Hors collection - Droit des données à caractère personnel - 1re - 210

210

DROIT

DES DONNÉES À CARACTÈRE PERSONNEL

vulnérable (mineurs, majeurs protégés), du nombre de personnes concernées ou des usages qui pourraient être faits des données (agrégation des données et traitement en vue de renverser une éventuelle pseudonymisation ou pour réidentifier des personnes concernées, profilage). Il dépend aussi
de la nature, de la portée, du contexte et des finalités du traitement. Les risques créés par le traitement doivent faire l'objet d'une « évaluation objective » qui doit conduire à apprécier leur probabilité et leur gravité, élevées ou non55. Si le traitement est susceptible d'engendrer un risque élevé
pour les droits et libertés des personnes physiques, le responsable du traitement devra réaliser une
analyse d'impact56.
428. Détermination des mesures techniques et organisationnelles. Une fois cette évaluation des
risques opérée, les mesures techniques et organisationnelles appropriées permettant de garantir le
niveau de sécurité adapté au risque doivent être identifiées57. Pour cela, outre les risques et la nature,
la portée, le contexte et les finalités du traitement, l'état des connaissances et le coût de mise en
œuvre des mesures doivent être pris en compte58. Une liste non exhaustive de mesures techniques
que le responsable du traitement peut adopter pour fournir un niveau de sécurité approprié est
dressée par le RGPD :
- pseudonymisation et chiffrement des données ;
- moyens pour garantir la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes de
traitement (par exemple par la protection des locaux, la gestion des habilitations, le traçage des
accès, la journalisation de l'activité, la sécurité des postes de travail et des outils mobiles, la
protection du réseau intranet des organisations, la sécurisation des serveurs59) ;
- moyens pour rétablir la disponibilité et l'accès aux données après un incident de sécurité (sauvegardes, plan de continuation d'activité, archivages indépendants) ;
- procédure de tests réguliers des mesures techniques et organisationnelles visant à assurer la sécurité du traitement60.
La directive (UE) 2016/680 donne d'autres exemples de mesures, essentiellement techniques comme
le contrôle de l'accès aux installations, le contrôle des supports de données, le contrôle de la conservation des données, le contrôle des utilisateurs, le contrôle de l'accès aux données, le contrôle de l'introduction des données, le contrôle du transport des données, la résilience des données, la fiabilité et
l'intégrité du système d'information61. Au titre des mesures organisationnelles, celles-ci couvrent
notamment la formation des personnes concourant au traitement des données, la mise en place de
règles d'hygiène informatique, d'une politique de sécurité des locaux et d'une procédure à suivre en
cas de violation des données à caractère personnel62.
429. Mise en œuvre du traitement. La sécurité du traitement impose aussi de contrôler les modalités
de la mise en œuvre du traitement par les personnes physiques agissant pour le compte du responsable
55. RGPD, cons. 76.
56. V. infra, nº 477 et s.
57. RGPD, art. 32, § 1.
58. RGPD, art. 32, § 1.
59. V. CNIL, La sécurité des données personnelles, 2018, Les guides de la CNIL, www.cnil.fr/sites/default/files/atoms/files/cnil_guide_securite_personnelle.pdf.
60. RGPD, art. 32, § 1.
61. Dir. (UE) 2016/680, art. 29, § 2.
62. En cas de traitement transfrontalier, cette procédure identifiera l'autorité de contrôle chef de file : G29, lignes directrices sur la notification de violations de données à caractère personnel en vertu du règlement (UE) 2016/679, préc.,
p. 19.

http://www.cnil.fr/sites/default/files/atoms/files/c

Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re