Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia - 311

D

O

C

T

R

I

N

E

CONTRATS ET RGPD

Points durs liés
à la cybersécurité

Bien que très opérationnelle, la cybersécurité
doit être intégrée dans les négociations contractuelles portant sur des projets impliquant des
données personnelles, car les enjeux légaux
sont primordiaux. Cet article est le cinquième
d'une série de sept articles consacrés à la problématique contrats et RGPD.

D

ébut 2020, Marie-Laure
Denis, présidente de la
Cnil  avait indiqué au
cours d'une interview
que les sujets relatifs à la sécurité, la cyber-sécurité et la protection des données restaient des
sujetstrès importants pour la
Cnil.

En revenant aux fondamentaux
juridiques, la sécurité est en
réalité couverte dans uniquement trois articles du Règlement
général de protection des
données (RGPD)  : les articles 32
à 34. De ces articles juridiques,
doit en découler une réalité
opérationnelle et technique pas
toujours évidente à implémenter.
En creusant davantage dans le
quotidien des projets, un certain
nombre de points sont souvent
source de discussion entre les
acteurs clés du projet.
L'article 32 du RGPD, à lui seul,
peut donner quelques sueurs
froides : « Compte tenu de l'état
des connaissances, des coûts de
mise en œuvre et de la nature,
de la portée, du contexte et des
finalités du traitement ainsi

que des risques, dont le degré
de probabilité et de gravité
varie, pour les droits et libertés
des personnes physiques, le
responsable du traitement et le
sous-traitant mettent en œuvre
les  mesures techniques et
organisationnelles appropriées
afin de garantir un niveau de
sécurité adapté au risque, y
compris entre autres, selon les
besoins [...] ».
En lisant le texte, il serait possible
de déduire des différents facteurs
à prendre en compte que le législateur européen a souhaité détailler
une méthodologie d'analyse à
réaliser pour définir les mesures
de sécurité, à destination des
juristes mais dont la rédaction ne
sera en réalité interprétable que
par un duo juridique/technique.
Concrètement, le responsable
de traitement doit élaborer et
déployer une méthode d'analyse
de risques cyber (et non privacy)
conformément aux méthodes
à sa disposition, par exemple la
méthode EBIOS Risk Manager
de l'Agence nationale de la
sécurité des systèmes d'information  ; ISO 27005 Gestion
EXPERTISES Septembre 2020

des risques liés à la sécurité de
l'information. A cette analyse
de risques, les éléments liés à
l'état de l'art cyber, aux coûts, à
la nature, la portée, le contexte
et la finalité du projet doivent
être pris en compte. On mélange
le tout et on en ressort les
mesures appropriées à déployer
pour protéger les données
personnelles.
Ce qui est intéressant dans
l'application quotidienne de cet
article, c'est de recueillir la vision
du projet et de sa légendaire
question  : «  la loi impose-t-elle
que je mette en place telle ou
telle mesure  ?  » Puis viennent
des étoiles dans les yeux quand
le chef de projet entend la
réponse  : «  non la loi n'impose
pas de déployer telle mesure...  »,
qui disparaissent lorsqu'il entend
la suite «  ...cependant la loi
impose de mettre en place
les
mesures
de
sécurité
appropriées » et l'équipe « sécurité
informatique  » estime dans tel
projet que ce sont telles et telles
mesures qu'il faut appliquer.
Les difficultés liées à ces enjeux
internes peuvent en outre

311

Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia