Pour les délégués à la protection des données, les administrateurs et les responsables de sites
Article 32 du RGPD : les signaux techniques visibles de l'extérieur.
L'article 32 exige des mesures techniques appropriées et, volontairement, ne les énumère pas. Quelques-unes sont visibles de l'extérieur de votre organisation, et ce sont celles que chacun peut vérifier lui-même.
Les résultats d'analyse et l'application sont en anglais pour le moment.
L'article 32 du RGPD britannique et du RGPD de l'UE exige des « mesures techniques et organisationnelles appropriées » pour assurer la sécurité des données personnelles. Il ne les énumère volontairement pas, ce qui rend l'auto-évaluation difficile. Quelques-unes de ces mesures sont visibles de l'extérieur de votre organisation, et ce sont celles qu'un régulateur, un client ou un journaliste pourrait évaluer à partir d'éléments externes. Cette page explique lesquelles et comment combler les lacunes courantes.
Qui est concerné
Le RGPD britannique s'applique aux organisations établies au Royaume-Uni, et le RGPD de l'UE à celles établies dans l'UE ; tous deux s'étendent aussi aux organisations établies ailleurs qui proposent des biens ou des services aux personnes situées sur ces territoires, ou qui suivent leur comportement. La taille ne constitue pas un seuil. Une association avec une liste de diffusion, une école avec un portail pour les parents et un entrepreneur individuel avec un formulaire de contact traitent tous des données personnelles et relèvent tous de l'article 32.
- L'article 32 ne prévoit aucune exemption liée à l'effectif ou au chiffre d'affaires
- Un formulaire de contact sur un site web et une lettre d'information constituent tous deux des traitements de données personnelles
- Servir des résidents du Royaume-Uni ou de l'UE peut vous rendre concerné, où que vous soyez établi
Pourquoi « appropriées » est le mot délicat
L'article 32 demande des mesures adaptées au risque, compte tenu de l'état des connaissances et des coûts de mise en œuvre. C'est volontairement souple, et cela signifie que personne ne peut vous remettre une liste de contrôle définitive. Cela ne signifie pas pour autant que tout est permis : des mesures peu coûteuses, largement adoptées et qui protègent directement les personnes dont vous détenez les données sont difficiles à contester, et ce sont précisément celles qu'un observateur extérieur peut voir.
- Peu coûteux, standard et protecteur : c'est la combinaison qu'il est difficile de justifier de négliger
- Tout ce qui est visible de l'extérieur l'est aussi pour un plaignant, pas seulement pour vous
- Documenter la décision de ne pas faire quelque chose vaut mieux que le silence
Ce qu'une vérification externe peut voir, et ce qu'elle ne peut pas voir
L'essentiel de l'article 32 est interne : contrôle des accès, formation du personnel, contrats avec les sous-traitants, durées de conservation, procédures en cas de violation, chiffrement au repos. Rien de cela n'est vérifiable de l'extérieur et rien de cela n'apparaît ici. Ce qui est visible, c'est la manière dont les données personnelles circulent entre un visiteur et votre site web, et la présence ou non des signaux publics d'un service bien géré.
- Visible : sécurité du transport, informations sur la confidentialité, mécanisme de consentement, composition des pages, moyen de divulgation
- Non visible : accords de traitement des données, conservation, accès du personnel, chiffrement interne, procédures en cas de violation
- Un bon résultat externe est un point de départ pour un registre des activités de traitement, pas un substitut
Ce que cette vérification examine
Chaque élément est lu sur votre site web public sans aucun test intrusif, et chacun correspond à quelque chose qu'un tiers pourrait raisonnablement s'attendre à trouver.
- Redirection HTTPS : les données personnelles transmises en HTTP simple circulent sans protection, et un formulaire chargé de manière non sécurisée compromet tout ce qui suit
- Politique de confidentialité accessible : chacun a le droit d'être informé de l'utilisation de ses données, et cette information doit être facile à trouver
- Mécanisme de consentement aux cookies : lorsque le consentement est requis, il doit exister un véritable moyen de le donner et de le refuser
- Contenu mixte : une page sécurisée qui charge des ressources non sécurisées affaiblit la protection que suggère le cadenas
- Moyen de signalement des vulnérabilités : une façon documentée de vous signaler un problème, pour que la personne qui le découvre ne reste pas dans l'incertitude
- Traceurs tiers : ce qui se charge d'autre sur la page, car chaque service intégré est un destinataire supplémentaire des données de vos visiteurs
Les lacunes habituelles des organisations
Les lacunes récurrentes résultent rarement d'une décision. Une politique de confidentialité existe, mais derrière un lien rompu lors d'une refonte. Un bandeau de consentement est présent, mais charge des traceurs avant que quiconque y ait répondu. Un site impose le HTTPS sur les pages principales, mais pas sur un ancien sous-domaine qui comporte encore un formulaire. Rien de tout cela n'est difficile à corriger ; c'est difficile à remarquer de l'intérieur.
- Vérifiez les sous-domaines oubliés : d'anciens sites de campagne et des hôtes de préproduction collectent souvent encore des données
- Regardez ce qui se charge avant que le consentement soit donné, pas seulement si un bandeau apparaît
- Revérifiez après chaque refonte ; les liens vers la politique se rompent sans bruit
Questions fréquentes
›L'article 32 s'applique-t-il à une petite association ou à un entrepreneur individuel ?
Oui. Il n'y a aucun seuil de taille. Ce qui varie avec la taille, c'est ce qui est considéré comme « approprié » (les mesures attendues d'une association de deux personnes ne sont pas celles attendues d'une banque), mais l'obligation elle-même s'applique à quiconque traite des données personnelles.
›Un bon résultat ici équivaut-il à être conforme au RGPD ?
Non, et il serait trompeur de le considérer ainsi. Cette vérification ne porte que sur un petit sous-ensemble de l'article 32 visible de l'extérieur. Elle ne peut voir ni vos accords de traitement, ni vos pratiques de conservation, ni vos contrôles d'accès, ni vos procédures en cas de violation, et elle ne dit rien de la base juridique, des droits des personnes concernées ni d'aucune autre partie du règlement.
›Nous utilisons un bandeau de consentement. Est-ce suffisant ?
Un bandeau est le mécanisme, pas le résultat. Ce qui compte, c'est que refuser soit aussi simple qu'accepter, et que tout ce qui nécessite un consentement l'attende effectivement. Un bandeau qui s'affiche alors que des traceurs sont déjà chargés est une défaillance courante et visible.
›Pourquoi un moyen de signalement des vulnérabilités compte-t-il pour le RGPD ?
Parce qu'un chercheur en sécurité qui découvre un problème sur votre site doit pouvoir le signaler quelque part. Sans moyen publié, les signalements partent vers la première adresse trouvée, ou nulle part, et il est plus difficile de soutenir que vous avez pris des mesures appropriées contre une vulnérabilité dont on ne vous a jamais informé.
Indicatif uniquement. Il s'agit d'une vérification technique externe d'un petit sous-ensemble de l'article 32 du RGPD visible de l'extérieur. Ce n'est ni une évaluation de conformité ni un conseil juridique, et elle n'évalue ni les mesures organisationnelles, ni les accords de traitement, ni la base juridique, ni les droits des personnes concernées.
Également utile : notre propre engagement RGPD.