RGPD et cybersécurité : ce que l'article 32 exige vraiment

En bref

• La CNIL a reçu 6 167 notifications de violations de données en 2025. Un incident sur deux résulte d'un piratage.
• L'article 32 du RGPD n'impose pas une liste de mesures mais une obligation de moyens appropriés au risque : c'est votre analyse qui doit être défendable.
• La sécurité des données figure parmi les trois principaux motifs de sanction en 2025, année où la CNIL a prononcé 83 sanctions pour 486,8 M€.
• Le délai de 72 heures pour notifier une violation court à partir du moment où vous en avez connaissance, pas de la fin de l'enquête.

Deux sujets, une seule réalité

Beaucoup d'entreprises traitent le RGPD comme un dossier juridique (registre des traitements, mentions d'information, contrats de sous-traitance) et la cybersécurité comme un dossier informatique. Les deux avancent séparément, souvent avec des interlocuteurs différents, et se rencontrent le jour de l'incident. C'est le plus mauvais moment.

Le RGPD impose de protéger les données personnelles que vous traitez. Cette protection ne peut être obtenue que par des mesures de sécurité concrètes. À l'inverse, une bonne posture cyber ne suffit pas à être conforme : encore faut-il l'avoir documentée, avoir identifié les traitements et être capable de réagir dans les délais prévus. Les deux démarches se renforcent, mais ni l'une ni l'autre n'absorbe la seconde.

Les chiffres montrent à quel point elles se recouvrent. Dans son rapport annuel 2025, la CNIL fait état de 6 167 notifications de violations de données, dont un incident sur deux relève d'un piratage. Trois enseignements en ressortent, selon ses propres termes : personne n'est épargné, les violations sont de plus en plus massives, et elles impliquent souvent des sous-traitants.

Ce que le RGPD exige réellement en matière de sécurité

L'article 32 : une obligation de moyens, pas une check-list

L'article 32 impose au responsable de traitement et à son sous-traitant de mettre en œuvre « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Il cite explicitement quatre pistes :

• la pseudonymisation et le chiffrement des données personnelles ;
• des moyens garantissant la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes ;
• la capacité de rétablir la disponibilité des données en cas d'incident, dans des délais appropriés ;
• une procédure de test et d'évaluation régulière de l'efficacité des mesures.

Ce que le texte ne dit pas est aussi important : il ne fixe aucun seuil, aucune technologie, aucune fréquence. Le critère est la proportionnalité au risque, apprécié au regard de l'état de l'art, des coûts, de la nature des données et de la gravité des conséquences pour les personnes.

Concrètement, cela signifie que vous devez pouvoir expliquer vos choix. Une PME qui traite des données de santé et une agence de communication qui gère un fichier de prospects n'ont pas les mêmes obligations pratiques. Mais toutes deux doivent être en mesure de dire pourquoi elles ont retenu telles mesures, et pourquoi elles en ont écarté d'autres. En cas de contrôle, c'est cette traçabilité du raisonnement qui fait la différence, davantage que la sophistication de l'outillage.

Le quatrième point (tester régulièrement) est celui qui manque le plus souvent. Une sauvegarde jamais restaurée ne satisfait pas l'obligation de « rétablir la disponibilité » : elle en fait l'hypothèse.

Le point le plus négligé : la maîtrise des sous-traitants

L'article 28 impose de ne recourir qu'à des sous-traitants présentant des garanties suffisantes, et d'encadrer la relation par un contrat comportant des clauses de sécurité précises. La CNIL relève que les violations notifiées en 2025 « impliquent souvent des sous-traitants ».

Le constat rejoint celui du DBIR 2026 de Verizon, qui mesure une hausse de 60 % des violations impliquant un tiers, désormais 48 % du total, et jusqu'à 55 % chez les PME. Votre prestataire de paie, votre CRM en ligne, votre hébergeur : chacun détient des données dont vous restez responsable devant la CNIL et devant les personnes concernées. Le contrat ne transfère pas la responsabilité, il organise les rôles.

La notification de violation : maîtriser les 72 heures

C'est l'obligation qui prend le plus d'entreprises au dépourvu, parce qu'elle impose de décider vite avec une information incomplète.

Qu'est-ce qu'une violation ?

Le RGPD retient une définition large : toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles. Cela couvre le piratage, mais aussi le vol d'un ordinateur portable, l'envoi d'un fichier au mauvais destinataire, la perte d'une clé USB ou un rançongiciel qui rend les données indisponibles, l'indisponibilité est une violation, même sans fuite.

Les deux obligations à distinguer

• Notifier la CNIL (article 33) dans les 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les personnes. Au-delà de 72 heures, la notification doit être motivée.
• Informer les personnes concernées (article 34), dans les meilleurs délais, lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

Deux précisions qui évitent des erreurs coûteuses. D'abord, le délai court à partir du moment où vous avez connaissance de la violation, avec un degré raisonnable de certitude : pas à partir du moment où votre enquête est terminée. Une notification initiale incomplète, complétée ensuite, est prévue par le texte et vaut mieux qu'une notification tardive.

Ensuite, une violation qui ne remplit pas les critères de notification doit tout de même être consignée dans un registre interne des violations. Cette obligation, systématiquement oubliée, est vérifiée en contrôle.

Ce qu'il faut avoir préparé à l'avance

Soixante-douze heures, week-end compris, c'est court quand il faut simultanément endiguer l'incident, comprendre son périmètre et rédiger une notification. Trois éléments doivent exister avant :

1. Qui décide de notifier, et qui rédige. Le DPO s'il y en a un, sinon un référent identifié nommément.
2. Une cartographie minimale : où sont les données personnelles, dans quels systèmes, sur qui portent-elles. Sans cela, la question « combien de personnes sont concernées ? » reste sans réponse pendant des jours.
3. Une capacité de journalisation suffisante pour déterminer ce qui a été consulté ou exfiltré. Sans journaux, vous devrez notifier au pire scénario faute de pouvoir démontrer l'inverse.

Ce que la CNIL sanctionne réellement

Le bilan des sanctions 2025 donne une image utile des priorités. La CNIL a prononcé 83 sanctions pour un montant total de 486 839 500 € et adopté 143 mises en demeure. Les trois principaux sujets sont les cookies, la surveillance des salariés et la sécurité des données.

Deux enseignements pour une PME. D'une part, la majorité des sanctions (67 sur 83) relèvent de la procédure simplifiée, conçue pour des manquements courants et des structures de taille modeste : le risque n'est pas réservé aux grands groupes. D'autre part, la sécurité insuffisante est sanctionnée en tant que telle : un manquement à l'article 32 n'a pas besoin d'être accompagné d'un préjudice spectaculaire pour être relevé.

Une remarque de bon sens, souvent absente des discours sur la conformité : dans un incident réel, l'amende est rarement le premier coût. L'interruption d'activité, la reconstruction du système d'information, la perte de clients et le temps de direction absorbé pèsent généralement davantage.

Les mesures qui servent les deux objectifs

Une même mesure sert souvent la conformité RGPD et la résilience opérationnelle. Voici celles au meilleur rendement.

Réduire la donnée

La mesure de sécurité la plus efficace, et la plus sous-employée : ce que vous ne détenez pas ne peut pas fuiter. La minimisation et la limitation de conservation sont des principes du RGPD (article 5) et, simultanément, une réduction directe de votre surface d'exposition. Purger les fichiers de prospection dormants, supprimer les exports laissés sur des postes, appliquer des durées de conservation réelles : c'est gratuit et immédiatement efficace.

Chiffrer ce qui sort du bureau

Le chiffrement des postes portables, des téléphones et des supports amovibles change la qualification juridique d'un vol de matériel : des données correctement chiffrées, avec des clés non compromises, peuvent réduire le risque au point de ne pas déclencher l'information des personnes concernées.

Maîtriser les accès

Le principe du moindre privilège, la revue périodique des habilitations et la suppression des comptes des partants relèvent autant de l'article 32 que de l'hygiène informatique. L'authentification multifacteur sur les applications contenant des données personnelles est aujourd'hui considérée par la CNIL comme une mesure attendue dès lors que la compromission d'un compte présente un risque significatif.

Journaliser

Sans journaux, aucune détection et aucune analyse post-incident. La CNIL en fait une mesure de sécurité à part entière, en veillant à ce que la journalisation elle-même respecte le RGPD : durée de conservation limitée, accès restreint, et information des salariés puisque ces journaux constituent un traitement de leurs données.

Sauvegarder et tester

La « capacité à rétablir la disponibilité » de l'article 32 se démontre par des restaurations testées. C'est exactement la mesure qui vous sauve face à un rançongiciel.

Questions fréquentes

Faut-il un DPO dans une PME ?

La désignation n'est obligatoire que dans trois cas : organisme public, suivi systématique et à grande échelle des personnes, ou traitement à grande échelle de données sensibles. En dehors de ces cas, la désignation est facultative, mais identifier un référent interne reste indispensable, ne serait-ce que pour tenir le délai de 72 heures.

Un rançongiciel constitue-t-il toujours une violation de données ?

Oui dès lors que des données personnelles sont concernées, y compris sans exfiltration : le chiffrement par l'attaquant est une perte de disponibilité, qui entre dans la définition. La double extorsion pratiquée par la plupart des groupes ajoute par ailleurs une perte de confidentialité.

Notre hébergeur est certifié, sommes-nous couverts ?

Non. La certification de votre sous-traitant est un élément de garantie au sens de l'article 28, mais vous restez responsable du traitement. Vous devez encadrer contractuellement la relation, connaître les mesures appliquées et prévoir les modalités de notification en cas d'incident chez lui.

Que risque-t-on à ne pas notifier une violation ?

L'absence de notification est un manquement autonome, sanctionnable indépendamment de la violation elle-même. Elle est en outre difficile à dissimuler : les groupes criminels publient le nom de leurs victimes, et les personnes concernées finissent par apprendre l'incident par ailleurs.

Pour aller plus loin

Notre diagnostic de maturité cyber couvre la gouvernance des données, la gestion des accès et la capacité de réaction. Pour un accompagnement DPO, un audit de sécurité ou la mise en conformité de vos contrats de sous-traitance, consultez des prestataires certifiés.

Sources

• CNIL, Rapport annuel 2025 (notifications de violations de données).
• CNIL, Sanctions et mesures correctrices : le bilan 2025.
• Règlement (UE) 2016/679 (RGPD), articles 5, 28, 32, 33 et 34.
• Verizon, 2026 Data Breach Investigations Report.