Les fabricants traitent aussi des données personnelles
Le RGPD est applicable depuis plusieurs années, et l’article 32 reste la disposition la plus souvent citée dans les principales sanctions. Les fabricants qui traitent des données personnelles d’employés, de clients et de fournisseurs, en plus des données d’ingénierie, ne sont pas exemptés de cette obligation.
En partie, cela s’explique par le fait que l’article 32 ne s’apparente pas à une simple liste de contrôle. Il définit quatre catégories de mesures à titre d’exemple et laisse le soin d’évaluer ce qui est « approprié » en fonction du risque. Cet article détaille ce que ces quatre catégories exigent concrètement pour les fabricants.
Résumé exécutif
L’article 32 du RGPD présente quatre catégories de mesures techniques et organisationnelles à titre d’exemple. Aucune ne se limite à une mise en œuvre ponctuelle. Pour les fabricants, la question pratique, plusieurs années après l’entrée en vigueur du règlement, n’est pas de savoir si l’article 32 a été traité une fois, mais s’il est toujours respecté face aux risques actuels.
Résumé des points clés
- L’article 32 définit quatre catégories de mesures à titre d’exemple, et non une liste fixe.
- « Approprié au risque » signifie que le niveau d’exigence évolue avec la sensibilité des données et le contexte de menace.
- Les défaillances de sécurité sont à l’origine de la plupart des sanctions majeures liées au RGPD, et non les lacunes procédurales.
- Le chiffrement sans gestion des clés par le client ne répond que partiellement à la pseudonymisation.
- La quatrième exigence, tester régulièrement l’efficacité des mesures, est celle que la plupart des fabricants négligent totalement.
Pourquoi « approprié » est une cible mouvante pour les données personnelles
L’article 32 évite volontairement de citer des technologies précises, exigeant plutôt que les mesures soient adaptées au risque lié au traitement concerné.
Un langage basé sur le risque : le niveau d’exigence évolue avec les données et la menace
Une mesure jugée adaptée pour une catégorie de données personnelles ne le reste pas automatiquement si la sensibilité ou le contexte de menace évolue.
Les autorités lisent « approprié » à l’aune de ce qu’un fabricant raisonnable aurait fait
Les décisions d’application évaluent si les mesures en place correspondent à ce qu’un fabricant raisonnable, manipulant ce type de données, aurait mis en œuvre.
Ce que chaque catégorie exige concrètement
Chaque catégorie a donné lieu à des échecs qui se retrouvent régulièrement dans les décisions des autorités.
Pseudonymisation et chiffrement qui limitent réellement l’exposition
Le chiffrement ne répond que partiellement à cette exigence si l’entité qui détient les données chiffrées peut aussi les déchiffrer par défaut.
Confidentialité, intégrité, disponibilité et résilience continues
Cette catégorie s’inscrit dans la durée, et ne se limite pas à une évaluation unique lors du déploiement.
Pourquoi cet article reste celui qui entraîne les plus grosses sanctions
Les principales sanctions jusqu’en 2026 continuent de porter sur des mesures techniques et organisationnelles insuffisantes après une violation, et non sur des lacunes documentaires.
Construire un programme Article 32 qui tient la distance
La bonne pratique consiste à considérer les quatre catégories comme des engagements opérationnels permanents : vérifier que le chiffrement limite réellement l’exposition, s’assurer que les contrôles d’accès sont surveillés en continu, et tester la reprise après sinistre selon un calendrier réel.
Comment un Data Control Plane facilite la conformité continue à l’article 32
Le Data Control Plane de Kiteworks prend en charge les clés de chiffrement détenues par le client via un module matériel de sécurité, et les journaux d’audit sont anonymisés par défaut, ajoutant une véritable couche de pseudonymisation. L’architecture à locataire unique et les configurations de reprise après sinistre intégrées garantissent la confidentialité, l’intégrité et la résilience dans la durée, tandis que chaque action sur chaque canal est enregistrée dans un journal d’audit inviolable et non limité alimentant directement les outils SIEM.
Les fabricants souhaitant évaluer leurs mesures actuelles à l’aune d’un nouvel audit Article 32 peuvent réserver une démo personnalisée.
Foire aux questions
Les défaillances de sécurité sont à l’origine des décisions de sanction majeures liées au RGPD, bien plus que les manques documentaires. L’article 32 impose des mesures techniques et organisationnelles adaptées au niveau de risque actuel, à maintenir dans la durée.
Cette expression signifie que les mesures exigées ne sont pas figées : le niveau d’exigence évolue avec la sensibilité des données et le contexte de menace. Les autorités vérifient si un fabricant raisonnable, traitant des données similaires, aurait mis en place les mêmes contrôles.
Le chiffrement ne répond que partiellement à cette exigence si l’organisation détentrice des données peut les déchiffrer par défaut ; pour limiter réellement l’exposition, il faut que les clés de chiffrement soient détenues par le client.
La quatrième exigence — tester, évaluer et apprécier régulièrement l’efficacité des mesures — est celle qui manque le plus souvent dans les programmes de conformité.