L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Quelles mesures de sécurité une entreprise doit-elle mettre en place ?
Une obligation de moyens appropriés, appréciée au regard du risque. Le socle attendu de toute organisation, quelle que soit sa taille.
Une obligation de moyens appropriés, appréciée au regard du risque. Le socle attendu de toute organisation, quelle que soit sa taille.
Introduction
La sécurité est le terrain où la CNIL sanctionne le plus fréquemment, parce que les manquements y sont objectivables : un mot de passe faible, une base accessible sans authentification, une absence de mise à jour se constatent immédiatement.
Le principe
Le responsable et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque.
L’appréciation tient compte de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes.
Il s’agit donc d’une obligation de moyens appropriés, et non d’un catalogue uniforme.
Les mesures citées par le texte
La pseudonymisation et le chiffrement des données.
Des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et services.
Des moyens permettant de rétablir la disponibilité et l’accès aux données dans des délais appropriés en cas d’incident physique ou technique.
Une procédure visant à tester, analyser et évaluer régulièrement l’efficacité des mesures.
Le socle attendu
Quelle que soit la taille de l’organisation, certaines mesures sont aujourd’hui considérées comme élémentaires.
Une politique de mots de passe robuste, l’authentification à plusieurs facteurs sur les accès sensibles et les accès distants.
Une gestion des habilitations fondée sur le besoin d’en connaître, avec une revue périodique et une révocation immédiate au départ d’un collaborateur.
Le chiffrement des postes de travail, des ordinateurs portables et des supports amovibles.
Des mises à jour appliquées, sur les systèmes comme sur les applications, et l’abandon des versions non maintenues.
Des sauvegardes régulières, testées, dont une copie hors ligne ou déconnectée.
Une protection du poste de travail et une sécurisation de la messagerie, principal vecteur d’incidents.
La journalisation des accès aux données sensibles, avec une durée de conservation adaptée.
La sécurisation des accès distants.
Les mesures organisationnelles
Elles pèsent autant que les mesures techniques.
La sensibilisation des collaborateurs, notamment à l’hameçonnage et à la fraude au virement.
Des procédures écrites : gestion des accès, arrivée et départ, gestion d’incident.
Des clauses de confidentialité et des engagements individuels.
Un encadrement de l’usage des outils personnels et des services externes non validés.
La proportionnalité
Une organisation traitant des données de santé, des données bancaires ou des volumes importants doit aller au-delà du socle.
Une petite structure ne peut en revanche justifier l’absence des mesures de base par sa taille : elles sont peu coûteuses et leur défaut est systématiquement relevé.
La preuve
Les mesures doivent être documentées.
Une politique de sécurité écrite, même brève, la liste des mesures en place, les dates de revue des habilitations et des tests de restauration constituent les éléments attendus.
En cas d’incident, cette documentation démontre que le responsable avait pris des mesures appropriées avant la survenance, ce qui influe directement sur la suite donnée.
Le lien avec la responsabilité
L’absence de mesures appropriées est sanctionnable en elle-même, indépendamment de toute violation.
Après un incident, elle transforme un accident en manquement : la question n’est jamais de savoir si l’attaque était sophistiquée, mais si les mesures élémentaires étaient en place.
Constituer le socle et le documenter
L’essentiel du risque se traite avec des mesures simples, encore faut-il les avoir. Notre expertise RGPD et protection des données personnelles accompagne cette mise à niveau.
En résumé
- Obligation de moyens appropriés, appréciée au regard du risque et de l’état des connaissances.
- Socle attendu : mots de passe, authentification renforcée, habilitations, chiffrement, mises à jour, sauvegardes testées.
- Les mesures organisationnelles pèsent autant que les mesures techniques.
- La petite taille ne justifie pas l’absence des mesures de base.
- Documenter les mesures : c’est la seule preuve utile après un incident.
Questions fréquentes
Le règlement impose-t-il des mesures précises ?
Non. Il impose des mesures techniques et organisationnelles appropriées au regard du risque, en citant à titre d'exemple la pseudonymisation, le chiffrement, la disponibilité, la résilience et les tests réguliers.
Une petite structure doit-elle chiffrer ses données ?
Le chiffrement des postes et des supports amovibles est aujourd'hui une mesure de base, peu coûteuse et systématiquement attendue. Son absence est difficile à justifier après un vol de matériel.
Faut-il tester les mesures mises en place ?
Oui. Le règlement mentionne expressément une procédure visant à tester, analyser et évaluer régulièrement l'efficacité des mesures.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
