RGPD : le guide pratique pour le RSSI et le DPO

Le règlement général sur la protection des données (RGPD), adopté le 27 avril 2016 sous la référence (UE) 2016/679, s'applique depuis le 25 mai 2018 dans toute l'Union européenne. Comme c'est un règlement et non une directive, il est directement applicable : en France, la loi Informatique et Libertés le complète sur les points que le texte européen laisse aux États.

Il encadre tout traitement de données à caractère personnel, c'est-à-dire toute opération (collecte, conservation, consultation, communication, effacement…) portant sur une information qui se rapporte à une personne physique identifiée ou identifiable, directement ou indirectement. Un numéro de dossier patient, une adresse IP ou une plaque d'immatriculation sont des données personnelles au même titre qu'un nom.

Les sept principes de l'article 5

Toutes les obligations du règlement découlent des principes posés par son article 5. Pour un RSSI, ils se lisent comme des exigences de conception et de sécurité :

Le dernier principe change la logique : il n'y a plus de déclaration préalable à la CNIL pour la plupart des traitements, mais l'organisme doit tenir une documentation prête à être présentée en cas de contrôle. C'est cette documentation que ce guide aide à construire.

Le règlement attribue les obligations selon le rôle joué dans chaque traitement, pas selon la nature de l'organisme. Un même hôpital peut être responsable du traitement pour ses dossiers patients et sous-traitant pour un autre établissement dont il héberge l'application.

Le RSSI n'apparaît pas dans le texte : le RGPD n'impose aucun poste de sécurité. Mais l'article 32, qui exige des mesures techniques et organisationnelles adaptées au risque, revient presque toujours à lui. Notre article sur le rôle du RSSI détaille ses autres missions.

Sur le terrain, le DPO et le RSSI travaillent sur les mêmes traitements avec deux regards différents. Le DPO se demande si le traitement est légitime et proportionné pour les personnes concernées ; le RSSI, s'il est protégé contre les atteintes à la disponibilité, à l'intégrité et à la confidentialité. Ni l'un ni l'autre ne décide : c'est le responsable du traitement, en pratique la direction ou le métier, qui tranche et porte la responsabilité.

Le RGPD compte 99 articles. Ceux qui structurent le travail quotidien d'un DPO et d'un RSSI tiennent en quelques chantiers, chacun détaillé dans un chapitre de ce guide ou dans un article dédié.

1. Articles 37 à 39 Le délégué à la protection des données Quand sa désignation est obligatoire, comment le désigner, ses missions et son indépendance.
2. Article 28 Le contrat avec le sous-traitant Les clauses obligatoires, avec une trame commentée, et la chaîne des sous-traitants ultérieurs.
3. Article 30 Le registre des traitements Qui le tient, ce qu'il contient, et un exemple de registre rempli.
4. Article 25 Privacy by design Protéger les données dès la conception et par défaut, dans les projets et les achats.
5. Articles 4, 25 et 32 Anonymisation et pseudonymisation Faire la différence, choisir une technique et vérifier le résultat avec les trois critères européens.
6. Article 35 L'analyse d'impact (AIPD) Quand elle est obligatoire et comment la mener : notre article dédié.

Sécurité et violations de données

L'article 32 demande au responsable du traitement et au sous-traitant des mesures adaptées au risque, en tenant compte de l'état des connaissances et des coûts. Il cite notamment la pseudonymisation et le chiffrement, la capacité à garantir la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, la capacité à rétablir l'accès aux données après un incident, et des tests réguliers de l'efficacité des mesures. C'est le terrain naturel du RSSI, qui peut s'appuyer sur sa politique de sécurité des systèmes d'information (PSSI) et sur une analyse de risques.

En cas de violation de données personnelles (perte, vol, accès non autorisé, chiffrement par un rançongiciel…), le responsable du traitement la notifie à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes (article 33). Si le risque est élevé, il informe aussi les personnes concernées (article 34). Toute violation, notifiée ou non, est consignée dans un registre interne. Le sous-traitant, lui, doit prévenir le responsable dans les meilleurs délais : c'est une clause à ne pas oublier dans le contrat.

L'article 83 prévoit deux plafonds d'amendes administratives, toujours exprimés en « montant le plus élevé » entre une somme fixe et un pourcentage du chiffre d'affaires annuel mondial :

La CNIL peut aussi prononcer des mises en demeure, des injonctions sous astreinte et rendre ses sanctions publiques. Notre article sur la cyberattaque d'un hôpital sanctionnée par la CNIL montre comment des failles de sécurité se traduisent en manquements au RGPD.

Ce projet touche à tous les chapitres : l'hôpital doit avoir un DPO, le portail entre au registre, l'éditeur et l'hébergeur sont des sous-traitants à encadrer, le portail doit être conçu pour protéger les données par défaut, et les statistiques d'utilisation posent la question de l'anonymisation. Pour l'hébergement des données de santé, voir aussi notre article sur la certification HDS (hébergeur de données de santé).

La difficulté du RGPD n'est pas de comprendre chaque obligation, mais de garder une documentation cohérente et à jour : un nouveau prestataire change le registre, une nouvelle fonctionnalité peut exiger une analyse d'impact, une violation de données révèle une mesure manquante. Beaucoup d'organisations commencent avec des tableurs, puis cherchent à relier registre, analyses d'impact, contrats et évaluations des prestataires. Les liens avec la gestion des risques tiers et les questionnaires de sécurité fournisseurs sont particulièrement forts.

Commencez par le chapitre sur le délégué à la protection des données, puis suivez le portail patient de Valbrune à travers le contrat de sous-traitance, le registre des traitements, la protection des données dès la conception et l'anonymisation. Le glossaire RGPD rassemble les définitions.