RGPD – Chiffrement

Les entreprises peuvent réduire la probabilité d’une violation de données et ainsi réduire le risque d’amendes à l’avenir, si elles choisissent d’utiliser le chiffrement des données personnelles. Le traitement des données personnelles est naturellement associé à un certain degré de risque. Surtout de nos jours, où les cyberattaques sont presque inévitables pour les entreprises au-dessus d’une certaine taille. Par conséquent, la gestion des risques joue un rôle de plus en plus important dans la sécurité informatique et le chiffrement des données est adapté, entre autres moyens, pour ces entreprises.

En général, le chiffrement fait référence à la procédure qui convertit le texte en clair en un code haché en utilisant une clé, où les informations sortantes ne deviennent à nouveau lisibles qu’en utilisant la clé correcte. Cela minimise le risque d’un incident lors du traitement des données, car les contenus chiffrés sont fondamentalement illisibles pour les tiers qui n’ont pas la clé correcte. Le chiffrement est le meilleur moyen de protéger les données lors de leur transfert et une manière de sécuriser les données personnelles stockées. Il réduit également le risque d’abus au sein d’une entreprise, car l’accès est limité uniquement aux personnes autorisées ayant la bonne clé.

Le règlement reconnaît également ces risques lors du traitement de données personnelles et place la responsabilité sur le responsable du traitement et le sous-traitant à l’art. 32(1) du Règlement général sur la protection des données pour mettre en œuvre des mesures techniques et organisationnelles appropriées pour sécuriser les données personnelles. Le RGPD ne définit délibérément pas quelles mesures techniques et organisationnelles spécifiques sont considérées adaptées dans chaque cas, afin d’accommoder les facteurs individuels. Cependant, il donne au responsable du traitement un catalogue de critères à prendre en compte lors du choix des méthodes pour sécuriser les données personnelles. Ce sont l’état de l’art, les coûts de mise en œuvre et la nature, l’ampleur, le contexte et les finalités du traitement. En plus de ces critères, il faut toujours considérer la gravité des risques pour les droits et libertés de la personne concernée et la probabilité que ces risques se manifestent. Cela se résume essentiellement à ce qui suit : plus les risques impliqués dans le traitement des données sont élevés et plus il est probable qu’ils se manifestent, plus les mesures de sécurité prises doivent être fortes et plus il faut prendre de mesures. Le concept de cryptage est explicitement mentionné comme une mesure technique et organisationnelle possible pour sécuriser les données dans la liste de l’art. 32(1) du RGPD, qui n’est pas exhaustive. Encore une fois, le RGPD ne mentionne pas de méthodes de cryptage explicites pour s’adapter au progrès technologique rapide. Lors du choix d’une méthode, il faut également appliquer le catalogue de critères ci-dessus. Pour répondre à la question de ce qui est actuellement considéré comme « état de l’art », les responsables de la protection des données s’appuient généralement sur les définitions établies dans les normes de sécurité de l’information comme ISO/IEC 27001 ou d’autres lignes directrices nationales de sécurité informatique.

Le cryptage des données personnelles présente des avantages supplémentaires pour les responsables du traitement et/ou les sous-traitants. Par exemple, la perte d’un support de stockage mobile crypté à la pointe de la technologie contenant des données personnelles n’est pas nécessairement considérée comme une violation de données, qui doit être signalée aux autorités de protection des données. De plus, en cas de violation de données, les autorités doivent prendre positivement en compte l’utilisation du cryptage dans leur décision sur l’imposition et le montant d’une amende conformément à l’Art. 83(2)(c) du RGPD.