RGPD : ce que la loi attend techniquement d'une PME

Le RGPD laisse libre le choix des outils. Il demande de protéger les données personnelles « par des mesures appropriées », de pouvoir le prouver et de prévenir la CNIL d'une fuite, si possible sous 72 heures. Côté informatique, cela tient en cinq points : les accès, les sauvegardes, le chiffrement, les traces et le lieu d'hébergement.

Nous traitons le volet informatique du RGPD. La partie juridique relève d'un conseil spécialisé.

Pourquoi une petite structure est concernée

Le RGPD ne fixe pas de seuil de taille. Une entreprise est concernée dès qu'elle traite des données qui identifient une personne : fichier clients, paie, prospection, enregistrements d'appels, vidéosurveillance.

Un rançongiciel qui bloque le fichier clients est une violation de données, tout comme une messagerie piratée qui laisse fuir les coordonnées des clients. Les obligations s'appliquent alors, même à une structure de cinq personnes.

Les cinq points techniques

1. Qui accède à quoi

Chacun doit accéder à ce dont il a besoin, et pas au reste. Un serveur de fichiers ouvert à tous, dossiers du personnel compris, ne respecte pas cette règle.

Donnez à chacun un compte à son nom, jamais partagé. Revoyez les droits chaque année et fermez le compte de ceux qui partent.

2. Des sauvegardes testées

Le règlement protège aussi la disponibilité des données. Une base clients perdue et impossible à restaurer est un manquement, même si personne ne l'a volée.

Testez vos restaurations. Notre offre de sauvegarde et continuité prévoit une copie chiffrée sur un NAS Synology dans vos locaux et une copie hébergée en France chez Leviia.

3. Le chiffrement

Le règlement cite le chiffrement parmi les mesures appropriées. Si un portable chiffré est volé et que la clé n'a pas fuité, personne ne peut lire les données. Le vol n'a alors en général pas à être notifié à la CNIL. Chiffrez d'abord les portables, les supports de sauvegarde et les fichiers envoyés à l'extérieur.

4. Savoir ce qui s'est passé

En cas d'incident, il faut pouvoir dire quelles données ont été touchées, et quand. Sans traces des connexions, on l'ignore et on part du cas le plus grave. Gardez quelques mois d'historique des accès aux serveurs et à la messagerie.

5. Où sont hébergées les données

Transférer des données personnelles hors de l'Union européenne demande des garanties. Un hébergement en France vous épargne ces démarches. Nos sauvegardes externalisées et notre filtrage de messagerie sont hébergés en France, chez des prestataires français.

La règle des 72 heures

En cas de violation de données personnelles, l'entreprise doit notifier la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes (article 33 du RGPD). Si le risque est élevé pour les personnes concernées, elles doivent aussi être informées directement.

Les traces du point 4 aident à tenir ce délai.

RGPD et NIS2

La directive NIS2 impose des règles de cybersécurité à davantage d'organisations, dont des entreprises moyennes de certains secteurs et certaines collectivités. Elle s'ajoute au RGPD et porte sur la continuité des activités jugées importantes.

Les mêmes mesures servent aux deux : gestion des accès, sauvegardes testées, correctifs, conservation des traces et sensibilisation.

Par où commencer

• Listez où sont les données personnelles. Serveur de fichiers, messagerie, logiciel de gestion, postes, téléphones, et les copies qui traînent sur des clés USB.
• Coupez les accès inutiles, à commencer par ceux des personnes qui ont quitté l'entreprise.
• Testez une restauration et gardez la preuve de ce test.
• Chiffrez les portables et les supports de sauvegarde.
• Formez les équipes : beaucoup d'incidents commencent par un message piégé ouvert trop vite. Nos formations en cybersécurité sont éligibles OPCO.

Notre audit de sécurité vérifie ces points pour les entreprises et les collectivités du Nord Franche-Comté.

Questions fréquentes

Le RGPD s'applique-t-il à une entreprise de moins de dix salariés ?

Oui. Le règlement ne fixe aucun seuil de taille : toute entreprise qui traite des données personnelles est concernée.

Un rançongiciel constitue-t-il une violation de données ?

Oui, dès que des données personnelles deviennent indisponibles ou ont pu être consultées. Le RGPD protège leur disponibilité autant que leur confidentialité. Il faut donc en principe notifier la CNIL, si possible sous 72 heures (article 33).

Que faut-il faire dans les 72 heures après une fuite de données ?

Notifier la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après avoir pris connaissance de la violation, sauf si elle n'est pas susceptible d'engendrer un risque. Informer aussi directement les personnes concernées si le risque est élevé pour elles.

Le chiffrement dispense-t-il de notifier une fuite ?

Il peut l'éviter. Si un matériel volé est chiffré et que la clé n'est pas compromise, les données restent illisibles. Le vol n'a alors en général pas à être notifié à la CNIL. Le chiffrement des portables est donc prioritaire.

Faut-il héberger ses données en France pour être conforme ?

Non. Un hébergement hors de l'Union européenne reste possible, avec des garanties à documenter. Un hébergement en France évite ces démarches.

Faites-vous la mise en conformité juridique au RGPD ?

Non. Nous intervenons sur le volet technique : accès, sauvegardes, chiffrement, traces, hébergement. Le registre des traitements, les bases légales et la désignation d'un délégué à la protection des données (DPO) relèvent d'un conseil spécialisé.