Technische und organisatorische Maßnahmen (TOM)

Quiconque traite des données à caractère personnel doit les protéger – même lorsqu’un ordinateur portable ou un serveur est mis hors service. Le RGPD appelle l’outil correspondant « mesures techniques et organisationnelles », MTO en abrégé. La notion apparaît sans cesse dans les contrats, audits et appels d’offres. Cette entrée du glossaire explique ce qui se cache derrière les MTO, quelles mesures comptent lors de la mise hors service informatique et comment vous les justifiez.

Que sont les MTO en protection des données ?

La notion provient du droit de la protection des données. L’élément central est l’ Art. 32 du RGPD (« Sécurité du traitement »). Selon cet article, les responsables du traitement et les sous-traitants doivent prendre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de protection adapté au risque. Les art. 24 et 25 du RGPD renvoient eux aussi aux MTO, par exemple en matière de protection des données dès la conception.

Le RGPD ne prescrit pas de liste fixe. Il cite des exemples : la pseudonymisation et le chiffrement, la confidentialité, l’intégrité, la disponibilité et la résilience permanentes des systèmes, le rétablissement rapide après un incident et une procédure de contrôle régulier des mesures. Les mesures « appropriées » dépendent de l’état de l’art, des coûts, de la nature du traitement et du risque pour les personnes concernées.

De nombreuses entreprises structurent encore leurs MTO selon les huit objectifs de contrôle de l’ancienne loi fédérale allemande sur la protection des données : accès aux locaux, accès aux systèmes, accès aux données, transmission, saisie, commande, disponibilité et séparation. Cette structure n’est plus prescrite, mais s’est avérée utile comme grille d’examen.

Que signifient les MTO pour l’informatique mise hors service ?

Les appareils mis hors service sont un risque sous-estimé. Les disques durs, SSD, smartphones et imprimantes contiennent souvent encore des e-mails, des données clients ou des identifiants. L’obligation de l’art. 32 du RGPD ne s’éteint pas avec le dernier jour de travail d’un appareil. Elle vaut jusqu’à ce que les données aient été effacées de façon vérifiable ou que le support de données ait été détruit.

Pour la mise hors service, cela signifie : il vous faut des mesures pour chaque étape du parcours – de la collecte à l’effacement ou à la destruction, en passant par le stockage et le transport. Si vous mandatez un prestataire, il doit divulguer ses MTO. Elles sont en général convenues en annexe au contrat de sous-traitance . À quoi cela ressemble lors d’un audit, notre guide le montre : Éliminer des supports de données conformément au RGPD.

MTO typiques lors de la mise hors service informatique

Le tableau suivant associe des mesures courantes aux objectifs de contrôle classiques. Il s’agit d’une orientation, non d’une liste exhaustive.

Objectif de contrôle	Mesure technique (exemple)	Mesure organisationnelle (exemple)
Accès aux locaux	Système de contrôle d’accès et vidéosurveillance dans l’entrepôt	Règlement des visiteurs, liste des personnes autorisées
Accès aux systèmes et aux données	Chiffrement des disques durs, comptes verrouillés	Concept de rôles et d’habilitations
Transmission et transport	Conteneurs scellés, géolocalisation GPS	Procès-verbal de remise avec numéros de série
Effacement et destruction	Logiciel d’effacement certifié, destruction conforme à la DIN 66399	Concept d’effacement, vérification des résultats
Contrôle de la commande	Portail client avec suivi du statut	Contrat de sous-traitance, audits chez le prestataire
Preuve	Certificat d’effacement signé pour chaque appareil	Archivage des justificatifs pour l’obligation de responsabilité

Les mesures techniques et organisationnelles agissent souvent ensemble. Un système de contrôle d’accès sert à peu de chose si personne ne tient à jour les habilitations. Le Principe du double contrôle est purement organisationnel, mais évite des erreurs qu’aucune technique ne rattrape.

À quoi reconnaître de bonnes MTO

• Concret plutôt que général : « Les données sont effacées en toute sécurité » ne suffit pas. De bonnes MTO nomment la méthode, le logiciel et le justificatif.
• Adaptées au risque : Les mesures découlent d’une Détermination du besoin de protection. Les données de santé exigent plus de protection qu’un annuaire téléphonique.
• À jour : L’art. 32 du RGPD exige un contrôle régulier. Un document de MTO vieux de cinq ans est un signal d’alerte.
• Vérifiable : Les certifications telles que l’ISO/IEC 27001 ou les audits externes montrent qu’un tiers indépendant a examiné les mesures.

Erreurs typiques

• Le vide entre le poste de travail et le prestataire : Les appareils restent des semaines non verrouillés dans le couloir ou à la cave. Pour cette phase, il n’existe souvent aucune mesure.
• MTO copiées : Un modèle trouvé sur internet correspond rarement au traitement propre à l’entreprise et se remarque lors d’un audit.
• Justificatifs globaux : Une attestation « 200 disques durs effacés » sans numéros de série ne peut être rattachée à aucun appareil.
• Supports de données oubliés : Les disques durs d’imprimantes, les cartes mémoire ou les clés USB dans les sacs manquent dans de nombreux concepts.

Exemple pratique : les MTO pour un remplacement de matériel

Un exemple simplifié : une entreprise remplace 150 ordinateurs portables et 20 moniteurs. Le délégué à la protection des données fixe les MTO du projet comme suit :

1. Recueil d'informations : Le service informatique établit une liste d’appareils avec numéros de série et signale les appareils dotés de supports de données.
2. Stockage intermédiaire : Les anciens appareils sont placés dans un local verrouillable auquel seules deux personnes ont accès.
3. Remise : Le prestataire enlève les appareils dans des conteneurs scellés. Les deux parties signent un procès-verbal de remise.
4. Transport : Trajet direct sans entrepôt intermédiaire, véhicule géolocalisé par GPS.
5. Suppression : Chaque disque dur est effacé avec un logiciel certifié, les supports de données défectueux sont détruits.
6. Déclaration : L’entreprise reçoit pour chaque numéro de série un certificat d’effacement ou de destruction et le classe avec la liste des appareils.

Cela donne lieu à une Chaîne de traçabilité. Chaque étape a une mesure et un justificatif. Ce que vous devriez demander en plus lors du choix d’un prestataire figure dans la liste de contrôle Choisir un prestataire ITAD.

Distinction avec les termes voisins

• Art. 32 du RGPD est la base juridique. Les MTO sont les mesures concrètes par lesquelles vous remplissez cette obligation.
• Contrat de sous-traitance (DPA) : Le contrat régit la collaboration avec un prestataire. Les MTO du prestataire en constituent généralement une annexe.
• SMSI : Un système de management de la sécurité de l’information pilote toutes les mesures de sécurité de l’entreprise. Les MTO en constituent la part relative à la protection des données.

Cette entrée explique des notions et ne remplace pas un conseil juridique.

Les MTO chez Second IT

Second IT traite le matériel mis hors service sur un site doté d’un contrôle d’accès et d’une vidéosurveillance. Seuls les collaborateurs autorisés ont accès aux zones de traitement. Tous les collaborateurs sont tenus au secret des données, auquel s’ajoutent des accords de confidentialité individuels (NDA). L’enlèvement s’effectue avec notre propre logistique sécurisée : trajet direct sans entrepôt intermédiaire, surveillance GPS, scellement inviolable et transport assuré. À la réception des marchandises, tous les appareils sont contrôlés quant à leurs supports de stockage et enregistrés par numéro de série.

L’effacement est réalisé avec Blancco, y compris dans les zones cachées telles que HPA et DCO, avec un certificat d’effacement signé numériquement pour chaque appareil. Les supports de données non effaçables sont détruits en interne conformément à la DIN 66399, certifiée pour le niveau de sécurité H-5. Second IT est certifiée selon ISO/IEC 27001. En savoir plus sur le Sécurité des données chez Second IT.

Questions fréquentes sur les MTO

Les MTO sont-elles prescrites par la loi ?

Oui. L’art. 32 du RGPD oblige les responsables du traitement et les sous-traitants à prendre des mesures techniques et organisationnelles appropriées. La loi ne prescrit toutefois pas de liste fixe. Les mesures doivent correspondre au risque du traitement concerné.

Quelle est la différence entre mesures techniques et organisationnelles ?

Les mesures techniques agissent par la technique, par exemple le chiffrement, les systèmes de contrôle d’accès ou les logiciels d’effacement. Les mesures organisationnelles règlent les processus et les responsabilités, par exemple les concepts d’habilitations, les formations, les délais d’effacement ou le principe des quatre yeux.

Une entreprise d’élimination informatique doit-elle présenter ses MTO ?

Si le prestataire traite des données à caractère personnel pour votre compte, un contrat de sous-traitance est en général nécessaire. Il y décrit ses MTO, le plus souvent en annexe. Faites-vous présenter concrètement les mesures et demandez des certificats et des rapports d’audit.

À quelle fréquence les MTO doivent-elles être revues ?

Le RGPD ne fixe aucun délai précis. Il exige toutefois une procédure d’examen, d’analyse et d’évaluation régulier. Un contrôle annuel est usuel, et en outre chaque fois que les systèmes, les prestataires ou les risques changent.

Les certificats d’effacement font-ils partie des MTO ?

L’effacement lui-même est une mesure, le certificat en est la preuve. Pour l’obligation de responsabilité au titre de l’art. 5 du RGPD, il vous faut les deux : une méthode appropriée et un justificatif par appareil avec numéro de série.