Une consultation de la Cnil sur la sécurité des systèmes d’information à risque majeur en cas de violation des données

La Commission nationale Informatique et Libertés (Cnil) a identifié des systèmes informatiques pour lesquels une violation des données lors de traitements critiques engendrerait des risques particulièrement élevés pour les personnes. En réponse à la nécessité d’établir un niveau de sécurité adéquat, la Cnil a rédigé une recommandation qu’elle soumet à consultation publique jusqu’au 8 octobre.

Article connexe → Management cyber : le Check comme élément de différenciation

La recommandation 

La Cnil rappelle que la sécurité des données personnelles, particulièrement contrôlée par ses services, est une composante essentielle de la conformité RGPD. Ainsi, un tiers des sanctions prononcées par la Cnil en 2022 visait des manquements à l’obligation de sécurité. Différentes publications de la Commission sont destinées à accompagner les professionnels :

• le Guide pratique RGPD sur la sécurité des données personnelles : bonnes pratiques élémentaires pour toute entité traitant des données, personnelles ou non ;
• des recommandations plus spécifiques : publications sectorielles comme le référentiel sur les entrepôts de données de santé, ou propres à une technologie comme les API ;
• des communications pédagogiques et de sensibilisation, notamment sur les violations de données, à destination par les professionnels.

En cette rentrée, la Cnil souhaite regrouper l’ensemble des recommandations de bonnes pratiques avancées de sécurité pour les « traitements critiques », dans un unique document. Elle les définit à travers deux critères cumulatifs :

• le traitement est à grande échelle au sens du RGPD ;
• une violation de données personnelles pourrait avoir des conséquences considérables soit pour les personnes concernées, soit pour la sûreté de l’État, soit pour la société dans son ensemble.

Traitement critique et mesures de sécurité associées

La consultation publique s’adresse d’abord aux responsables de traitement(s) critique(s) ainsi qu’à tout organisme public ou privé intéressé par ce document en tant que référence de bonnes pratiques pour garantir la sécurité des traitements de données personnelles.

L’objectif est notamment de confirmer la définition d’un traitement critique et les mesures de sécurité associées, mais aussi de récolter les suggestions de l’écosystème. La recommandation finalisée sera publiée début 2024.