RGPD : pourquoi la conformité ne suffit pas à protéger les données

Le Règlement général sur la protection des données, plus connu sous l’acronyme RGPD, est devenu un repère essentiel pour toute organisation qui collecte ou utilise des informations sur des personnes. Il fixe des droits pour les citoyens et des responsabilités pour les entreprises, les administrations et les associations. Mais disposer de mentions légales, recueillir un consentement valable et tenir un registre de traitements ne suffit pas à empêcher un pirate d’entrer dans un système mal protégé.

C’est toute la différence entre conformité et cybersécurité. La première consiste à respecter un cadre juridique. La seconde vise à réduire, détecter et gérer les risques concrets qui pèsent sur les systèmes, les comptes et les données. Ces deux démarches sont liées, mais elles ne se remplacent pas. En avril 2025, alors que les fuites de données et les tentatives d’hameçonnage touchent des organisations de toutes tailles, la protection efficace des données personnelles impose une approche beaucoup plus continue.

Le RGPD établit un cadre, pas une immunité

Applicable dans l’Union européenne depuis le 25 mai 2018, le RGPD organise la manière dont les données personnelles peuvent être collectées, utilisées, conservées et partagées. Une donnée personnelle est toute information permettant d’identifier directement ou indirectement une personne : un nom, une adresse électronique, un numéro de téléphone, une adresse IP ou encore un identifiant client peuvent entrer dans cette catégorie.

Le règlement impose notamment de poursuivre une finalité précise, de ne recueillir que les données nécessaires, d’informer les personnes concernées et de respecter leurs droits d’accès, de rectification ou d’effacement. Il demande aussi de limiter la durée de conservation des informations. Ces principes réduisent déjà une partie du risque : une entreprise qui ne conserve pas inutilement des données sensibles limite les conséquences potentielles d’une fuite.

Le RGPD ne néglige pas pour autant la sécurité. Son article 32 prévoit que le responsable du traitement et son sous-traitant mettent en œuvre des mesures techniques et organisationnelles « appropriées » au niveau de risque. Le texte cite notamment la pseudonymisation, le chiffrement, la capacité à préserver durablement la confidentialité, l’intégrité et la disponibilité des systèmes, ainsi que des tests réguliers de l’efficacité des mesures de sécurité.

La nuance est décisive : le règlement fixe une obligation d’adapter la protection au risque, pas un catalogue unique de logiciels ou de procédures. Ce qui est approprié pour une petite structure manipulant peu de données ne sera pas nécessairement suffisant pour un hôpital, une banque, un distributeur ou un prestataire informatique qui héberge les données de nombreux clients.

Pourquoi une organisation conforme peut-elle être piratée ?

Une entreprise peut avoir désigné un délégué à la protection des données, rédigé ses politiques internes et documenté ses traitements, tout en laissant subsister une faiblesse technique ou opérationnelle. Un mot de passe réutilisé, un compte administrateur trop largement ouvert, un logiciel non mis à jour ou une sauvegarde inaccessible lors d’une attaque peuvent suffire à compromettre la sécurité.

La conformité répond à des questions indispensables : quelles données sont utilisées, pourquoi, pendant combien de temps et avec quelle base légale ? La cybersécurité pose d’autres questions, tout aussi essentielles : qui peut accéder à ces données ? Comment cet accès est-il protégé ? Une activité anormale sera-t-elle détectée ? L’organisation pourra-t-elle restaurer ses services et comprendre ce qui s’est passé après un incident ?

La fuite de données ayant concerné Auchan, évoquée dans la publication d’origine, illustre ce constat général : la présence d’un cadre légal ne fait pas disparaître le risque d’incident. Une fuite peut résulter de scénarios très différents, depuis l’exploitation d’une vulnérabilité jusqu’au vol d’identifiants ou à une erreur de configuration. Dans tous les cas, le coût humain et économique peut être élevé : fraude ciblée, perte de confiance, interruption d’activité, temps passé à informer les personnes concernées et à rétablir les systèmes.

Des menaces qui évoluent plus vite que les procédures

Les cyberattaquants ne visent pas seulement les grands groupes. Les petites et moyennes entreprises, les collectivités, les cabinets professionnels et les associations peuvent être ciblés parce qu’ils disposent parfois de moyens de protection plus limités ou d’équipements moins régulièrement mis à jour.

Le phishing, ou hameçonnage, reste une méthode particulièrement efficace. Un message qui imite un fournisseur, une banque, un service informatique ou un dirigeant peut inciter un salarié à transmettre son mot de passe ou à ouvrir une pièce jointe malveillante. L’attaquant n’a alors pas forcément besoin de casser une protection technique sophistiquée : il exploite la confiance, l’urgence ou l’inattention.

Les rançongiciels constituent un autre risque majeur. Ils peuvent chiffrer les fichiers d’une organisation et interrompre son activité, parfois après l’exfiltration de données. Dans ce cas, un document RGPD bien tenu ne permet pas à lui seul de restaurer les postes de travail, les applications métiers ou les bases de données. Il faut des sauvegardes protégées, testées et séparées des systèmes susceptibles d’être compromis.

L’essor des outils numériques accroît également la surface d’attaque. Les services en ligne, les appareils mobiles, le télétravail, le partage de fichiers avec des partenaires et le recours au cloud multiplient les accès à contrôler. Les outils d’intelligence artificielle générative peuvent aussi conduire des salariés à copier des contenus dans des services externes sans vérifier les règles internes applicables. Le sujet n’est donc pas uniquement technologique : il concerne les usages autorisés, la sélection des prestataires et la formation des équipes.

Quelles protections ajouter au-delà de la conformité ?

Il n’existe pas de solution unique, mais un socle de sécurité peut être adapté à la taille de l’organisation, à ses activités et à la sensibilité des données manipulées. L’objectif consiste à combiner des mesures qui empêchent une intrusion, limitent la progression d’un attaquant, détectent les anomalies et permettent de reprendre l’activité.

Parmi les mesures fréquemment nécessaires figurent les suivantes :

• Mettre à jour rapidement les systèmes d’exploitation, logiciels, applications et équipements connectés afin de corriger les vulnérabilités connues.
• Limiter les droits d’accès au strict nécessaire. Un salarié, un prestataire ou un stagiaire ne doit pas pouvoir consulter ou modifier davantage de données que ne l’exige sa mission.
• Renforcer l’authentification, notamment pour les comptes sensibles, afin qu’un mot de passe volé ne suffise pas à ouvrir un accès critique.
• Chiffrer les données lorsqu’elles sont stockées ou transmises, particulièrement lorsqu’elles sont sensibles ou circulent hors de l’environnement habituel de travail.
• Sauvegarder régulièrement les données et vérifier, par des exercices concrets, que leur restauration fonctionne réellement.
• Surveiller les événements anormaux à l’aide de journaux et de mécanismes de détection d’intrusion, afin de réagir avant qu’un incident ne s’étende.

Les pare-feux, les systèmes de détection d’intrusions et le chiffrement, cités dans la publication d’origine, font donc partie d’une défense utile. Ils ne produisent toutefois leur effet que s’ils sont correctement configurés, entretenus et intégrés dans une organisation capable de traiter les alertes. Acheter un outil sans définir qui le pilote, quelles alertes sont prioritaires et comment elles sont suivies crée une illusion de sécurité.

L’audit et le test de pénétration, deux démarches complémentaires

Un audit de sécurité permet d’examiner les pratiques, les configurations, les accès et l’organisation afin d’identifier les écarts ou les points faibles. Un test de pénétration consiste, dans un cadre autorisé et maîtrisé, à tenter d’exploiter certaines vulnérabilités pour mesurer ce qu’un attaquant pourrait réellement atteindre.

Ces démarches ne dispensent pas de réaliser une analyse d’impact relative à la protection des données, souvent appelée AIPD ou DPIA. Cette dernière est requise par le RGPD lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Elle aide à anticiper les conséquences d’un traitement. L’audit et le test de pénétration évaluent, eux, la résistance concrète de l’environnement technique et organisationnel.

La formation des salariés est une ligne de défense essentielle

Les outils ne suffisent pas lorsque les équipes n’ont pas les repères nécessaires. Un salarié doit savoir reconnaître une demande inhabituelle, vérifier l’identité d’un interlocuteur, signaler un courriel douteux et éviter de partager des données dans un canal non prévu à cet effet. La formation ne doit pas être réduite à un module suivi une seule fois à l’embauche : les techniques de fraude évoluent et les nouveaux usages apparaissent.

Une sensibilisation utile repose sur des exemples proches des situations de travail réelles. Les équipes comptables peuvent être confrontées à de fausses demandes de changement de coordonnées bancaires. Les ressources humaines manipulent des documents particulièrement sensibles. Les équipes commerciales utilisent de nombreux outils en ligne et échangent avec des contacts externes. Chaque métier n’est pas exposé de la même manière.

La direction a également un rôle central. Sans budget, sans responsable clairement identifié et sans arbitrage lorsque la sécurité ralentit temporairement un processus, les règles risquent de rester théoriques. Associer les équipes informatiques, les responsables métiers, la direction et, lorsque l’organisation en dispose, le délégué à la protection des données permet de ne pas isoler la sécurité dans un seul service.

Les règles complémentaires renforcent les exigences de sécurité

Le RGPD n’est pas le seul texte à structurer le paysage. Selon leur secteur, leur taille et les services qu’elles fournissent, des organisations peuvent relever d’obligations nationales ou européennes complémentaires en matière de cybersécurité. Elles doivent aussi prendre en compte leurs engagements contractuels envers leurs clients et leurs fournisseurs.

En France, l’État soutient par ailleurs l’innovation dans ce domaine. L’annonce de douze projets lauréats consacrés à la cybersécurité, mentionnée dans la publication d’origine, s’inscrit dans cette volonté de développer des solutions plus adaptées aux menaces actuelles. Pour les organisations, l’enjeu n’est pas de multiplier les outils par principe, mais d’évaluer leurs besoins réels et de choisir des mesures cohérentes avec leur exposition.

En cas de violation de données personnelles présentant un risque pour les personnes, le RGPD prévoit en principe une notification à l’autorité de contrôle dans un délai de 72 heures après en avoir pris connaissance. Si le risque est élevé, les personnes concernées doivent aussi être informées, sauf exceptions. Ces obligations de réaction rappellent l’importance de préparer un plan de réponse aux incidents avant qu’une crise ne survienne.

Ce qu’il faut surveiller pour mieux protéger les données

La cybersécurité n’est jamais définitivement acquise. Une entreprise qui était correctement protégée il y a un an peut avoir changé de fournisseurs, déployé une nouvelle application, ouvert des accès à distance ou recruté de nouveaux collaborateurs. Chacun de ces changements peut modifier son niveau de risque.

La priorité consiste à faire de la sécurité une pratique régulière : cartographier les données importantes, mettre à jour les équipements, revoir les accès, tester les sauvegardes, former les équipes et organiser la réponse aux incidents. Cette méthode est plus exigeante qu’une simple vérification documentaire, mais elle donne un contenu concret à l’obligation de protection portée par le RGPD.

Considérer la sécurité comme un investissement de confiance plutôt que comme une contrainte administrative peut aussi devenir un avantage. Les clients, les usagers et les partenaires confient leurs informations à une organisation en espérant qu’elles seront traitées avec sérieux. Respecter le RGPD est le point de départ indispensable. Prévenir, détecter et gérer les attaques est ce qui permet de rendre cette promesse crédible dans la durée.