Le RGPD ne fixe pas une liste de produits à acheter. Il demande que les mesures de sécurité soient appropriées aux risques. Pour un délégué à la protection des données (DPO), deux articles servent de point de départ.
Article 32 : des mesures appropriées
L’article 32 demande de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque. Il cite notamment :
- la pseudonymisation et le chiffrement des données personnelles ;
- les moyens de garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes ;
- les moyens de rétablir l’accès aux données rapidement après un incident ;
- une procédure de test, d’analyse et d’évaluation régulière de l’efficacité de ces mesures.
Le dernier point est souvent le plus négligé. Une mesure qui n’est jamais testée ne peut pas être démontrée.
Article 33 : notifier une violation
En cas de violation de données personnelles, le responsable de traitement notifie l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures suivant la prise de connaissance de la violation. La notification n’est pas nécessaire si la violation est peu susceptible d’engendrer un risque pour les personnes.
Le texte impose aussi de documenter toute violation, même celles qui ne sont pas notifiées. Un registre simple, tenu à jour, vaut mieux qu’une mémoire collective.
Un plan réaliste
- Savoir où sont les données. Un inventaire des traitements et des sous-traitants est la base de tout le reste.
- Préparer la détection. Qui reçoit l’alerte, à quelle heure, et qui décide qu’il y a violation.
- Écrire la procédure de notification. Modèle de message, personne qui signe, canal vers l’autorité.
- Tester. Un exercice simple une fois par an montre les points faibles avant un vrai incident.
Les données exposées sur Internet sans que personne ne le sache sont un cas fréquent. Une vue externe des domaines de l’organisation aide à les repérer. Atlas est en développement pour cet usage.