La sécurité des données et le RGPD : cours de Bac pro AGOrA

Quand tu travailles comme assistant(e) à la gestion des organisations et de leurs activités, tu manipules chaque jour des informations sur des personnes : clients, fournisseurs, salariés, candidats à un poste. Elles se trouvent dans un tableur, dans le progiciel de gestion intégré, dans une boîte mail ou dans un classeur partagé. Tu as déjà vu comment ces outils organisent et calculent l'information. Il reste une question : qui a le droit de la voir, de la garder, de la transmettre, et comment l'empêcher de fuir ?

Le programme du bac pro AGOrA place cette question dans ton référentiel : il demande d'identifier et d'appliquer des moyens de protection et de sécurisation adaptés aux données enregistrées ¹. Il cite aussi la protection des données personnelles, le RGPD, le droit d'auteur et le droit à l'image parmi les sujets à maîtriser auprès des clients et des usagers ¹. Ce cours te donne le cadre de la loi, le vocabulaire et les bons réflexes.

Le mot clé est identifier. Un prénom seul, comme « Camille », ne désigne personne en particulier. Mais « Camille, 17 rue des Lilas, téléphone portable » désigne une personne précise. Dès qu'une information, seule ou combinée à d'autres, conduit à une personne, tu es dans le domaine des données personnelles.

Les données biométriques, comme les empreintes digitales, sont citées parmi les exemples ². Elles te rappellent qu'une donnée peut être très personnelle sans être écrite : elle décrit le corps ou la façon d'être de quelqu'un. Un mot de passe oublié se remplace, une empreinte non.

La sécurité est un moyen, la protection des données personnelles est un but. Une organisation qui range mal ses fichiers ou laisse un poste ouvert met en danger des personnes réelles. C'est pour cela que le RGPD ne se limite pas à des principes : il exige des acteurs qu'ils soient capables de montrer ce qu'ils font. Le programme AGOrA fait aussi le rapprochement lorsqu'il évoque la sécurité, la confidentialité des données et le droit des personnes au sein de l'organisation ¹.

Retiens bien deux dates, car elles reviennent souvent :

• 27 avril 2016 : adoption du règlement ⁵ ;
• 25 mai 2018 : le RGPD entre en application et les organisations doivent s'y conformer ².

Il s'écoule donc deux ans environ entre l'adoption et l'application. Ce délai laissait aux entreprises et aux administrations le temps de s'organiser. Ne mélange pas les deux dates : l'adoption est le vote du texte, l'application est le moment où il faut s'y conformer.

Un texte européen de 1995, une directive, traitait déjà du sujet. Le RGPD le remplace ⁵. Une directive donne un cap et laisse chaque État choisir sa méthode, d'où des règles qui différaient d'un pays à l'autre. Un règlement impose partout le même texte : c'est ce qui unifie.

Les lois nationales ne s'effacent pourtant pas. Le règlement laisse lui-même aux États le soin de régler certains points, et plusieurs dispositions françaises allaient à l'encontre de ses nouvelles normes ⁵. La France a donc mis son droit interne en accord avec lui grâce à la loi du 20 juin 2018 ⁵. À ses côtés, la loi « Informatique et Libertés » du 6 janvier 1978 demeure un pilier français : ses dispositions récentes renforcent la protection pour que l'usage des données respecte les droits des personnes ³.

Le RGPD poursuit deux objectifs principaux. Le premier est d'accroître la protection des personnes dont les données sont traitées. Le second est de responsabiliser les acteurs de ces traitements. Pour que cela marche, le texte renforce le pouvoir des autorités de contrôle ⁵.

Que signifie « démontrer » en pratique ? Il ne suffit pas d'être de bonne foi. L'organisation doit pouvoir produire des preuves : une consigne écrite, une procédure suivie, une personne désignée, un registre tenu à jour. Imagine un contrôle : si ton entreprise dit « nous protégeons les données » mais ne peut rien montrer, elle n'a pas rempli son obligation.

Pour une entreprise, la conformité au RGPD est une obligation légale, mais elle apporte aussi des avantages : elle aide à gérer efficacement les données, à contrôler les accès et à garantir leur sécurité ⁵. Le règlement n'est donc pas qu'une contrainte, c'est aussi une méthode de bonne gestion.

Le RGPD renforce l'information donnée aux usagers sur les finalités d'utilisation de leurs données, c'est-à-dire sur les raisons pour lesquelles on les collecte ⁴. C'est un principe simple à retenir : on ne collecte pas des données « au cas où ». Avant de demander une information à un client, demande-toi à quoi elle servira. Si tu ne sais pas répondre, c'est que la collecte pose problème.

Le consentement au traitement des données est le point sur lequel les particuliers déposent le plus de plaintes depuis l'entrée en vigueur du RGPD ⁵. Cela montre que les personnes connaissent désormais leurs droits et les font valoir ⁵. Pour toi, la conséquence est claire : on ne traite pas les données d'une personne sans respecter ce qu'elle a accepté.

Plusieurs acteurs interviennent. Les repérer évite de confondre qui décide, qui exécute et qui contrôle.

La CNIL est la Commission nationale de l'informatique et des libertés. Avec la loi du 20 juin 2018, elle reçoit des missions en plus, ainsi qu'un pouvoir de contrôle et de sanction renforcé ⁵. À l'échelle de l'Union, on a mis en place le Comité européen de la protection des données (CEPD) : il fait travailler ensemble les autorités nationales de contrôle de chaque pays ⁵. Ainsi, une règle commune est appliquée de la même façon dans les différents États.

Le DPO ne peut bien travailler que s'il est indépendant, et le RGPD prévoit des règles pour le garantir ⁶. À l'Éducation nationale, le délégué agit en toute indépendance. Son avis est obligatoire quand un nouveau traitement est lancé ou qu'un traitement existant change de façon importante, et il peut adresser des recommandations aux responsables ³. Il est aussi en mesure de conduire des audits, afin d'évaluer la conformité au RGPD et de relever les écarts ³.

Le responsable de traitement désigne le DPO selon les dispositions du RGPD, informe rapidement l'autorité de contrôle compétente et rend publiques les coordonnées du délégué ⁶. Dans un groupe d'entreprises, le DPO doit pouvoir être joint facilement depuis n'importe quel site ⁶. Un point de contact unique simplifie aussi les échanges avec l'autorité de contrôle ⁶.

Ta réaction d'assistant(e) : quand un client te pose une question sur ses données, tu n'improvises pas la réponse. Tu sais qu'il existe un référent, tu cherches ses coordonnées et tu orientes la demande.

Le cadre légal étant posé, voyons comment il se traduit dans un poste de travail. Les mesures ci-dessous sont des raisonnements de bon sens à adapter à ton organisation : elles ne remplacent pas les consignes de ton entreprise.

• Verrouiller sa session en quittant son poste, même une minute.
• Ne pas laisser de dossiers papier visibles sur un bureau ouvert au public.
• Utiliser des mots de passe personnels et ne pas les communiquer.
• Vérifier le destinataire avant d'envoyer un mail contenant des données.
• Mettre à jour les données quand elles changent, ce qui fait partie de la maintenance du système décrite dans ton référentiel ¹.
• Signaler tout incident (courriel envoyé par erreur, perte d'une clé USB) dès qu'on le constate.

Depuis l'application du RGPD, les particuliers connaissent mieux leurs droits, ce qui a fait augmenter les plaintes ⁵. Des associations s'en mêlent : La Quadrature du Net, association de défense des libertés sur internet, a déposé une plainte collective contre les GAFAM, et l'ONG None of Your Business (NOYB) a visé des réseaux sociaux comme Instagram et WhatsApp dès le 25 mai 2018 ⁵.

Ce cas montre deux choses. D'abord, une fuite de données a un coût réel pour l'organisation. Ensuite, la façon de réagir compte : transparence et rapidité ont réduit l'amende. Voilà pourquoi tu dois signaler vite un incident au lieu de le cacher.