Pourquoi la sécurité des données est un pilier de la protection des données
Sans sécurité (confidentialité, intégrité, disponibilité), impossible de garantir une protection effective des données et des personnes. Le RGPD consacre donc l’obligation de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté aux risques.
💡 (extrait, article 32, RGPD) Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque.
Mettre en œuvre des mesures de sécurité des données ou de cybersécurité permet, en effet, de réduire le risque d'être victime d'une cyberattaque susceptible de conduire à une atteinte aux données personnelles : fuite, vol, altération, indisponibilité. Agir pour la sécurité des données, c'est également augmenter la capacité de détection et de remédiation de ces attaques.
✅ Les recommandations de la CNIL en matière de sécurité des données
Le guide "sécurité des données personnelles" de la CNIL publié en 2024 la mise en place de deux approches complémentaires :
- La mise en place d'un socle de sécurité concernant la sécurité des utilisateurs, la sécurité des postes de travail, réseaux, applications, la maîtrise des données et la préparation aux incidents.
- L’analyse des risques pour les personnes concernées par le traitement qui vise à identifier et évaluer les risques spécifiques au traitement. L'approche par l'analyse des risques est également promue par l'Agence nationale de la sécurité des systèmes d'information avec sa méthode EBIOS Risk Manager.
🎯 Les solutions proposées par l'ANSSI pour la sécurité des données
Pour aider les organisations à renforcer la sécurité de leurs données, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) propose sur MesServicesCyber un programme d'accompagnement cyber gratuit, basé sur le référentiel Cyber France (ReCyF).
Pour les organisations peu matures en cybersécurité, les mesures Cyberdépart permettent d'atteindre les fondamentaux de la sécurité, sans jargon technique, souvent applicables en quelques minutes. Ce module est disponible directement en ligne ou en étant accompagné par un Aidant cyber bénévole lors d'une session d'une heure.
À la clé : le badge Cyberdépart qui valorise la démarche. Pour aller plus loin, un parcours de sécurisation complet couvre un ensemble complet de mesures protégeant contre les risques cyber les plus courants — et 6 mesures spécifiques à la protection des données personnelles, élaborées avec la CNIL. Ce parcours facilite également la démarche de mise en conformité avec la directive NIS2.
Cet article a été créé en mobilisant des publications et contenus émanant principalement de l'ANSSI ou d'autres acteurs publics, a mobilisé des solutions d’intelligence artificielle, et a fait l'objet d'une relecture et de modifications avant publication.