Ensemble des mesures techniques et organisationnelles visant à protéger les données personnelles contre l'accès non autorisé, la perte ou la destruction.
Définition complète
La sécurité des données, au sens du RGPD, ne se limite pas à l'installation d'un antivirus. Elle désigne l'obligation pour tout responsable de traitement de mettre en œuvre des mesures « techniques et organisationnelles appropriées » pour garantir un niveau de sécurité adapté au risque. Cette obligation est ancrée dans l'article 32 du RGPD, qui impose de protéger les données contre les risques de destruction accidentelle, de perte, d'altération ou d'accès non autorisé.
Concrètement, cela signifie que la sécurité doit être proportionnée à la sensibilité des données traitées (données de santé, coordonnées bancaires, etc.) et à l'état des connaissances techniques. Le juriste et le dirigeant doivent adopter une approche basée sur le risque : on n'applique pas les mêmes mesures pour un simple fichier client que pour un registre de paie. L'objectif est d'assurer la confidentialité (seules les personnes autorisées accèdent aux données), l'intégrité (les données ne sont pas modifiées illicitement) et la disponibilité (les données restent accessibles en cas de besoin).
Enfin, la sécurité inclut une dimension organisationnelle : la rédaction de chartes informatiques, la formation du personnel et la mise en place d'une procédure de gestion des violations de données. Le RGPD impose notamment la capacité de rétablir rapidement l'accès aux données en cas d'incident technique, rendant les stratégies de sauvegarde et les plans de reprise d'activité (PRA) juridiquement indispensables.
Exemple concret en PME
Une PME de e-commerce sécurise ses données en chiffrant les mots de passe de ses clients, en limitant l'accès au logiciel de gestion commerciale aux seuls employés du service comptabilité (gestion des habilitations) et en effectuant des sauvegardes quotidiennes externalisées. Elle forme également ses salariés au phishing pour éviter qu'un vol d'identifiants ne compromette l'ensemble de sa base de données clients.
L'erreur fréquente à éviter
L'erreur classique est de croire que la sécurité est un sujet purement informatique. Beaucoup de PME négligent le volet organisationnel : l'absence de politique de mots de passe, le partage de comptes génériques entre collègues ou l'absence de contrat de sous-traitance sécurisé avec l'hébergeur cloud constituent des failles juridiques majeures, même si le pare-feu est performant.