Analyse des risques : quelles preuves juridiques ?

Une méthode d’analyse des risques aide à justifier les décisions de sécurité : ce qui doit être protégé, les événements redoutés, les mesures retenues et les risques qui subsistent. Elle ne procure pas une immunité juridique. Sa valeur tient aux décisions effectivement mises en œuvre et aux preuves conservées.

Cette page historique est actualisée au regard du RGPD applicable : les références à un projet de règlement et à l’ancienne numérotation de la loi Informatique et Libertés ne constituent plus le cadre de travail actuel.

L’exigence juridique : une sécurité adaptée au risque

L’Art. 32(1)–(2) du RGPD impose au responsable du traitement et au sous-traitant des mesures techniques et organisationnelles appropriées. L’appréciation tient notamment à l’état des connaissances, aux coûts, au traitement et aux risques pour les personnes. L’Art. 32(1)(d) prévoit aussi une procédure d’évaluation régulière de l’efficacité des mesures.

Le texte ne rend pas une méthode commerciale particulière obligatoire pour tous les traitements. Il ne suffit pas non plus de posséder un rapport d’analyse si les correctifs retenus n’ont pas été appliqués. Les éléments techniques doivent pouvoir être rapprochés de la sécurité des données personnelles.

À quoi sert une méthode comme EBIOS Risk Manager ?

L’ANSSI présente EBIOS Risk Manager comme une démarche structurée en cinq ateliers. Elle fournit un cadre pour relier le périmètre, les sources de risque, les scénarios et le traitement du risque. L’organisation doit adapter le travail à son contexte et disposer des compétences nécessaires.

L’intérêt juridique pratique est de rendre l’arbitrage explicable. Pour une synthèse des approches, consultez l’analyse des risques EBIOS et ISO. Une méthode ne doit pas être choisie uniquement parce que son nom figure dans un appel d’offres : vérifiez le livrable, le périmètre et l’usage prévu après l’étude.

Commander une étude dont les limites sont visibles

Avant de demander une cotation, définissez la décision attendue. S’agit-il d’ouvrir un accès distant, de migrer une application ou de revoir un traitement déjà exploité ? Un rapport couvrant le réseau du siège ne renseigne pas nécessairement sur les fichiers exportés par les métiers ni sur les interventions du prestataire. Faites apparaître ces exclusions dès la commande ; elles permettent d’éviter qu’une conclusion locale soit utilisée pour autoriser un projet plus large.

L’ANSSI distingue le socle de sécurité, les sources de risque, les scénarios stratégiques et opérationnels, puis le traitement du risque. Ses scénarios ciblés portent sur des menaces intentionnelles. Cela invite à vérifier, séparément, que votre dossier traite aussi les erreurs, pertes et destructions accidentelles pertinentes pour les données personnelles. Le nom de la méthode ne prouve pas que chaque situation a été examinée.

Demandez au prestataire de préciser les entretiens réalisés, les documents consultés et ce qui reste déclaratif. Une assurance orale selon laquelle « les sauvegardes fonctionnent » n’a pas la même portée qu’un compte rendu de restauration sur le périmètre étudié. Si aucune vérification technique n’entre dans la mission, le rapport doit le laisser comprendre. Vous pourrez alors commander le contrôle manquant, sans attribuer à l’étude une assurance qu’elle n’apporte pas.

Rendre la cotation compréhensible pour les décideurs

Une note rouge ou un score élevé doit renvoyer à une conséquence définie. Décrivez les personnes susceptibles d’être touchées, la durée et l’étendue de l’effet, ainsi que les protections déjà prises en compte. Pour un fichier de rendez-vous, l’arrêt du service et la divulgation de certaines consultations peuvent appeler des analyses différentes. Un faible coût financier pour l’entreprise ne signifie pas un faible préjudice pour les personnes.

Conservez également le sens des échelles utilisées. Si « probable » désigne une appréciation d’expert et non une fréquence mesurée, indiquez-le. Une donnée inconnue doit rester identifiable : transformer l’absence d’inventaire en faible exposition rendrait la conclusion trompeuse. L’équipe peut proposer une mesure provisoire et une recherche complémentaire ; elle ne doit pas présenter une estimation incertaine comme un résultat démontré.

Pour préparer l’arbitrage, ajoutez à la fiche trois éléments : les solutions envisagées, la raison de leur choix ou de leur rejet et les conditions de validité de la décision. Une solution peut réduire l’exposition en supprimant un accès ou une copie inutile, sans nouvel outil. Le dossier doit permettre de comprendre pourquoi une dépense est pertinente et quel risque elle réduit, au lieu de juxtaposer un budget et une liste de vulnérabilités.

Une fiche de décision exploitable

Pour chaque risque important, conservez une fiche reliant l’analyse à l’action :

Cette fiche est une proposition de travail, pas un formulaire légal imposé. Une acceptation interne du risque ne peut pas rendre licite un traitement qui ne respecte pas ses obligations.

Exemple hypothétique : une PME identifie un accès administrateur distant insuffisamment protégé. L’étude relève le risque, mais la preuve utile inclut aussi l’activation de l’authentification renforcée, le retrait des anciens comptes et la vérification des accès. Le statut « action décidée » doit rester distinct de « mesure opérationnelle vérifiée ».

Passer d’une recommandation à une preuve utilisable

Reprenons l’exemple de l’accès administrateur, entièrement fictif. L’entreprise décide de renforcer l’authentification, mais l’accès de secours emprunte une autre voie. Le dossier ne peut donc pas conclure que tous les accès sont protégés sur la seule base du paramétrage de la connexion principale. Il faut préciser quels chemins sont concernés, lesquels restent à examiner et qui peut autoriser leur utilisation.

Voici un classement de pièces proposé pour cette situation. Il distingue ce que chaque document peut établir, sans prétendre qu’un contrôle a réellement été réalisé :

Une capture isolée ne démontre pas l’efficacité durable de l’ensemble. Conservez le périmètre, la date, la personne ayant vérifié et le résultat observé. Si l’opération ne porte que sur un échantillon, nommez cet échantillon. Les autres comptes ne deviennent pas vérifiés par extension.

Le suivi doit aussi traiter les écarts. Un responsable peut avoir accepté un report en attendant une intervention ; mentionnez alors la mesure temporaire, sa limite et la date de nouvelle décision. À l’échéance, vérifiez la réalisation au lieu de reconduire automatiquement un statut favorable. Une signature interne ne dispense jamais de respecter le niveau de sécurité approprié exigé par le RGPD.

Analyse de sécurité et AIPD : deux regards complémentaires

L’AIPD de l’Art. 35 ne se limite pas à la résistance d’un système à une attaque. Lorsqu’elle est requise, elle examine notamment les finalités, la nécessité, la proportionnalité et les risques pour les droits et libertés. Une étude technique peut l’alimenter ; elle ne la remplace pas automatiquement. RGPD, Art. 35(1) et (7).

Associez les métiers, la sécurité et la protection des données pour éviter de limiter l’analyse à la disponibilité du service. Une collecte excessive peut être problématique même lorsque les serveurs sont correctement protégés.

Organiser un dossier consultable sans multiplier les copies

Un dossier de risque contient souvent des informations sensibles sur les faiblesses du système. Préparez une synthèse pour l’arbitrage et maintenez les pièces techniques dans un espace dont l’accès correspond aux missions. Cette organisation proposée évite de distribuer les détails d’une vulnérabilité à chaque participant à une réunion budgétaire. Elle ne doit pas empêcher les responsables compétents d’obtenir les éléments nécessaires à leur décision.

Reliez les documents par une référence stable : scénario, action, pièce justificative et version de l’étude. Lors d’un changement de fournisseur, vous pourrez ainsi retrouver les hypothèses devenues fausses. Une action anciennement close peut devoir être réexaminée si la mesure dépendait de fonctions qui n’existent plus dans le nouveau service.

Enfin, distinguez les conclusions de sécurité des autres conditions de licéité. Le chiffrement d’un fichier ne justifie ni sa collecte ni sa durée de conservation. Lorsque l’AIPD est nécessaire, rapprochez les résultats techniques de son analyse des droits et libertés et des mesures prévues. Si elle fait apparaître un risque élevé que les mesures envisagées n’atténuent pas suffisamment, l’Art. 36(1) impose une consultation préalable de l’autorité de contrôle. Un arbitrage interne favorable ne remplace pas cette étape.

Faire vivre les conclusions

Après l’audit de sécurité, transformez chaque recommandation retenue en action suivie. Conservez les résultats des vérifications et les raisons d’un report. Réexaminez l’étude lorsqu’un fournisseur, un usage, une architecture ou le contexte de menace change de manière pertinente.

Le dossier permet alors de montrer un raisonnement et une exécution, plutôt qu’une simple intention. Il n’empêche ni un contrôle ni une responsabilité lorsque les mesures prises restent insuffisantes au regard des obligations applicables.

Ce qu’il faut retenir

• La méthode structure l’analyse ; la conformité dépend aussi de l’exécution.
• Reliez chaque risque aux personnes, aux mesures et aux preuves.
• Distinguez analyse de sécurité et AIPD.
• Documentez les décisions et vérifiez l’efficacité des actions dans le temps.

FAQ

EBIOS est-elle obligatoire au titre du RGPD ?

Le RGPD n’impose pas cette méthode de façon générale. Des exigences particulières peuvent toutefois résulter du contexte réglementaire ou contractuel.

Un rapport d’analyse protège-t-il contre une sanction ?

Il peut contribuer à documenter la démarche. Il ne neutralise pas un manquement et doit être confronté aux mesures effectivement appliquées.

Quand faut-il refaire l’analyse ?

Prévoyez une revue proportionnée au risque et des déclencheurs liés aux changements ou incidents. Une échéance interne ne doit pas empêcher un réexamen plus tôt lorsque le contexte l’exige.

Recevez nos analyses de conformité et de sécurité.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies.