1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins:
a) la pseudonymisation et le chiffrement des données à caractère personnel;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement;
c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.
2. Lors de l'évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l'altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de l'accès non autorisé à de telles données, de manière accidentelle ou illicite.
3. L'application d'un code de conduite approuvé comme le prévoit l'article 40 ou d'un mécanisme de certification approuvé comme le prévoit l'article 42 peut servir d'élément pour démontrer le respect des exigences prévues au paragraphe 1 du présent article.
4. Le responsable du traitement et le sous-traitant prennent des mesures afin de garantir que toute personne physique agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne les traite pas, excepté sur instruction du responsable du traitement, à moins d'y être obligée par le droit de l'Union ou le droit d'un État membre.
L'article 32 du RGPD pose l'obligation de sécurité : le responsable du traitement et le sous-traitant doivent mettre en œuvre des mesures techniques et organisationnelles qui garantissent un niveau de sécurité adapté au risque. Le défaut de sécurité est l'un des manquements les plus fréquents dans les sanctions de la CNIL, et il est souvent à l'origine des violations de données que les articles 33 et 34 obligent à notifier.
Il ouvre la section 2 du chapitre IV, consacrée à la sécurité des données à caractère personnel :
- Article 32 : sécurité du traitement ;
- Article 33 : notification d'une violation de données à l'autorité de contrôle ;
- Article 34 : communication d'une violation de données à la personne concernée.
Pour rappel, un traitement désigne toute opération appliquée à des données personnelles (collecte, enregistrement, consultation, transmission, destruction), et une violation de données est une atteinte à leur sécurité qui entraîne, de manière accidentelle ou illicite, leur destruction, leur perte, leur altération, leur divulgation ou un accès non autorisé (article 4).
Qui est tenu par l'article 32 ?
L'obligation pèse à la fois sur le responsable du traitement, qui détermine les finalités et les moyens du traitement, et sur le sous-traitant, qui traite les données pour son compte. C'est l'une des rares obligations que le RGPD impose directement au sous-traitant : il répond de ses propres manquements devant la CNIL, indépendamment du contrat qui le lie à son client.
Le responsable du traitement garde toutefois la charge du choix : il ne peut faire appel qu'à des sous-traitants qui présentent des garanties suffisantes (article 28), et le contrat de sous-traitance doit prévoir que le prestataire prend toutes les mesures requises en vertu de l'article 32. Notre guide sur l'audit des sous-traitants détaille comment le vérifier en pratique.
Évaluer le risque avant de choisir les mesures
L'article 32 ne fixe pas de liste fermée de mesures. Il impose un niveau de sécurité adapté au risque, apprécié selon quatre paramètres du paragraphe 1 :
- l'état des connaissances, c'est-à-dire les techniques de protection disponibles au moment du traitement ;
- les coûts de mise en œuvre ;
- la nature, la portée, le contexte et les finalités du traitement ;
- les risques pour les droits et libertés des personnes, selon leur probabilité et leur gravité.
Le paragraphe 2 précise quels risques regarder : la destruction, la perte, l'altération, la divulgation non autorisée des données, ou l'accès non autorisé à celles-ci, de manière accidentelle ou illicite. Le coût est un critère parmi d'autres, pas une excuse : plus le risque pour les personnes est élevé, plus le niveau de protection attendu l'est aussi.
Exemple : une entreprise qui stocke les copies de pièces d'identité de ses clients dans un espace de partage en ligne protégé par un mot de passe faible expose ces personnes à une usurpation d'identité en cas de fuite. Le risque est élevé et appelle des mesures fortes (chiffrement, authentification robuste, accès restreint et journalisé).
Lorsque le traitement est susceptible d'engendrer un risque élevé, cette évaluation prend la forme d'une analyse d'impact (article 35), dont les mesures de sécurité sont une composante obligatoire. Pas à pas : réaliser son AIPD en 5 étapes.
Les mesures techniques citées par l'article 32
Le paragraphe 1 énumère quatre familles de mesures, « entre autres » et « selon les besoins » : la liste est indicative, pas limitative.
Pseudonymisation et chiffrement (point a)
La pseudonymisation remplace les éléments directement identifiants par un pseudonyme, les informations permettant de réidentifier la personne étant conservées séparément (article 4.5). À la différence de l'anonymisation, elle reste réversible : les données pseudonymisées restent des données personnelles. Voir notre guide sur les enjeux de la pseudonymisation et celui sur l'anonymisation des données.
Le chiffrement rend les données illisibles à qui ne détient pas la clé. Il peut peser lourd dans l'appréciation d'un risque : dans son ordonnance de référé du 12 mars 2021 (n° 450163), le Conseil d'État a tenu compte, pour refuser de suspendre le partenariat entre le ministère de la santé et Doctolib, du chiffrement des données de prise de rendez-vous hébergées chez Amazon Web Services, par un tiers de confiance situé en France. Sur les transferts et l'accès des autorités américaines, voir notre guide sur les transferts de données vers les États-Unis.
Confidentialité, intégrité, disponibilité et résilience (point b)
Le responsable du traitement doit disposer de moyens qui garantissent en permanence que les données ne sont accessibles qu'aux personnes habilitées (confidentialité), qu'elles ne sont pas modifiées de façon non autorisée (intégrité), qu'elles restent accessibles quand on en a besoin (disponibilité), et que les systèmes tiennent face à un incident (résilience). En pratique : gestion des habilitations, authentification forte, journalisation des accès, cloisonnement des réseaux, mises à jour de sécurité.
Rétablir l'accès aux données après un incident (point c)
Un incident physique (incendie, dégât des eaux) ou technique (panne, rançongiciel) ne doit pas faire perdre les données. Cela suppose des sauvegardes régulières, stockées à part et testées, et un plan de reprise qui fixe les délais de restauration.
Tester et évaluer régulièrement les mesures (point d)
Le RGPD exige une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures. Une mesure posée une fois et jamais vérifiée ne suffit pas : tests d'intrusion, revues des droits d'accès, exercices de restauration de sauvegarde, audits. C'est aussi l'un des fondements de l'audit RGPD.
Les mesures organisationnelles : le facteur humain
Le paragraphe 4 impose au responsable du traitement et au sous-traitant de garantir que toute personne agissant sous leur autorité et ayant accès aux données ne les traite que sur instruction du responsable du traitement, sauf obligation légale. La même règle figure à l'article 29, qui détaille cette notion d'autorité.
Concrètement : des accès limités au besoin de chaque poste, une charte informatique opposable (voir notre modèle de charte informatique), une sensibilisation régulière des équipes, et un engagement de confidentialité pour les personnes autorisées à traiter les données. Pour le sous-traitant, ce dernier point est une clause obligatoire du contrat (article 28.3.b), que l'on retrouve dans tout DPA.
Démontrer la sécurité : codes de conduite, certifications et documentation
Le paragraphe 3 permet de s'appuyer sur un code de conduite approuvé (article 40) ou sur un mécanisme de certification approuvé (article 42) comme élément de preuve. Ce n'est qu'un élément : il ne dispense pas de l'évaluation du risque.
Au titre du principe de responsabilité (article 24), le responsable du traitement doit pouvoir démontrer les mesures prises. Cette preuve ne se trouve pas dans la politique de confidentialité, qui informe les personnes, mais dans une documentation de sécurité : politique de sécurité des systèmes d'information, description des mesures dans le registre des traitements (article 30), résultats des tests. Côté clients, un plan d'assurance sécurité sert à formaliser ces engagements.
Pour choisir les mesures, la référence française est le guide de la sécurité des données personnelles de la CNIL, dont l'édition 2024 compte 25 fiches (authentification, habilitations, journalisation, sauvegardes, sous-traitance, chiffrement).
Article 32 et violations de données
L'article 32 est préventif ; les articles 33 et 34 organisent la réaction quand la sécurité a été prise en défaut :
- le responsable du traitement notifie la violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes (article 33) ;
- le sous-traitant, lui, ne notifie pas la CNIL : il doit informer le responsable du traitement dans les meilleurs délais après en avoir pris connaissance (article 33.2) ;
- si la violation est susceptible d'engendrer un risque élevé, les personnes concernées sont informées dans les meilleurs délais (article 34).
Toutes les violations, même non notifiées, sont documentées. La procédure complète est dans notre guide pour réagir à une violation de données. Une violation n'entraîne pas automatiquement une sanction au titre de l'article 32, mais elle révèle souvent des mesures insuffisantes, et c'est ce que la CNIL examine en contrôle.
Ce que la CNIL sanctionne au titre de la sécurité
Le défaut de sécurité des données figure dans une large part des décisions recensées dans la liste des sanctions prononcées par la CNIL. Quelques exemples, avec la désignation retenue par la CNIL :
- 8 janvier 2026 : 27 millions d'euros et une injonction à l'encontre d'un opérateur de téléphonie mobile, et 15 millions d'euros et une injonction à l'encontre d'un opérateur de téléphonie fixe, notamment pour défaut de sécurité des données et manquement à l'obligation de communiquer une violation aux personnes concernées.
- 22 janvier 2026 : 5 millions d'euros et une injonction à l'encontre d'un établissement public administratif, pour défaut de sécurité des données.
- 22 décembre 2025 : 1,7 million d'euros à l'encontre d'une société de conseil en systèmes et logiciels informatiques, pour défaut de sécurité des données.
- 15 avril 2022 : 1,5 million d'euros à l'encontre d'un éditeur de logiciels applicatifs, sous-traitant, pour défaut de sécurité, traitement de données hors des instructions du responsable du traitement (article 29) et absence d'encadrement contractuel.
La procédure simplifiée multiplie aussi les amendes de 5 000 à 20 000 euros pour défaut de sécurité, y compris contre de petites structures. L'ensemble des décisions européennes qui visent cet article est listé en bas de cette page, et sur notre page sanctions RGPD.
Pour documenter vos mesures de sécurité traitement par traitement, suivre celles de vos sous-traitants et répondre aux questionnaires de sécurité de vos clients depuis un même outil, demandez une démo de Leto.
