RGPD
RGPD · GDPR · règlement (UE) 2016/679 · règlement général sur la protection des données · données personnelles · violation de données
Règlement européen, applicable depuis le 25 mai 2018, qui encadre l’utilisation des données personnelles et oblige chaque organisation à les protéger par des mesures de sécurité adaptées au risque.
En pratique
Côté cybersécurité, trois articles comptent. L’article 32 impose des mesures techniques et organisationnelles adaptées au risque et cite notamment le chiffrement, la pseudonymisation, la capacité à rétablir les données et des tests réguliers. L’article 33 oblige à notifier une violation de données à la CNIL dans les 72 heures après en avoir pris connaissance, sauf risque improbable pour les personnes, et l’article 34 à informer les personnes concernées si le risque est élevé ; toute violation doit en outre être consignée dans un registre interne. Les amendes atteignent 10 M€ ou 2 % du chiffre d’affaires annuel mondial pour les manquements à la sécurité, 20 M€ ou 4 % pour les manquements aux principes ou aux droits des personnes, le montant le plus élevé étant retenu.
Cas réel : le 13 janvier 2026, la CNIL a sanctionné Free Mobile (27 M€) et Free (15 M€), soit 42 M€ au total, après une intrusion ayant exposé des données liées à 24 millions de contrats d’abonnés, notamment pour insuffisance des mesures de sécurité (art. 32).
Comment s’en protéger
- Tenir à jour le registre des traitements et le registre des violations.
- Préparer et tester une procédure de notification sous 72 heures.
- Chiffrer les données sensibles et limiter leur durée de conservation.
