Cadre juridique et RGPD
Connaître les règles qui encadrent le travail d'un technicien : protection des données personnelles (RGPD), registre des traitements, droits des personnes, violation de données, droit pénal du numérique, directive NIS 2 et charte informatique.
L'essentiel
- Une donnée personnelle identifie une personne, directement ou indirectement : nom, courriel nominatif, adresse IP, plaque.
- Les données sensibles (santé, opinions, syndicat, religion…) sont interdites sauf exceptions encadrées.
- Principes : licéité, finalité, minimisation, exactitude, durée limitée, sécurité, responsabilité (savoir le prouver).
- Six bases légales : contrat, obligation légale, intérêt légitime, consentement, intérêts vitaux, mission publique.
- Le responsable de traitement décide ; le sous-traitant agit pour lui (contrat art. 28) ; le DPO conseille ; la CNIL contrôle (jusqu'à 20 M€ ou 4 %).
- Le registre (art. 30) décrit chaque traitement ; l'AIPD (art. 35) s'impose si le risque est élevé.
- Droits : information, accès, rectification, effacement, limitation, portabilité, opposition ; réponse sous 1 mois.
- Violation : registre interne toujours, CNIL sous 72 h si risque, personnes informées si risque élevé.
- Loi Godfrain : accès frauduleux (323-1), entrave (323-2), atteinte aux données (323-3) ; avoir l'accès ne donne pas le droit.
- NIS 2 : entités essentielles et importantes, incidents signalés à l'ANSSI (24 h, 72 h, 1 mois) ; la charte est opposable si annexée au règlement intérieur.
Piège classique
« Ce ne sont que des journaux techniques. » Faux : les journaux d'un serveur, d'un pare-feu ou d'un proxy contiennent des adresses IP et des identifiants de connexion, donc des données personnelles. Leur durée de conservation et leurs accès doivent être encadrés comme le reste.
À retenir
Chaque traitement doit avoir une finalité précise, une base légale, des données minimales, une durée de conservation et une sécurité adaptée. Et l'entreprise doit pouvoir le prouver : c'est le principe de responsabilité.
À retenir : 72 heures
Une violation qui présente un risque pour les personnes se notifie à la CNIL dans les 72 heures ; si le risque est élevé, on informe aussi les personnes. Toutes les violations, même sans risque, s'inscrivent dans le registre interne. Un disque chiffré volé avec une clé restée en sécurité ne crée en général pas de risque : le chiffrement évite bien des notifications.
Piège classique : « j'ai les droits, donc j'ai le droit »
Avoir techniquement accès à une boîte aux lettres ou à un dossier ne donne pas le droit de l'ouvrir. L'administrateur agit uniquement pour les besoins de sa mission (maintenance, sécurité) et dans le respect de la charte. Curiosité, vengeance ou service rendu à un manager peuvent tomber sous le coup des articles 323-1 ou 226-15.
Repères clés
| Pour… | Commandes et repères |
|---|---|
| Délais à connaître | CNIL : 72 h · demande d'accès : 1 mois · NIS 2 : 24 h, 72 h, 1 mois |
| Articles à citer | RGPD art. 5, 6, 9, 30, 33, 34, 35 · Code pénal art. 323-1 à 323-3 et 226-15 |
| Vérifier le chiffrement d'un poste | manage-bde -status (Windows) |
| Trouver des RIB qui traînent | grep -rliE "IBAN|FR76" /srv/partage |
| Trouver les fichiers trop anciens | find /srv/partage -type f -mtime +730 |
| Limiter la conservation des journaux | MaxRetentionSec=6month dans /etc/systemd/journald.conf |