Organismes du secteur public et mesures devenues obsolètes face à la notion d’« adéquation »
Points clés à retenir
- L’article 32 présente des catégories illustratives. Il mentionne quatre catégories de mesures sans fournir de liste fixe, laissant le soin d’en juger la pertinence en fonction du risque.
- Le niveau d’exigence évolue avec les données et les menaces. Les mesures doivent rester adaptées à mesure que le volume de données citoyennes et le paysage des menaces évoluent.
- Les défaillances de sécurité entraînent les sanctions majeures. Les actions de contrôle portent principalement sur l’insuffisance des mesures techniques et organisationnelles, et non sur des lacunes documentaires.
- Les tests réguliers sont souvent négligés. L’obligation de tester en continu l’efficacité des mesures est l’élément que la plupart des organismes omettent totalement.
Le RGPD est applicable depuis plusieurs années, et l’article 32 reste la disposition la plus souvent citée lors des sanctions majeures. Les organismes publics qui traitent des données citoyennes à grande échelle ne sont pas exemptés de cette obligation et font souvent face à des attentes accrues, compte tenu de la sensibilité et du volume des données traitées.
Cela s’explique en partie par le fait que l’article 32 ne se présente pas comme une liste à cocher. Il énonce quatre catégories de mesures à titre d’exemple et laisse la notion de « pertinence » à l’appréciation du risque. Cet article détaille ce que ces quatre catégories impliquent concrètement pour les organismes publics.
Résumé exécutif
L’article 32 du RGPD définit quatre catégories illustratives de mesures techniques et organisationnelles. Aucune ne peut se limiter à une mise en œuvre ponctuelle. Pour les organismes publics, la question n’est plus de savoir si l’article 32 a été traité une fois, mais s’il continue d’être respecté face aux risques actuels.
Points clés à retenir
- L’article 32 énonce quatre catégories illustratives de mesures, et non une liste fixe.
- « Adapté au risque » signifie que le niveau d’exigence évolue avec le volume de données citoyennes et le paysage des menaces.
- Les défaillances de sécurité sont à l’origine des principales sanctions RGPD, et non les manquements procéduraux.
- Le chiffrement sans contrôle des clés par le client ne répond que partiellement à la pseudonymisation.
- La quatrième catégorie, à savoir tester régulièrement l’efficacité des mesures, est celle que la plupart des organismes négligent totalement.
Pourquoi la notion d’« adapté » est une cible mouvante pour les données citoyennes
L’article 32 évite délibérément de citer des technologies précises, exigeant plutôt que les mesures soient adaptées au risque lié au traitement concerné.
Un langage fondé sur le risque : le niveau d’exigence évolue avec les données et les menaces
Une mesure jugée adaptée pour une catégorie de données citoyennes ne le reste pas automatiquement si le volume ou le paysage des menaces change.
Les régulateurs évaluent la pertinence selon ce qu’aurait fait un organisme raisonnable
Les décisions de contrôle examinent si les mesures en place correspondent à ce qu’un organisme raisonnable, traitant ce type de données, aurait mis en œuvre.
Ce que requiert concrètement chacune des quatre catégories
Chaque catégorie a connu des défaillances qui se retrouvent régulièrement dans les décisions de contrôle.
Pseudonymisation et chiffrement pour limiter réellement l’exposition
Le chiffrement ne suffit pas si l’entité qui détient les données chiffrées peut aussi les déchiffrer facilement.
Confidentialité, intégrité, disponibilité et résilience continues
Cette catégorie s’inscrit dans la durée, et ne se limite pas à une évaluation lors du déploiement.
Pourquoi cet article reste celui qui entraîne les plus fortes amendes
Les principales sanctions jusqu’en 2026 continuent de porter sur l’insuffisance des mesures techniques et organisationnelles après une violation, et non sur des lacunes documentaires.
Comment bâtir un programme Article 32 pérenne
La bonne approche consiste à considérer les quatre catégories comme des engagements opérationnels continus : vérifier que le chiffrement limite réellement l’exposition, s’assurer que les contrôles d’accès sont surveillés en permanence et tester la reprise après sinistre selon un calendrier réel.
Comment un Data Control Plane contribue à la conformité continue à l’article 32
Le Data Control Plane de Kiteworks prend en charge les clés de chiffrement détenues par le client via un module de sécurité matériel, et les journaux d’audit sont anonymisés par défaut, ajoutant une véritable couche de pseudonymisation. L’architecture à locataire unique et les configurations intégrées de reprise après sinistre garantissent la confidentialité, l’intégrité et la résilience dans la durée, tandis que chaque action sur chaque canal est consignée dans un journal d’audit inviolable et non limité alimentant directement les outils SIEM.
Les organismes souhaitant évaluer leurs mesures actuelles à l’aune d’une nouvelle analyse de l’article 32 peuvent réserver une démo personnalisée.
Foire aux questions
Les défaillances de sécurité sont à l’origine des principales sanctions RGPD, et l’article 32 impose des mesures techniques et organisationnelles continues, qui doivent rester adaptées à l’évolution des risques.
Les mesures requises ne sont pas figées ; le niveau d’exigence évolue avec le volume de données citoyennes et le paysage des menaces, ce qui impose une réévaluation continue selon ce qu’un organisme raisonnable mettrait en place.
Le chiffrement ne répond que partiellement à cette exigence si l’entité qui contrôle les données peut les déchiffrer facilement ; la limitation réelle de l’exposition est atteinte lorsque les organismes conservent la maîtrise des clés de chiffrement.
L’obligation de tester, d’évaluer et de contrôler régulièrement l’efficacité des mesures techniques et organisationnelles est la catégorie la plus souvent négligée, alors qu’elle est essentielle pour garantir la conformité dans la durée.