Cybersécurité et RGPD : le rôle clé du DPO

Vous pilotez une fonction conformité ou sécurité, et la jonction entre cybersécurité et RGPD vous occupe désormais plus que les questions purement juridiques. Le constat est partagé dans toutes les organisations qui traitent des données à caractère personnel : la conformité au Règlement général sur la protection des données (RGPD) ne tient plus sans un dispositif technique robuste, et la sécurité informatique ne suffit plus sans gouvernance des données. Le Délégué à la protection des données (DPO, Data Protection Officer) se trouve à cette intersection, en lien direct avec le Responsable de la sécurité des systèmes d’information (RSSI) et la direction générale.

L’article 32 du RGPD : la sécurité comme obligation juridique

L’article 32 du RGPD pose le principe : le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Le texte ne fournit pas une liste fermée de contrôles. Il fixe un objectif de résultat, modulé par la sensibilité des données, le contexte du traitement et les coûts de mise en œuvre.

Quatre piliers structurent cette obligation. La pseudonymisation et le chiffrement des données à caractère personnel sont cités explicitement. La capacité à garantir la confidentialité, l’intégrité, la disponibilité et la résilience constante des systèmes vient ensuite. Le rétablissement de la disponibilité et de l’accès aux données en cas d’incident physique ou technique dans des délais appropriés constitue le troisième pilier. Enfin, la mise en place d’une procédure visant à tester, analyser et évaluer régulièrement l’efficacité des mesures ferme la liste.

Cette obligation a une portée pratique très concrète. Une faille de chiffrement, un accès non journalisé ou un plan de reprise inexistant peuvent être qualifiés par la Commission nationale de l’informatique et des libertés (CNIL) de manquement à l’article 32, indépendamment même d’un incident avéré. Les sanctions peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, et les délibérations publiques des dernières années montrent une CNIL exigeante sur ce point.

Violation de données : notification à la CNIL en 72 heures

Les articles 33 et 34 du RGPD encadrent la notion de violation de données et l’obligation de notification. Une violation, au sens du règlement, est une violation de la sécurité entraînant la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données à caractère personnel. Le périmètre est large : un courriel envoyé au mauvais destinataire, un ordinateur portable volé, un rançongiciel qui chiffre une base, une exfiltration par un prestataire compromis, tout cela constitue une violation.

Lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, le responsable du traitement notifie la CNIL dans les 72 heures suivant la prise de connaissance du fait. La notification précise la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ou proposées pour y remédier. Si toutes ces informations ne sont pas disponibles dans le délai, une notification initiale est faite, puis complétée.

Lorsque le risque est élevé, l’article 34 ajoute une obligation : informer les personnes concernées dans les meilleurs délais, en termes clairs et simples, avec des recommandations concrètes pour limiter les conséquences. La CNIL a publié une grille d’évaluation du niveau de risque qui distingue absence de risque, risque, et risque élevé selon la nature des données, le volume, l’identifiabilité et la facilité d’exploitation par un tiers malveillant.

Le DPO joue ici un rôle pivot. Il qualifie l’incident, conseille sur la nécessité de notifier, rédige la déclaration sur le téléservice de la CNIL, coordonne la communication aux personnes concernées et tient le registre interne des violations exigé par l’article 33-5. Sans DPO opérationnel, le délai de 72 heures est rarement tenu.

DPO et RSSI : deux fonctions complémentaires, pas concurrentes

La sécurité de l’information préexistait au RGPD. Dans la plupart des grandes organisations, un RSSI pilotait déjà la politique de sécurité, les normes ISO 27001 et les audits techniques. L’arrivée du DPO en 2018 a créé un binôme nouveau, dont le bon fonctionnement conditionne l’efficacité du dispositif global. Le partage des rôles mérite d’être clarifié dès le départ pour éviter doublons et angles morts. Pour aller plus loin sur ce point, lire notre comparatif détaillé entre DPO et RSSI qui détaille les périmètres de chacun.

Le RSSI porte la sécurité de tous les actifs informationnels de l’organisation : données à caractère personnel, mais aussi données stratégiques, propriété intellectuelle, secrets industriels. Sa boussole est la disponibilité, l’intégrité et la confidentialité de l’ensemble du système d’information. Le DPO, lui, porte la conformité au RGPD pour les seules données à caractère personnel, mais il couvre l’intégralité du cycle de vie de ces données : licéité du traitement, information des personnes, exercice des droits, durées de conservation, transferts hors Union européenne, et sécurité.

Sur le terrain de la sécurité, leurs périmètres se recouvrent. Le DPO exprime des exigences en matière de protection des données à caractère personnel, le RSSI les traduit en mesures techniques et organisationnelles, et ils conduisent ensemble les analyses d’impact relatives à la protection des données (AIPD) lorsqu’un traitement présente un risque élevé. Un comité de pilotage trimestriel, un canal d’alerte commun et un registre des incidents partagé suffisent à structurer ce dialogue. Pour les structures qui n’ont pas encore désigné de DPO, notre guide sur le rôle de Délégué à la protection des données précise les obligations de désignation.

Mesures techniques minimales attendues par la CNIL

La CNIL ne publie pas de référentiel obligatoire, mais ses guides et sanctions dessinent un socle technique attendu de toute organisation. Ce socle a évolué avec les pratiques d’attaque, et il est aujourd’hui difficilement contestable.

Le chiffrement des données sensibles au repos et en transit constitue le premier rempart. AES-256 pour le stockage, TLS 1.2 ou 1.3 pour les flux : ces standards sont aujourd’hui le minimum exigible. Le chiffrement des sauvegardes et des disques des postes mobiles n’est plus optionnel.

La pseudonymisation est citée par l’article 32 comme mesure exemplaire. Elle consiste à remplacer un identifiant direct par une référence technique, la table de correspondance étant stockée séparément. Une base pseudonymisée reste une base de données à caractère personnel, mais son exploitation par un tiers compromis devient nettement plus difficile.

L’authentification forte, ou MFA (Multi-Factor Authentication), couvre les accès aux applications sensibles, aux comptes à privilèges et aux outils d’administration. La CNIL a sanctionné plusieurs organisations dont les comptes administrateurs étaient accessibles par simple mot de passe, et la jurisprudence est désormais claire.

La gestion des accès suit le principe du moindre privilège : chaque utilisateur dispose des droits strictement nécessaires à ses missions, les comptes à privilèges sont nominatifs, journalisés et revus périodiquement. Les comptes génériques partagés sont à proscrire pour tout accès à des données à caractère personnel.

Les sauvegardes régulières, testées, immuables et stockées hors ligne ou hors site, sont devenues vitales avec la montée des rançongiciels. Une politique de sauvegarde 3-2-1 (trois copies, deux supports, un site distant) reste une référence pragmatique.

La journalisation des accès et des opérations, conservée sur une durée proportionnée et protégée contre l’altération, permet à la fois la détection d’incidents et la fourniture de preuves en cas de contrôle ou de procédure.

Mesures organisationnelles : politique, sensibilisation, gestion d’incidents

Aucune mesure technique ne tient sans une politique claire et des collaborateurs sensibilisés. C’est souvent là que se joue la différence entre une organisation conforme et une organisation exposée.

La politique de sécurité de l’information formalise les règles applicables : usage des postes, gestion des mots de passe, accès aux locaux, télétravail, utilisation du cloud, sous-traitance. Adossée à la politique de protection des données, elle constitue le document de référence opposable en interne.

La sensibilisation et la formation des collaborateurs sont une obligation indirecte du RGPD via l’article 39, qui charge le DPO de cette mission. Phishing, ingénierie sociale, hygiène numérique, gestion des données à caractère personnel dans les usages quotidiens : un programme annuel, court et concret, vaut mieux qu’une formation lourde tous les trois ans. Elle fait partie de la culture de la cybersécurité et du RGPD que toute organisation doit installer.

La gestion des incidents repose sur une procédure écrite, testée, qui couvre la détection, la qualification, le confinement, l’éradication, la communication interne, la notification éventuelle à la CNIL et le retour d’expérience. Le DPO et le RSSI sont co-pilotes de ce processus.

La tenue d’un registre des activités de traitement structuré est aussi un pilier organisationnel. Il documente, pour chaque traitement, les mesures de sécurité associées et facilite l’analyse d’un incident lorsqu’il survient.

Cas pratique : un rançongiciel exfiltre une base clients

Une PME française du secteur de la distribution subit un rançongiciel un samedi matin. Les serveurs internes sont chiffrés, et les attaquants annoncent l’exfiltration d’une base clients de 80 000 lignes contenant noms, adresses postales, téléphones, courriels et historiques d’achat.

Lundi 8 heures, le DPO est alerté par le RSSI. Le compteur des 72 heures démarre à la prise de connaissance des éléments suffisants pour qualifier la violation. La qualification est immédiate : exfiltration confirmée, données identifiantes, risque pour les droits et libertés. La notification à la CNIL est préparée le lundi après-midi et déposée le mardi sur le téléservice. Elle indique la nature de la violation, le volume, les conséquences probables (phishing ciblé, usurpation), les mesures déjà prises (déconnexion, restauration des sauvegardes, dépôt de plainte) et celles à venir.

L’évaluation du risque conclut à un risque élevé. La direction décide donc d’informer les 80 000 clients dans les sept jours via un courriel cosigné par le directeur général et le DPO, complété par une bannière sur le site et un numéro vert temporaire. Le DPO documente l’ensemble dans le registre interne des violations et coordonne avec le RSSI le retour d’expérience : ajout d’une authentification multifacteur sur les accès distants, segmentation du réseau, sauvegardes immuables externalisées, exercice de simulation tous les six mois.

L’enquête CNIL ouverte trois mois plus tard se conclut sans sanction grâce à la qualité de la documentation produite et à la rapidité de la notification. Cet exemple montre que la valeur d’un DPO opérationnel ne se mesure pas à la prévention des incidents, mais à la maîtrise du moment de crise. La sécurité des données personnelles est un objectif qui se prouve dans l’action coordonnée entre fonctions, pas dans une politique de papier.

Construire une culture commune cybersécurité et RGPD

Le DPO efficace n’oppose pas conformité et sécurité. Il les ancre dans une même boucle : analyser les risques, choisir les mesures, documenter, contrôler, ajuster. Il s’appuie sur le RSSI pour la profondeur technique, sur les métiers pour la connaissance des traitements, et sur la direction générale pour les arbitrages d’investissement. Pour aller plus loin sur les compétences attendues et les certifications utiles, notre panorama des formations en cybersécurité recense les parcours qui complètent utilement un profil DPO ou conformité.

Au fil des années, la frontière entre cybersécurité et RGPD s’est estompée pour ne plus former qu’un seul sujet de gouvernance des données. Les organisations qui l’ont compris tôt en tirent un avantage : leurs incidents coûtent moins cher, leurs contrôles CNIL se passent mieux, et leurs clients leur accordent une confiance qui se traduit dans les appels d’offres. Celles qui maintiennent les deux fonctions en silos paient l’addition, tôt ou tard, sous la forme d’une sanction, d’une fuite de données ou d’une perte de marché.