RGPD et cybersécurité : obligations pour les PME

• L’article 32 du RGPD impose de mettre en œuvre des mesures techniques adaptées au risque : chiffrement, gestion stricte des accès, mises à jour régulières.
• Toute violation de données doit être notifiée à la CNIL sous 72 heures après sa découverte, et aux personnes concernées lorsque le risque est élevé pour elles.
• Le registre des activités de traitement, document obligatoire pour la quasi-totalité des entreprises, sert aussi de preuve de bonne foi lors d’un contrôle.
• Une entreprise reste responsable des données confiées à ses sous-traitants (hébergeur, logiciel de paie, prestataire informatique) : des garanties contractuelles sont exigibles.
• Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé, pour les manquements les plus graves.

L’article 32 du RGPD impose de mettre en œuvre des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque. Concrètement, cela recouvre le chiffrement des données sensibles, une gestion stricte des droits d’accès, et des mises à jour régulières des systèmes exposés. L’authentification multifacteur devient une norme de fait pour sécuriser les comptes qui donnent accès à des données personnelles.

L’absence de mesures de sécurité élémentaires reste l’un des premiers motifs de sanction prononcée par la CNIL, bien avant des questions de procédure documentaire plus formelles.

En cas de piratage ou de fuite de données, deux obligations distinctes s’imposent à l’entreprise :

• Délai de notification : la CNIL doit être notifiée sous 72 heures après la découverte de l’incident, un délai qui court dès la connaissance du problème et non dès sa résolution.
• Information des personnes concernées : si le risque est élevé pour les personnes dont les données ont été exposées, elles doivent être informées individuellement, au-delà d’une simple communication générale.

Le défaut de notification dans les délais peut entraîner une sanction distincte du manquement initial à la sécurité, ce qui double le risque en cas d’incident mal géré.

Chaque entreprise qui traite des données personnelles doit tenir un registre recensant précisément cet usage : qui accède aux données, où elles sont stockées, combien de temps elles sont conservées. Ce document, souvent perçu comme une formalité, sert en pratique de preuve de bonne foi lors d’un contrôle de la CNIL ou d’un audit de sécurité, en démontrant une démarche structurée plutôt qu’improvisée.

À retenir :
un registre des traitements à jour ne protège pas techniquement les données, mais il démontre une gouvernance réelle au moment où un contrôle ou un incident survient.

Une entreprise reste responsable des données qu’elle confie à des tiers : hébergeur, éditeur de logiciel de paie, prestataire informatique. Deux précautions s’imposent :

• Vérification des garanties : des preuves concrètes de sécurité doivent être demandées à chaque prestataire qui traite des données personnelles pour le compte de l’entreprise.
• Clause contractuelle dédiée : un contrat de sous-traitance doit définir précisément les obligations de sécurité de chaque partie, conformément à l’article 28 du RGPD.

Exemple :
un hébergeur piraté expose sa cliente PME à un risque de responsabilité, si cette dernière n’a jamais vérifié les protocoles de sécurité réellement appliqués par ce prestataire avant de lui confier ses données.

Un audit de sécurité informatique permet de vérifier que cette chaîne de sous-traitants respecte effectivement ses engagements contractuels, plutôt que de le découvrir à l’occasion d’un incident.

Le non-respect du RGPD peut coûter cher sur deux plans distincts : les amendes, qui peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les manquements les plus graves, et la confiance des donneurs d’ordre, qui se dégrade rapidement pour une PME publiquement associée à une fuite de données.

FORTALICIA relie la conformité RGPD à la sécurité opérationnelle réelle de l’entreprise : un audit qui vérifie les mesures techniques exigées par l’article 32, une gouvernance qui structure le registre des traitements, plutôt que deux démarches traitées séparément. Contactez nos experts pour faire le point sur votre conformité.

Un registre des traitements à jour et des mesures de sécurité réellement appliquées changent la nature d’un contrôle CNIL : il devient une vérification de routine plutôt qu’une mise en évidence de manquements. FORTALICIA relie ces deux dimensions à travers un audit qui couvre à la fois la sécurité opérationnelle et les exigences du RGPD.

Le RGPD concerne-t-il les PME de moins de 10 salariés ?
Oui. Le règlement s’applique dès qu’une entreprise traite des données personnelles (fichiers clients, fiches de paie), quel que soit son effectif.

La cybersécurité aide-t-elle à être conforme au RGPD ?
Oui. Sécuriser ses systèmes et ses données fait partie des exigences explicites de l’article 32 du RGPD. Une stratégie de cybersécurité structurée réduit directement le risque de non-conformité.

Faut-il toujours désigner un DPO ?
La désignation d’un délégué à la protection des données est obligatoire dans certains cas, notamment lorsque l’activité implique un traitement important de données sensibles. Même lorsqu’il n’est pas imposé, un DPO, y compris externalisé, peut aider à structurer la conformité.

• CNIL : « Notifier une violation de données personnelles » (obligation article 33 du RGPD) https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles
• Comité européen de la protection des données (EDPB) : guide dédié aux PME, section « Data Protection Officer » https://www.edpb.europa.eu/sme-data-protection-guide/data-protection-officer_en