Le RGPD n'est pas qu'un sujet juridique : son article 32 impose des mesures techniques et organisationnelles de sécurité. Pour un public technique, il faut traduire les obligations en pratiques concrètes de protection des données.
Points clés
- L'article 32 et la sécurité du traitement
- Notification de violation et registre
- Privacy by design et minimisation
L'article 32 et la sécurité du traitement
Détaillez les attentes de l'article 32 : chiffrement, pseudonymisation, confidentialité, intégrité, disponibilité et résilience des systèmes. Montrez comment ces principes se déclinent en chiffrement au repos et en transit, en contrôle d'accès et en journalisation. Reliez le RGPD à des référentiels comme ISO 27001 ou le guide d'hygiène de l'ANSSI. Le RGPD fixe l'objectif, ces référentiels donnent le comment.
Notification de violation et registre
Expliquez l'obligation de notifier la CNIL sous 72 heures en cas de violation de données (article 33), et d'informer les personnes concernées si le risque est élevé. Montrez l'articulation avec la réponse à incident : détecter, qualifier, documenter, notifier. Présentez le registre des traitements (article 30) comme outil de cartographie des données. Cette discipline documentaire est souvent le maillon faible.
Privacy by design et minimisation
Présentez la protection des données dès la conception (article 25) : minimiser les données collectées, limiter la durée de conservation, restreindre les accès au strict nécessaire. Montrez comment cela influence l'architecture (pseudonymisation des identifiants, cloisonnement des bases). Reliez à l'analyse d'impact (AIPD/DPIA) obligatoire pour les traitements à risque. La sécurité et la conformité se construisent en amont, pas après coup.
En pratique
Scénario. En atelier d'une demi-journée, faites travailler les apprenants sur un cas fictif de fuite de base clients (export non chiffré exposé). Ils doivent qualifier la violation, rédiger une notification CNIL sous 72 heures, identifier les mesures techniques manquantes (chiffrement, contrôle d'accès, journalisation) et proposer des correctifs. Vous reliez chaque mesure à un article du RGPD et au guide d'hygiène ANSSI. L'exercice mêle réflexe sécurité et réflexe conformité.
Questions fréquentes
Le RGPD impose-t-il le chiffrement ?
Il ne l'impose pas explicitement mais le cite comme mesure appropriée à l'article 32. En pratique, l'absence de chiffrement sur des données sensibles est difficile à justifier en cas de contrôle.
Qui notifie la violation à la CNIL ?
C'est le responsable de traitement, dans les 72 heures après en avoir pris connaissance. Le sous-traitant doit l'alerter sans délai dès qu'il détecte la violation.
Pour aller plus loin
Pour approfondir : Aborder la cryptographie sans formules · Aborder la securite des conteneurs. Et le reste de nos ressources pour les écoles, OF et formateurs.
Besoin d'un formateur expert ou envie de transmettre ?
tonformateur connecte les écoles et organismes de formation avec des intervenants experts du terrain.
Voir les cours à pourvoir Explorer l'annuaire d'outils →