Face aux menaces récurrentes d’actes de malveillance contre les données personnelles (piratage, ransonware, phishing…) et parce que cela constitue une obligation au sens du RGPD, il est indispensable d’assurer une protection efficace des données personnelles traitées. Conformément à l’article 32 du RGPD, le responsable de traitement et son sous-traitant doivent mettre en place « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque »[1]. Dès lors, bien que la mise en place de ces mesures soit obligatoire, celles-ci seront adaptées en fonction : Du caractère sensible des données collectées Des potentielles conséquences pour la vie privée des personnes concernées en cas de perte ou de piratage de ces données Par exemple dans le cadre d’une collecte et d’un traitement de données de santé le risque de perte ou de piratage constitue un risque élevé pour la vie privée des personnes concernées dans la mesure où il s’agit de données sensibles. En tout état de cause, le respect de l’obligation de sécurité s’accompagne dès lors par l’adoption bonnes pratiques, telles que : La sensibilisation des utilisateurs aux enjeux de sécurité et de vie privée La gestion des habilitations en limitant les accès aux seules données dont un utilisateur aurait besoin La mise à jour régulière des antivirus et des logiciels La sécurisation des postes de travail, notamment par la création de mots de passe complexes et leur changement régulier La pseudonymisation et le chiffrage des données La mise en place d’une procédure permettant de tester, analyser et évaluer régulièrement l’efficacité de ces mesures La protection des locaux, par exemple via l’installation d’alarmes anti-intrusion, la mise en place de détecteurs de fumées et moyens de lutte contre les incendies Enfin, comme le rappelle l’article 32§3 du RGPD, l’application d’un code de conduite, ou la preuve d’une certification de l’entreprise en matière de sécurité des données serviront à témoigner du respect des exigences par l’entreprise. [1] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article32