En bref. Le règlement européen sur les données personnelles ne se limite pas à un registre et à une politique de confidentialité. Il impose des mesures techniques : contrôle des accès, chiffrement, sauvegarde, journalisation et capacité à notifier une violation en soixante-douze heures.
Dans les PME, la conformité est souvent traitée comme un sujet juridique, confié à un cabinet, puis rangée dans un classeur. Or l’essentiel des obligations se joue dans la configuration du système d’information. Voici ce qui relève concrètement de l’informatique.
Le principe directeur : sécurité adaptée au risque
Le règlement n’impose pas une liste de technologies. Il exige des mesures « appropriées au risque », appréciées au regard de la nature des données, du volume traité et des conséquences possibles pour les personnes. Une PME traitant des données de santé ou des données bancaires n’a pas le même niveau d’exigence qu’une entreprise gérant un simple fichier clients.
Les huit mesures techniques attendues
| Mesure | Traduction concrète | Effort |
|---|---|---|
| Gestion des accès | Un compte nominatif par personne, droits selon le besoin réel | Faible |
| Authentification | Mots de passe robustes, second facteur sur les accès distants | Faible |
| Chiffrement | Postes portables et supports amovibles chiffrés | Faible |
| Sauvegarde | Sauvegardes régulières, isolées et restaurations testées | Moyen |
| Journalisation | Traces des connexions et actions sensibles, conservées | Moyen |
| Cloisonnement | Réseaux séparés, accès invités isolés | Moyen |
| Mises à jour | Correctifs appliqués sur postes, serveurs et équipements réseau | Continu |
| Effacement | Suppression à l’échéance et effacement sécurisé du matériel réformé | Faible |
La gestion des accès, mesure la plus rentable
C’est celle qui apporte le plus de conformité pour le moins d’effort. Trois règles suffisent : un compte nominatif par personne — les comptes partagés rendent toute traçabilité impossible —, des droits attribués selon la fonction et non par facilité, et une procédure de départ qui coupe les accès le jour même. Cette dernière est le point faible le plus fréquent : d’anciens salariés conservent des accès pendant des mois. Le sujet rejoint celui de la gestion des mots de passe et de la gestion des identités et des accès.
La violation de données et le délai de notification
En cas de violation — perte, divulgation, accès non autorisé, chiffrement par un rançongiciel —, le responsable de traitement doit notifier l’autorité de contrôle dans un délai de soixante-douze heures, sauf si la violation est peu susceptible d’engendrer un risque pour les personnes. Les personnes concernées doivent être informées lorsque le risque est élevé.
Ce délai suppose une préparation : savoir qui décide, qui rédige, quelles informations réunir. Trois éléments doivent être disponibles rapidement : la nature des données touchées, le nombre approximatif de personnes concernées et les mesures prises. Sans journalisation, ces informations sont impossibles à établir — ce qui explique que la journalisation soit une exigence technique et non un confort. Les modalités sont détaillées par la CNIL.
Le registre, côté informatique
Le registre des traitements est souvent rempli par la direction sans le service informatique, ce qui produit un document incomplet. Trois colonnes nécessitent une contribution technique : les destinataires réels des données, y compris les prestataires hébergeurs et éditeurs ; les durées de conservation effectivement appliquées dans les outils, et non celles souhaitées ; et les mesures de sécurité réellement en place.
Les sous-traitants
Chaque prestataire traitant des données pour votre compte — hébergeur, éditeur en mode service, prestataire de paie, infogéreur — doit être encadré par un contrat comportant des clauses spécifiques. Deux vérifications pratiques s’imposent : la localisation des données et les conditions de réversibilité en fin de contrat. Ces deux points recoupent le choix d’architecture évoqué dans notre article NAS ou cloud.
Par où commencer dans une PME
- Cartographier les outils qui contiennent des données personnelles : messagerie, paie, CRM, vidéosurveillance, badgeuse.
- Nettoyer les accès : supprimer les comptes inactifs, revoir les droits, activer le second facteur là où c’est possible.
- Vérifier les sauvegardes et réaliser une restauration de test — voir sauvegardes automatisées et tests.
- Chiffrer les portables et interdire les clés USB non chiffrées.
- Écrire la procédure de réaction à une violation, tenant sur une page.
- Formaliser les usages dans une charte informatique.
Ce qui expose le plus une PME
- Les comptes d’anciens salariés toujours actifs.
- Les ordinateurs portables non chiffrés, dont le vol devient une violation à notifier.
- Les sauvegardes jamais testées, découvertes inutilisables le jour de l’incident.
- Les exports de fichiers vers des tableurs personnels, hors de tout contrôle.
- Les équipements réseau laissés avec leurs identifiants d’usine, y compris les imprimantes — voir imprimantes réseau et sécurité.
Questions fréquentes
Une PME doit-elle désigner un délégué à la protection des données ?
La désignation est obligatoire dans certains cas, notamment en cas de suivi systématique à grande échelle ou de traitement de données sensibles. Hors de ces cas, elle reste possible et souvent utile pour identifier un référent.
Le chiffrement des postes est-il obligatoire ?
Il n’est pas imposé en tant que tel, mais il constitue la mesure attendue pour un équipement mobile contenant des données personnelles. Son absence rend un vol immédiatement qualifiable de violation.
Combien de temps conserver les journaux de connexion ?
Une durée proportionnée à la finalité de sécurité poursuivie, de l’ordre de quelques mois dans la plupart des cas. La conservation illimitée est elle-même contraire au principe de limitation.
Un rançongiciel est-il une violation de données ?
Oui. La perte de disponibilité constitue une violation, même sans exfiltration. La question de la notification se pose donc dès la découverte de l’incident.
Conclusion
La conformité technique d’une PME tient dans une poignée de mesures peu coûteuses : accès nominatifs, portables chiffrés, sauvegardes testées, journaux conservés et procédure de violation écrite. Ce sont les mêmes mesures qui la protègent d’un incident — la conformité n’est ici qu’un effet secondaire d’une informatique bien tenue.
