Sécurité RGPD : 12 contrôles et preuves à réunir

Pour vérifier la sécurité RGPD, il faut examiner les mesures réellement appliquées, leurs preuves et les risques qu’elles couvrent, et non la seule existence d’une politique écrite. La grille ci-dessous propose douze points de revue. Ce découpage est éditorial : ce n’est pas une liste officielle de « douze mesures CNIL » identiques pour tous les organismes.

Ce que le RGPD exige réellement : l’Art. 32 en quatre paragraphes

L’Art. 32 du RGPD n’impose aucun catalogue de mesures. Il fixe une obligation de résultat raisonnée : le responsable du traitement et le sous-traitant mettent en œuvre des mesures techniques et organisationnelles appropriées, en tenant compte de l’état des connaissances, des coûts, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes.

• Art. 32(1) cite, « entre autres » : la pseudonymisation et le chiffrement (a), les moyens de garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes (b), les moyens de rétablir la disponibilité des données et l’accès à celles-ci en temps opportun en cas d’incident (c), et une procédure pour tester, analyser et évaluer régulièrement l’efficacité des mesures (d).
• Art. 32(2) précise que le niveau de sécurité s’apprécie au regard des risques : destruction, perte, altération, divulgation ou accès non autorisés.
• Art. 32(3) permet de se référer à un code de conduite approuvé ou à une certification pour démontrer le respect de l’article ; ce n’est ni une présomption irréfragable ni une dispense de vérification.
• Art. 32(4) impose que les personnes agissant sous l’autorité du responsable ou du sous-traitant ne traitent les données que sur instruction.

Deux conséquences pratiques. D’abord, l’Art. 32(1)(d) fait du contrôle une obligation en soi : la revue décrite plus bas n’est pas un surplus de zèle. Ensuite, cette obligation s’articule avec le principe d’intégrité et de confidentialité de l’Art. 5(1)(f) et avec le principe de responsabilité de l’Art. 5(2) : il faut pouvoir démontrer ce que l’on a mis en place. Notre analyse de l’Art. 32 du RGPD détaille le cadre juridique ; la présente page est l’outil de contrôle.

Partir du guide de la CNIL, sans le confondre avec la loi

Le guide de la sécurité des données personnelles de la CNIL est organisé en fiches numérotées. À la date de cette révision, la page en recense 25 : pilotage de la sécurité, cadre et formation des utilisateurs, authentification, habilitations, postes de travail, informatique mobile, réseau, serveurs, sites web, développements, locaux, échanges avec l’extérieur, sous-traitance, maintenance et fin de vie, traçabilité, sauvegardes, continuité, incidents et violations, analyse de risques, chiffrement, cloud, applications mobiles, intelligence artificielle et API.

Ce guide est une recommandation : il aide à mettre en œuvre l’Art. 32, mais il n’a pas la valeur d’un texte. En revanche, un écart par rapport à une fiche ne se justifie pas par un simple « nous n’y avons pas pensé » : si vous choisissez une autre mesure, documentez pourquoi elle offre un niveau de protection équivalent pour votre traitement.

Pour un contrôle pratique, sélectionnez un traitement réel et suivez son parcours depuis la collecte jusqu’à l’effacement. Une mesure décrite dans une procédure peut être absente de l’application effectivement utilisée.

Douze points de revue et les preuves à demander

Cette grille est une méthode de travail proposée. Les exemples ne constituent pas des prescriptions techniques universelles : adaptez-les aux données, aux utilisateurs, à l’exposition et aux règles sectorielles. La dernière colonne rattache chaque point aux fiches du guide de la CNIL.

Ajoutez à chaque ligne le propriétaire, la date du contrôle, les limites de l’échantillon et la prochaine action. Un contrat signé ou une licence active n’est pas la preuve que la configuration attendue est appliquée.

Pour le point 11, rappelons que l’Art. 28(1) du RGPD oblige le responsable du traitement à ne recourir qu’à des sous-traitants présentant des garanties suffisantes ; la page sur le contrat de sous-traitance de l’Art. 28 détaille les clauses. Si vous étudiez la protection des terminaux dans un environnement Microsoft, notre fiche Microsoft Defender for Endpoint distingue les plans, les licences serveurs et les fonctions à tester. Vérifiez le périmètre réellement souscrit et l’équipe chargée des alertes avant de généraliser le déploiement.

Comment conduire la revue en pratique

Une méthode simple tient en quatre temps, applicable à un traitement à la fois.

1. Choisir le traitement et le scénario de risque. Par exemple : un employé malveillant ou un compte compromis accède à la base clients depuis l’extérieur.
2. Dérouler les douze points pour ce scénario seulement. Inutile de tout auditer d’un coup : un point sans lien avec le scénario peut être noté « hors périmètre » avec sa justification.
3. Collecter une preuve par point, produite par un test ou une extraction de configuration, et non par une déclaration d’un responsable.
4. Consigner les écarts, leur propriétaire et une échéance, puis refaire le test après correction. C’est la boucle exigée par l’Art. 32(1)(d).

Exemple hypothétique, à titre d’illustration : une PME de services gère un CRM en SaaS. À l’étape 3, l’extraction des comptes montre trois anciens prestataires encore actifs (point 3) et un compte « administrateur » partagé par deux personnes (point 2). Aucun incident n’a eu lieu, mais les deux écarts sont consignés, corrigés sous quinze jours et vérifiés par une nouvelle extraction. Le résultat de la revue est ce dossier daté, pas le sentiment que « tout va bien ».

Authentification : traiter les accès selon leur exposition

Les règles doivent couvrir l’ouverture de session, la récupération du compte, les accès externes et les privilèges. Un mot de passe robuste perd de son intérêt si sa réinitialisation peut être détournée facilement.

Pour les bases concernant « plusieurs millions de personnes », la CNIL a publié le 30 avril 2025 des consignes renforcées : authentification multifacteur pour les accès depuis l’extérieur, avec un second facteur reposant sur la possession, conservation des traces, détection des flux anormaux et plafonnement des volumes de requêtes ou d’extractions. La CNIL y indique que ces mesures sont en principe requises au regard des Art. 5(1)(f) et 32, qu’elle prévoit des contrôles renforcés à partir de 2026 et que l’absence de MFA peut conduire à une procédure de sanction. Il s’agit d’une communication de la CNIL, pas d’un texte nouveau : son périmètre (grandes bases, accès externes) doit être conservé lorsqu’on l’applique à une autre situation.

Le guide de l’authentification multifacteur aide à distinguer facteurs, récupération et exceptions. Le contrôle doit examiner le chemin complet, pas seulement la présence d’une option « MFA » dans une console.

Journaux : collecter ce qui peut être exploité

La délibération n° 2021-122 du 14 octobre 2021 adopte une recommandation sur la journalisation. Elle recommande en principe une conservation des traces entre six mois et un an, une durée plus longue (en pratique au plus trois ans dans les cas les plus courants) devant être justifiée et documentée, par exemple pour du contrôle interne. Elle demande aussi de prévenir les détournements de finalité des journaux eux-mêmes et d’enregistrer au minimum l’identifiant de l’utilisateur, la date et l’heure et l’identifiant de l’équipement. Ces repères relèvent d’une recommandation : ils ne forment pas une durée légale unique pour tout journal.

Proposition de contrôle : simulez une action inhabituelle autorisée, vérifiez sa trace, puis identifiez qui peut la comprendre et la traiter. Un volume important de journaux inexploités ne démontre pas une capacité de détection. Attention également au revers : des journaux conservés sans limite créent leur propre risque au regard de l’Art. 5(1)(e).

Ce que la sanction Free Mobile / Free enseigne

Le 13 janvier 2026, la CNIL a annoncé deux sanctions, SAN-2026-001 et SAN-2026-002 (délibérations du 8 janvier 2026), à l’encontre de Free Mobile (27 millions d’euros) et de Free (15 millions d’euros), soit 42 millions d’euros au total, à la suite d’une violation touchant des données liées à 24 millions de contrats d’abonnés. Selon la communication de la CNIL, les manquements retenus portent sur l’Art. 32 pour les deux sociétés (la procédure de connexion au VPN, utilisé notamment pour le télétravail, n’était pas suffisamment robuste, et les mesures de détection de comportements anormaux étaient inefficaces), sur l’Art. 34 pour les deux sociétés (le courriel d’information omettait des mentions requises) et, pour Free Mobile seulement, sur l’Art. 5(1)(e) (durée de conservation).

Dans la délibération SAN-2026-001, la CNIL examine en outre les modalités de stockage des mots de passe de l’outil MOBO de Free Mobile. Elle précise que la vulnérabilité n’avait pas été exploitée dans l’attaque, mais retient néanmoins un manquement à l’Art. 32 sur ce point (§ 158 à 165). Source : délibération SAN-2026-001. Les montants portent sur plusieurs manquements : ils ne doivent pas être présentés comme le prix d’une seule faiblesse technique. En revanche, ce dossier montre qu’une revue sérieuse doit couvrir à la fois l’authentification des accès distants (points 2 et 4), la détection (point 7) et les faiblesses connues, même si aucun incident ne leur est encore attribué.

Notre fiche sur la notification des violations de données et celle sur l’Art. 34 traitent des obligations qui s’enclenchent lorsque la prévention a échoué.

Classer les écarts pour agir

Priorisez selon l’exposition, les conséquences possibles et les protections déjà disponibles. Ne confondez pas fréquence supposée des sanctions et gravité du risque propre à votre traitement.

Une proposition de classement consiste à distinguer trois niveaux :

Les délais sont des propositions de gestion interne, non des exigences du RGPD. Certaines lacunes documentaires révèlent toutefois une absence de mesure réelle : elles demandent une vérification avant classement.

Le contrôle de restauration des sauvegardes et la gestion des incidents de sécurité permettent de prolonger la revue sur deux capacités concrètes. Pour chaque correction, fixez un responsable et vérifiez le résultat avant de clôturer l’action. C’est ce type de suivi des écarts et des preuves que Legiscope aide à tenir dans la durée.

Ce qu’il faut retenir

• L’Art. 32 impose des mesures appropriées au risque et un test régulier de leur efficacité (Art. 32(1)(d)) ; il ne contient aucune liste fermée.
• Les douze points constituent une grille de revue proposée, pas un catalogue légal universel ; le guide de la CNIL reste une recommandation.
• Contrôlez les configurations et les résultats, en plus des documents, et conservez des preuves datées.
• Une faiblesse peut être retenue même si elle n’a pas été exploitée (SAN-2026-001), et la CNIL attend l’authentification multifacteur pour les accès externes aux grandes bases.
• Les mesures et leurs preuves doivent rester adaptées au traitement examiné.

FAQ

Toutes les entreprises doivent-elles acheter les mêmes outils ?

Non. L’Art. 32 exige une sécurité adaptée au risque. Le choix doit tenir compte du traitement et des prescriptions applicables, puis être vérifié dans l’environnement réel.

Faut-il conserver tous les journaux pendant six mois ?

Il faut déterminer les événements utiles et justifier leur durée de conservation. La recommandation générale de la CNIL (délibération n° 2021-122) retient six mois à un an en principe, avec des adaptations justifiées ; elle ne dispense pas de cette analyse.

L’absence de fuite démontre-t-elle la conformité ?

Non. Elle ne renseigne pas à elle seule sur l’adéquation ni sur l’efficacité des mesures. Les résultats de contrôles et le traitement des vulnérabilités restent nécessaires.

Le guide de la CNIL est-il obligatoire ?

Non, c’est une recommandation. L’obligation vient de l’Art. 32 du RGPD ; le guide sert de référence pour démontrer que les mesures choisies sont appropriées, et tout écart gagne à être justifié par écrit.

Recevez nos analyses conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de 20 ans sur la protection des données et le droit des technologies.