Quelles mesures de sécurité le RGPD exige-t-il d'une petite entreprise ?

La sécurité appropriée est basée sur les risques, pas sur une liste de contrôle fixe

L'article 32 du RGPD n'exige pas une liste fixe de mesures techniques, mais un niveau de sécurité adapté au risque que présente un traitement de données à caractère personnel. La loi tient compte de quatre éléments : l'état de la technique, les coûts de mise en œuvre, la nature, l'ampleur, le contexte et les objectifs du traitement, ainsi que les risques pour les droits et libertés des personnes dont les données sont traitées. À titre d'exemple de mesures, l'article mentionne notamment la pseudonymisation et le chiffrement, la capacité à garantir la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, la capacité à rétablir rapidement la disponibilité des données et l'accès à celles-ci en cas d'incident physique ou technique, et un processus pour tester régulièrement l'efficacité des mesures.

Ce que cela signifie pour une petite entreprise varie selon ce qui est traité. Une boutique en ligne qui conserve uniquement le nom et l'adresse de livraison ne se trouve pas dans la même catégorie de risque qu'un cabinet qui traite des données médicales ou une agence qui suit à grande échelle le comportement des visiteurs. La sécurité appropriée pour l'une — par exemple le contrôle d'accès, la politique relative aux mots de passe et les sauvegardes régulières — ne doit pas nécessairement être suffisante pour l'autre. La loi demande de faire cette évaluation et de pouvoir démontrer qu'elle a été faite, non pas de respecter une seule norme fixe.

D'où cela découle de l'article 32 du RGPD

Cette obligation découle directement de l'article 32 du RGPD, qui s'applique de la même manière dans chaque État membre en tant que règlement — le sens de ce qui est « approprié » ne varie donc pas entre les pays. Ce qui varie en revanche, c'est qui en assure la surveillance : aux Pays-Bas, c'est l'Autorité néerlandaise de protection des données, en Allemagne, l'autorité de contrôle du Land où se trouve l'établissement. Pour de plus amples précisions, l'Autorité néerlandaise de protection des données publie des informations pratiques sur la sécurité des données à caractère personnel.