Sécurité RGPD : mesures de l’article 32, AIPD et violations
Démontrer que la sécurité de vos traitements est adaptée au risque.
Réponse courte
Sécurité RGPD : de quoi s’agit-il, pour qui, à quel prix ?
Évaluation des mesures de sécurité des traitements de données personnelles, volet sécurité des analyses d’impact (AIPD) et procédure de gestion des violations, prête pour la notification à la CNIL dans les 72 heures. Durée indicative : 3 à 8 semaines selon le nombre de traitements concernés. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Le RGPD ne dit pas quelles mesures installer. Son article 32 demande des mesures techniques et organisationnelles « appropriées » au risque, en tenant compte de l’état des connaissances, des coûts et de la nature du traitement. C’est à vous de démontrer que le niveau choisi est adapté, et c’est là que la plupart des dossiers manquent de substance.
La mission relie la sécurité technique aux obligations de protection des données : évaluation des mesures en place sur les traitements sensibles (chiffrement, contrôle d’accès, journalisation, sauvegardes, tests), volet sécurité d’une analyse d’impact quand elle est requise, procédure de gestion des violations. Celle-ci prépare la notification à l’autorité dans les 72 heures de l’article 33 et, si le risque est élevé, l’information des personnes de l’article 34.
Nous intervenons sur la sécurité. Le registre des traitements, les bases légales, les mentions d’information et les contrats de sous-traitance relèvent de votre délégué à la protection des données ou de votre conseil juridique, avec lesquels nous travaillons. Nous ne délivrons pas de conseil juridique.
En résumé
- Durée indicative
- 3 à 8 semaines selon le nombre de traitements concernés
- Prix
- sur devissur devis après cadrage
- Référentiels appliqués
- RGPD, règlement (UE) 2016/679 (articles 25, 28, 32 à 35)Guide de la sécurité des données personnelles de la CNILLignes directrices 9/2022 du CEPD sur la notification des violationsISO/IEC 27001:2022ISO/IEC 27701
Mission conduite sous accord de confidentialité, sur un périmètre écrit au cadrage.
Réponse à toute demande sous 24 h ouvrées.
Sécurité RGPD : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Mesures de l’article 32
Revue des mesures sur les traitements prioritaires : chiffrement, pseudonymisation, droits d’accès, journalisation, sauvegardes, tests réguliers.
Analyse d’impact (AIPD)
Volet sécurité de l’AIPD : risques sur la confidentialité, l’intégrité et la disponibilité des données, mesures retenues, risques résiduels.
Gestion des violations
Qualification, critères de notification, registre interne de toutes les violations, modèles de notification et de communication aux personnes.
Sous-traitants
Revue des garanties de sécurité des prestataires qui traitent vos données, en appui de l’article 28 : ce qu’ils déclarent, ce qu’ils prouvent.
Protection dès la conception
Intégration des exigences de sécurité dans les projets (article 25), avec une liste de contrôle utilisable par les équipes produit.
Exercice de violation
Simulation d’une fuite de données sur un cas réaliste : qui qualifie, qui décide de notifier, qui parle aux personnes concernées.
Sécurité RGPD : que livre la mission ?
- Rapport d’évaluation des mesures de sécurité, traitement par traitement
- Volet sécurité de l’AIPD, prêt à intégrer au dossier
- Procédure de gestion des violations et modèles de notification
- Registre des violations initialisé
- Plan d’action priorisé sur les écarts de sécurité
Qu’est-ce que cela change pour vous ?
- Un dossier qui montre pourquoi les mesures retenues sont adaptées au risque
- Une décision de notifier prise en heures, pas en jours
- Des projets qui intègrent la sécurité avant leur mise en production
Sécurité RGPD : pour qui est-ce utile ?
- Responsables de traitement et sous-traitants qui manipulent des données sensibles ou en grand nombre
- Éditeurs SaaS dont les clients demandent des garanties sur l’article 32
- Délégués à la protection des données qui veulent un appui technique
- Organisations qui préparent une analyse d’impact pour un nouveau projet
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Sécurité RGPD : combien de temps dure la mission ?
Durée indicative : 3 à 8 semaines selon le nombre de traitements concernés. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Préciser l’exigence visée, les entités et les systèmes concernés, et la date à tenir.
- 02
Analyse de l’existant
Lire vos documents, vos pratiques et vos contrats pour mesurer l’écart avec le référentiel visé.
- 03
Plan d’action
Écrire les actions à mener, leur ordre, leur coût estimé et la personne qui porte chacune.
- 04
Production et accompagnement
Rédiger avec vos équipes les documents, les procédures ou le dossier, ou les guider dans leur rédaction.
- 05
Revue et validation
Faire relire par les décideurs, corriger, puis remettre la version finale.
- 06
Préparation de l’échéance
Préparer l’audit, la certification ou la présentation au client, et prévoir la mise à jour du dispositif.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez traiter, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Sécurité RGPD : ce qu’on nous demande
Quand une analyse d’impact (AIPD) est-elle obligatoire ?
Lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes (article 35). La CNIL publie une liste de types de traitements qui l’exigent, et le Comité européen de la protection des données propose des critères, comme la collecte à grande échelle, les données sensibles ou les personnes vulnérables. L’AIPD se mène avant la mise en œuvre, avec le délégué à la protection des données, et se revoit quand le contexte évolue.
Dans quel délai faut-il notifier une violation de données à la CNIL ?
Au plus tard 72 heures après en avoir pris connaissance, si la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes (article 33). Si ce risque est élevé, les personnes concernées sont aussi informées (article 34). Toute violation, notifiée ou non, doit être consignée dans un registre interne avec les faits, les effets et les mesures prises. La notification reste une démarche du responsable de traitement.
Un test d’intrusion suffit-il à démontrer la conformité à l’article 32 ?
Il y contribue : l’article 32 demande une procédure pour tester, analyser et évaluer régulièrement l’efficacité des mesures. Mais il ne remplace ni les mesures elles-mêmes, ni leur justification par rapport au risque, ni la gestion des accès ou des sauvegardes. Un test d’intrusion est une preuve parmi d’autres, à replacer dans un dossier qui décrit le traitement, les risques retenus et les mesures prises.
Pour comprendre avant de décider
- ArticleRépondre à un questionnaire de sécurité client : méthode et piègesPourquoi vos clients vous envoient des questionnaires de sécurité, comment bâtir une base de réponses vérifiées, que répondre quand une mesure manque et quoi transmettre.
- ArticleQue faire en cas de cyberattaque ou de rançongiciel : la première heureLes gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
Quelles prestations s’y associent ?
Analyse de risques EBIOS
Des risques décrits avec vos métiers, pas piochés dans un catalogue.
2 à 6 semaines selon l’objet analysésur devis
Réponse à incident
Comprendre, contenir, puis remettre en service, dans cet ordre.
intervention sous 24 h ouvrées ; sous 4 h pour les clients sous contratdès 1 190 €
Formation développeurs
Des développeurs qui voient la faille pendant l’écriture, pas après le test d’intrusion.
1 à 3 jours de formation, avec suivi optionnelsur devis
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « Sécurité RGPD » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début