Art. 32 DSGVO (Sicherheit der Verarbeitung)

Quiconque traite des données à caractère personnel doit les protéger – même lorsque les appareils sur lesquels elles se trouvent sont mis au rebut depuis longtemps. La disposition centrale est l’art. 32 du RGPD. Cette entrée du glossaire explique ce qu’exige l’article, ce que cela signifie pour les anciens ordinateurs portables, serveurs et disques durs et quels justificatifs il vous faut lors d’un audit.

Que dit l’art. 32 du RGPD ?

L’art. 32 relève du chapitre IV du Règlement général sur la protection des données (RGPD). Ce chapitre régit les obligations des responsables du traitement et des sous-traitants. Le responsable du traitement est celui qui décide des finalités et des moyens d’un traitement – le plus souvent votre entreprise. Le sous-traitant est un prestataire qui traite des données pour votre compte. L’article comporte quatre paragraphes :

• Paragraphe 1 : Obligation de prendre des mesures techniques et organisationnelles appropriées. Il convient de tenir compte de l’état de la technique, des coûts, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que de la probabilité et de la gravité du risque. Sont cités à titre d’exemple la pseudonymisation et le chiffrement, la garantie permanente de la confidentialité, de l’intégrité, de la disponibilité et de la résilience des systèmes, le rétablissement rapide après un incident et une procédure de test régulier de l’efficacité.
• Paragraphe 2 : Lors de l’évaluation du niveau de protection, les risques de destruction, de perte, d’altération, de divulgation non autorisée ou d’accès non autorisé comptent particulièrement – que ce soit de manière accidentelle ou illicite.
• Paragraphe 3 : Des codes de conduite approuvés (art. 40) ou des mécanismes de certification (art. 42) peuvent servir d’élément pour démontrer le respect des exigences.
• Paragraphe 4 : Les personnes ayant accès à des données à caractère personnel ne peuvent les traiter que sur instruction.

L’article ne prescrit pas de mesures fixes. Il exige un niveau de protection adapté au risque. Cela le rend flexible, mais aussi exigeant : vous devez pouvoir justifier pourquoi vos mesures sont appropriées.

Que signifie l’art. 32 du RGPD pour le matériel informatique mis au rebut ?

Un appareil mis au rebut n’est pas un cas particulier pour le RGPD. Tant que des données à caractère personnel se trouvent sur un disque dur, un SSD ou un smartphone, un traitement a lieu. Le stockage et l’effacement sont également considérés comme un traitement (art. 4, point 2 du RGPD). L’art. 32 s’applique donc jusqu’au moment où les données n’existent plus de manière prouvée.

Ce sont précisément les risques du paragraphe 2 qui se concentrent lors de la mise au rebut : des appareils se perdent pendant le transport, restent sans protection dans l’entrepôt ou sont transmis sans effacement. Un simple formatage ne suffit pas, car les données peuvent souvent être restaurées. Ce phénomène s’appelle Rémanence des données. Des méthodes d’effacement éprouvées ou une destruction physique adaptée au besoin de protection sont appropriées. La manière de déterminer le besoin de protection est expliquée dans l’entrée Détermination du besoin de protection.

Si vous mandatez un prestataire, votre entreprise reste responsable. Vous devez le choisir avec soin et l’engager contractuellement, en règle générale par un contrat de sous-traitance conformément à l’art. 28 du RGPD. Le prestataire s’y engage également à respecter les mesures prévues à l’art. 32.

Obligations et justificatifs lors de la mise au rebut

Le tableau associe des mesures typiques aux risques visés à l’art. 32. Il s’agit d’une orientation, non d’une liste exhaustive.

Risque ou objectif de protection	Mesure typique	Preuve
Accès non autorisé dans les locaux	Conteneurs de collecte verrouillables, local de stockage fermé à clé	Concept de locaux et de clés
Perte pendant le transport	Conteneurs scellés, trajet direct, localisation du véhicule	Procès-verbal de prise en charge avec numéros de scellés
Remise incomplète	Rapprochement des numéros de série lors de la remise et de la réception des marchandises	Liste d’inventaire, procès-verbal de réception
Divulgation après la remise	Effacement ou destruction éprouvé(e) selon le besoin de protection	Certificat d'effacement ou de destruction par numéro de série
Agir uniquement sur instruction (par. 4)	Engagement des collaborateurs à la confidentialité	Déclarations d’engagement, attestations de formation
Efficacité (par. 1, point d))	Contrôle régulier des processus et des prestataires	Rapports d’audit, procès-verbaux de contrôle

Vous n’avez pas besoin des justificatifs uniquement pour l’autorité de contrôle. Conformément au principe de Obligation de rendre compte (art. 5, par. 2 du RGPD), vous devez pouvoir démontrer la conformité à tout moment. Ensemble, les justificatifs constituent la Chaîne de traçabilité, c’est-à-dire la chaîne de conservation ininterrompue de chaque appareil.

Erreurs typiques

• Des anciens appareils s’entassent à découvert dans les couloirs, les caves ou les salles de réunion.
• Les disques durs sont seulement formatés, ou le système d’exploitation est réinstallé.
• Un prestataire est mandaté sans contrat de sous-traitance.
• Les justificatifs n’indiquent que la quantité ou le poids, mais pas de numéros de série.
• Des supports de données dans des imprimantes, copieurs, clés USB ou téléphones professionnels sont oubliés.
• Les processus ne sont jamais contrôlés, alors que le paragraphe 1 l’exige précisément.

Les violations de l’art. 32 peuvent être sanctionnées, selon l’art. 83, par. 4 du RGPD, par des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Si des données sont perdues, une Violation de données à notifier au titre de l’art. 33 du RGPD peut en outre exister.

Exemple pratique : 60 ordinateurs portables et un serveur

Un exemple simplifié montre comment les exigences peuvent être traduites en un processus. Une entreprise remplace 60 ordinateurs portables et un serveur de fichiers. Tous les appareils contiennent des données de personnel et de clients.

1. Définir le besoin de protection : Les données ont un besoin de protection élevé. Il est décidé que les supports de données fonctionnels sont effacés de manière certifiée, les supports défectueux détruits selon DIN 66399.
2. Engager le prestataire : Un contrat de sous-traitance décrivant les mesures est conclu avec le prestataire.
3. Recenser et sécuriser : L’informatique établit une liste de tous les numéros de série. Jusqu’à l’enlèvement, les appareils sont conservés dans un local fermé à clé.
4. Remettre : Les conteneurs sont scellés. Le procès-verbal de prise en charge indique la quantité, les numéros de scellés et les deux signatures.
5. Rapprocher et effacer : À la réception des marchandises, les numéros de série sont rapprochés de la liste. L’effacement ou la destruction suit.
6. Archiver : Les certificats sont rattachés à la liste d’inventaire et archivés avec le contrat.

Si l’autorité de contrôle pose la question plus tard, l’entreprise peut montrer, pour chaque numéro de série, ce qu’il est advenu de l’appareil.

L’art. 32 du RGPD chez Second IT

Second IT enlève le matériel informatique mis au rebut avec sa propre logistique sécurisée : trajets directs sans stockage intermédiaire, surveillance GPS, scellés inviolables et transport assuré. À la réception des marchandises, tous les appareils sont contrôlés quant à la présence de supports de stockage et enregistrés par numéro de série. Le site est protégé par un contrôle d’accès et une vidéosurveillance. Les collaborateurs sont tenus au secret des données ; sur demande, des accords de confidentialité sont conclus. L’effacement est réalisé avec Blancco, avec un certificat d’effacement signé numériquement pour chaque appareil. Les supports de données qui ne peuvent pas être effacés sont détruits en interne selon DIN 66399. Second IT est certifiée ISO/IEC 27001. Plus d’informations sur la sécurité des données dans le processus de traitement.

Distinction avec les termes voisins

L’art. 32 décrit l’objectif, à savoir un niveau de protection approprié. Les mesures concrètes pour l’atteindre s’appellent Mesures techniques et organisationnelles (TOM). L’art. 25 du RGPD (protection des données dès la conception) intervient plus tôt, lors de la planification des systèmes. L’art. 5, par. 1, point f) du RGPD cite l’intégrité et la confidentialité comme principe ; l’art. 32 le concrétise. Une certification selon ISO/IEC 27001 n’est pas un mécanisme de certification au sens de l’art. 42 du RGPD. Elle montre toutefois qu’une entreprise pilote la sécurité de l’information de manière systématique.

Les obligations du RGPD qui comptent lors d’un audit en matière d’élimination sont expliquées dans notre guide Éliminer des supports de données conformément au RGPD. Vous pouvez lire pourquoi les anciens disques durs constituent un risque sous-estimé dans Protection des données et anciens disques durs. Cette entrée ne remplace pas un conseil juridique.

Questions fréquentes sur l’art. 32 du RGPD

L’art. 32 du RGPD s’applique-t-il aussi aux appareils qui ne sont plus utilisés ?

Oui. Tant que des données à caractère personnel sont enregistrées sur un appareil, un traitement a lieu. L’obligation de protection ne prend fin que lorsque les données sont effacées de manière prouvée ou que le support de données est détruit.

L’art. 32 du RGPD prescrit-il une méthode d’effacement précise ?

Non. Le critère est l’état de la technique et le risque. Des normes reconnues telles que NIST SP 800-88 pour l’effacement et DIN 66399 pour la destruction physique servent de repères. L’essentiel est que vous puissiez justifier et prouver votre choix.

Qui est responsable lorsqu’un prestataire se charge de l’effacement ?

Votre entreprise reste responsable du traitement. Le prestataire, en tant que sous-traitant, est lui-même lié par l’art. 32. Réglez les mesures dans un contrat de sous-traitance et faites-vous prouver l’exécution pour chaque appareil.

Quels justificatifs dois-je conserver ?

Les pièces typiques sont la liste d’inventaire avec les numéros de série, le procès-verbal de prise en charge, les certificats d’effacement ou de destruction par numéro de série, le contrat de sous-traitance et les rapports d’audit du prestataire. La durée de conservation de ces documents se fixe idéalement dans votre concept d’effacement.

Que risque-t-on en cas de violation de l’art. 32 du RGPD ?

L’art. 83, par. 4 du RGPD prévoit des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. S’y ajoutent d’éventuelles demandes de dommages et intérêts des personnes concernées au titre de l’art. 82 du RGPD.