Blog

Sécuriser les données personnelles : ce que la CNIL attend d'une PME

5 septembre 2026 — 7 min de lecture

L'article 32 du RGPD demande de mettre en œuvre des mesures de sécurité « appropriées au risque » — une formule volontairement souple, mais qui n'est pas un blanc-seing. Voici ce qu'un contrôleur CNIL vérifie en priorité chez une PME, et ce qui distingue une mesure suffisante d'une négligence.

Le contrôle d'accès, en premier

La mesure la plus scrutée reste la plus simple : est-ce que seules les personnes qui en ont besoin accèdent à chaque catégorie de données ? Un fichier RH accessible à tout le personnel, un mot de passe partagé entre plusieurs salariés, un compte administrateur générique utilisé par toute l'équipe informatique — ce sont les manquements les plus fréquemment relevés, et les moins coûteux à corriger. Le principe du besoin d'en connaître (chacun n'accède qu'à ce qui lui est nécessaire) et l'authentification à deux facteurs sur les comptes sensibles sont aujourd'hui considérés comme des standards minimaux, pas des options avancées.

Des sauvegardes qui fonctionnent vraiment

Une sauvegarde qui existe mais n'a jamais été testée n'est une garantie que sur le papier. La CNIL et les référentiels de sécurité (dont l'ISO 27001) demandent des sauvegardes régulières, stockées séparément du système principal — pour résister notamment aux rançongiciels, qui chiffrent aussi les sauvegardes accessibles depuis le même réseau — et testées périodiquement par une restauration réelle, pas seulement une vérification que le fichier de sauvegarde existe.

Le chiffrement, pour ce qui le mérite

Chiffrer l'intégralité de son système d'information n'est pas toujours réaliste pour une PME, mais certaines données l'exigent : les postes nomades (ordinateurs portables, qui peuvent être perdus ou volés), les données de santé ou bancaires, et les échanges de données sensibles par e-mail. Le chiffrement transforme une perte de matériel en non-événement plutôt qu'en violation de données à déclarer.

Les mises à jour, discipline la plus négligée

Une part importante des violations de données exploite des failles connues et déjà corrigées par un correctif de sécurité disponible depuis des mois. Maintenir à jour son système d'exploitation, ses logiciels métier et ses équipements réseau est une mesure peu coûteuse et disproportionnément efficace comparée à son coût — bien plus qu'un outil de sécurité sophistiqué mal configuré.

Sensibiliser, parce que l'humain reste le point d'entrée

L'hameçonnage (phishing) reste le vecteur d'attaque le plus courant, et aucune mesure technique ne protège totalement contre un salarié qui clique sur un lien frauduleux ou communique un mot de passe par téléphone. Une sensibilisation simple et régulière — reconnaître un e-mail suspect, ne jamais transmettre un mot de passe, vérifier une demande de virement inhabituelle par un second canal — réduit ce risque plus efficacement qu'un outil supplémentaire.

Aller plus loin : de la sécurité RGPD à l'ISO 27001

Ces fondamentaux répondent à l'obligation de sécurité du RGPD, centrée sur les données personnelles. La norme ISO 27001 va plus loin : elle structure la sécurité de l'ensemble du système d'information — y compris les données non personnelles, la propriété intellectuelle, la continuité d'activité — dans un vrai système de management documenté et audité. C'est une démarche pertinente dès qu'une PME grandit, traite des données pour le compte de clients exigeants, ou répond à des appels d'offres qui l'exigent.