Article 32 RGPD : Sécurité du Traitement par des Mesures Appropriées au Risque
L'Article 32 impose au responsable et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque : pseudonymisation et chiffrement, confidentialité/intégrité/disponibilité et résilience des systèmes, capacité de rétablir l'accès après incident physique ou technique, processus de test et d'évaluation réguliers. L'appréciation tient compte de l'état de l'art, des coûts de mise en œuvre et de la nature/scope/contexte/finalités du traitement ainsi que des risques.
Mesures Techniques et Organisationnelles Appropriées (Art. 32)
Le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, y compris entre autres selon pertinence : la pseudonymisation et le chiffrement des données à caractère personnel ; la capacité de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et services de traitement ; la capacité de rétablir la disponibilité et l'accès aux données dans les délais appropriés en cas d'incident physique ou technique ; et le processus consistant à tester, analyser et évaluer régulièrement l'efficacité des mesures.
L'appréciation de l'appropriateness n'est pas standardisée : elle prend en compte l'état de l'art, les coûts de la mise en œuvre, ainsi que la nature, la portée, le contexte et les finalités du traitement, et le risque — variable en termes de probabilité et de gravité — pour les droits et libertés des personnes. La même exigence s'impose au sous-traitant pour son périmètre.
- Chiffrement & pseudonymisation : protections cardinales citées expressément par le texte.
- Triade CID : confidentialité, intégrité, disponibilité — plus la résilience et la restauration après sinistre.
- Amélioration continue : tester, analyser, évaluer régulièrement (audits, tests d'intrusion, exercices de restauration de sauvegardes).
- Sécurité par défaut des composants : gestion des accès, journalisation, mises à jour, sauvegardes testées.
- Articulation Article 33 : ces mesures nourrissent la détection et la notification des violations (72 heures).
Référentiels reconnus : les standards ENISA et les certifications/codes de conduite (Articles 40-43) servent de points de référence pour démontrer l'appropriateness. Pour une petite structure, une base réaliste comprend : chiffrement des postes et des sauvegardes, MFA sur les accès administrateurs, politique de mots de passe/gestionnaire centralisé, mises à jour suivies, sauvegardes restaurées périodiquement, et registre des incidents.
Sources Officielles Vérifiées
Règlement général sur la protection des données — Texte de référence européen
Consulter la source officielle (Journal Officiel de l'UE (EUR-Lex)) →Voir aussi dans le Référentiel
Obligations de notification des violations de données sous l'Article 33 du RGPD : notification à l'autorité de contrôle ...
Guide de l'Article 28 du RGPD : clauses obligatoires du contrat de sous-traitance (DPA), responsabilités RT/ST, sous-tra...
Mise en œuvre pratique de l'Article 25 du RGPD et Lignes Directrices 4/2019 du CEPD : intégration proactive des principe...