Hors collection - Quels droits face aux innovations numériques ? - 1re - 95

CHAPITRE 2 - LA

PROTECTION DES LIBERTÉS INDIVIDUELLES

95

protection des données (AIPD)22. La CNIL a également rappelé les précautions élémentaires qui
devraient être mises en œuvre de façon systématique23 :
- sensibiliser les utilisateurs (en particulier les salariés) travaillant avec des données à caractère
personnel des risques liés aux libertés et à la vie privée, en organisant des séances de sensibilisation, en documentant les procédures d'exploitation, en rédigeant une charte informatique ;
- s'assurer de l'authentification des utilisateurs avant toute utilisation des moyens informatiques ;
- gérer les habilitations en limitant les accès aux seules données dont un utilisateur a besoin et en
réalisant une revue annuelle des habilitations ;
- tracer les accès (en utilisant un système de journalisation, dit « logs ») afin de pouvoir identifier
un accès frauduleux ou une utilisation abusive et gérer les incidents ;
- sécuriser les postes de travail et l'informatique mobile car ils constituent un des principaux points
d'entrée en cas d'intrusion frauduleuse : verrouillage automatique de session, installation et mise à
jour régulière d'un antivirus, limiter les droits administrateurs aux personnels ayant des compétences informatiques ou bien encore chiffrement des postes nomades font partie des mesures de
base devant être mises en œuvre ;
- sécuriser le réseau informatique interne, les serveurs, les sites web mais également les locaux
physiques ;
- sauvegarder et prévoir la continuité d'activité en effectuant fréquemment une sauvegarde des
données sur un site extérieur, en protégeant les données sauvegardées au même niveau que
celles stockées sur les serveurs d'exploitation. Il est également conseillé d'établir un plan de
reprise en cas d'attaque informatique ;
- archiver de manière sécurisée les données qui ne sont pas utilisées au quotidien et qui ne doivent
pas être supprimées ;
- encadrer la maintenance et la destruction des données, avec une attention particulière pour la
suppression des données figurant sur les matériels mis au rebus ;
- gérer la sous-traitance en s'assurant du niveau satisfaisant de sécurité du prestataire ;
- sécuriser les échanges avec les tiers, en prévoyant un chiffrement des données personnelles avant
leur transmission sur un support physique (clé USB ou DVD par exemple) ;
- intégrer la protection de la vie privée, notamment en termes d'exigences de sécurité des données,
dès la conception d'une application ou d'un service informatique.
Si toutefois une violation - entendue comme la destruction, la perte, l'altération, la divulgation non
autorisée - de données à caractère personnel devait avoir lieu, le responsable de traitement est tenu de
le notifier à la CNIL (RGPD, art. 33)24. Cette notification doit décrire la nature de la violation et, si
possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories ainsi que le nombre approximatif de données concernées. Il doit aussi décrire les mesures prises
ou qu'il propose de prendre pour mettre un terme à la violation ou en limiter les effets négatifs.
Cette notification doit intervenir dans les 72 heures au plus tard après la prise de connaissance de la
violation. À défaut, le responsable de traitement s'expose à une amende administrative pouvant
s'élever à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.
22. Cette expression correspond au terme Data Protection Impact Assessment (DPIA), employé dans la version anglophone
du RGPD. L'expression Privacy Impact Assessment (PIA) est également envisagée.
23. https://www.cnil.fr/fr/principes-cles/guide-de-la-securite-des-donnees-personnelles
24. Auparavant, cette obligation ne s'imposait qu'aux fournisseurs de services de communication électronique.
https://www.cnil.fr/fr/principes-cles/guide-de-la-securite-des-donnees-personnelles
Hors collection - Quels droits face aux innovations numériques ? - 1re

Table des matières de la publication Hors collection - Quels droits face aux innovations numériques ? - 1re
