Art. 32 RGPD : quelles mesures techniques et organisationnelles (MTO) votre entreprise doit mettre en place, et pourquoi la formation en fait partie

L'art. 32 RGPD vous oblige, en tant que responsable du traitement, à protéger les données à caractère personnel par des mesures techniques et organisationnelles (MTO) appropriées, adaptées au risque pour les personnes concernées. Cela comprend des dispositions techniques telles que le chiffrement et les contrôles d'accès, ainsi que des mesures organisationnelles telles que les politiques de suppression, les circuits de signalement et la formation documentée des collaborateurs. C'est précisément ce choix que vous devez pouvoir justifier et prouver en cas de besoin.

Par la rédaction de Provimedia · Situation : juillet 2026 · Cet article est une information générale et ne constitue pas un conseil juridique.

Après une violation de données notifiée, l'autorité de contrôle demande en pratique d'abord une chose : quelles MTO aviez-vous déjà mises en place et documentées auparavant ? Cet article vous montre ce que l'art. 32 RGPD exige concrètement. Grâce au tableau ci-dessous, vous pourrez justifier votre choix en cas de besoin.

Qu'exige l'art. 32 RGPD ?

L'art. 32, par. 1, RGPD exige un niveau de protection adapté au risque pour le traitement de données à caractère personnel. Vous devez à cet égard tenir compte de l'état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, des circonstances et des finalités du traitement concerné.

• point a) la pseudonymisation et le chiffrement des données à caractère personnel
• point b) la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes
• point c) le rétablissement rapide de la disponibilité après un incident physique ou technique
• point d) une procédure d'essai, d'analyse et d'évaluation régulières de l'efficacité des mesures

Le par. 2 énumère les risques contre lesquels vous devez vous protéger : la destruction, la perte, l'altération ou la divulgation non autorisée de données à caractère personnel, ou l'accès non autorisé à de telles données. Le par. 4 précise que les personnes ayant accès aux données ne peuvent les traiter que sur instruction du responsable du traitement. Cela signifie pour vous : protégez les données non seulement contre les attaques extérieures, mais aussi contre les erreurs et l'accès non autorisé de vos propres collaborateurs.

Un niveau de protection « approprié » n'est pas un catalogue rigide de mesures, mais le résultat d'une pondération des risques. Un bureau d'une seule personne avec une liste de clients n'a pas besoin des mêmes MTO qu'un cabinet traitant des données de santé.

Cette orientation vers le risque est étroitement liée à l'obligation de responsabilité au titre du RGPD. Celui qui choisit des MTO doit aussi pouvoir justifier et documenter ce choix – et pas seulement affirmer qu'il assure une protection appropriée.

Que sont les mesures techniques et les mesures organisationnelles ?

Les mesures techniques agissent sur les systèmes, les logiciels et l'infrastructure. Les mesures organisationnelles agissent sur les processus, les règles et le comportement de vos collaborateurs. Pour votre choix de MTO, vous avez besoin des deux niveaux ensemble, comme le montre l'aperçu suivant avec des exemples du délégué régional à la protection des données et à la liberté d'information de Rhénanie-du-Nord-Westphalie (LDI NRW).

Pourquoi la sensibilisation des collaborateurs est-elle elle-même une mesure organisationnelle ?

L'art. 32 RGPD exige expressément aussi des dispositions organisationnelles, et pas seulement de la technique. C'est pourquoi le LDI NRW range explicitement les formations des collaborateurs parmi les exemples de MTO recommandés. Le chiffrement et le pare-feu ne vous protègent en effet pas d'un collaborateur qui communique un mot de passe au téléphone ou envoie une liste de clients à la mauvaise adresse.

Une sensibilisation à la protection des données régulière, avec participation documentée, est donc elle-même une MTO au sens de l'art. 32, par. 1, RGPD. Elle étaye en même temps votre obligation de responsabilité au titre de l'art. 24 RGPD.

Comment les art. 32, 24 et 25 RGPD s'articulent-ils ?

Quatre normes du RGPD s'imbriquent pour vos MTO. Concrètement, cela signifie pour vous :

• Art. 5, par. 1, point f, RGPD : le principe d'« intégrité et de confidentialité » – les données doivent être protégées contre le traitement non autorisé, la perte et la destruction.
• Art. 32 RGPD : l'obligation de sécurité concrète – choisir des MTO appropriées au risque.
• Art. 24 RGPD : l'obligation de preuve – documenter le choix des MTO et leur efficacité.
• Art. 25 RGPD : la protection des données dès la conception – prévoir la protection dès le départ, et non l'ajouter après coup.

Que se passe-t-il en cas de violation de l'art. 32 RGPD ?

Les violations de l'art. 32 RGPD peuvent être sanctionnées, en vertu de l'art. 83, par. 4, point a, RGPD, par une amende pouvant aller jusqu'à 10 millions d'euros. Pour les entreprises, il s'agit de jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Ce cadre se situe en dessous du cadre d'amende de l'art. 83, par. 5, RGPD (jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel), qui s'applique par exemple aux violations des principes du traitement des données au titre de l'art. 5 RGPD.

Concrètement, cela signifie pour vous : après une violation de données notifiée, les autorités de contrôle vérifient régulièrement si des MTO appropriées, proportionnées au risque, existaient et étaient documentées. C'est précisément le moment où votre documentation des MTO porte ses fruits.

Questions fréquentes (FAQ)

De combien de MTO ai-je besoin au minimum ?

Le RGPD ne prescrit pas de nombre minimal fixe. L'art. 32, par. 1, RGPD exige un niveau de protection adapté au risque plutôt qu'une liste de contrôle. Un bureau d'une seule personne avec une liste de clients a donc besoin de MTO différentes d'un cabinet traitant des données de santé.

L'art. 32 RGPD ne concerne-t-il que les grandes entreprises ?

Non : l'art. 32 RGPD s'applique à chaque responsable du traitement et à chaque sous-traitant, quelle que soit la taille de l'entreprise. Le texte de loi exige expressément de tenir compte des coûts de mise en œuvre et de la nature du traitement. L'étendue des MTO évolue donc avec le risque et la taille de l'entreprise.

Une formation unique des collaborateurs à l'embauche suffit-elle ?

Le RGPD ne fixe pas de délai de répétition pour les formations à la protection des données. Il résulte toutefois indirectement de l'art. 32, par. 1, point d, RGPD (vérification régulière de l'efficacité) et de l'obligation de responsabilité de l'art. 24 RGPD qu'une sensibilisation récurrente et documentée est plus appropriée qu'une initiation unique à l'embauche.

Dois-je documenter mes MTO par écrit ?

L'art. 32 RGPD lui-même ne prescrit aucun format de documentation particulier. L'obligation de preuve de l'art. 24 RGPD exige toutefois que vous puissiez justifier vos MTO. En pratique, cela passe par un document MTO par activité de traitement, intégré au registre des activités de traitement.

La sensibilisation documentée de vos collaborateurs – l'une des mesures organisationnelles au titre de l'art. 32 RGPD – est couverte par notre formation de base au RGPD avec certificat de participation daté. Vos salariés apprennent les bases du RGPD de façon pratique, et vous obtenez une preuve traçable pour votre documentation des MTO.

Sources

• Règlement (UE) 2016/679 (RGPD) – texte intégral, EUR-Lex
• Délégué régional à la protection des données et à la liberté d'information de Rhénanie-du-Nord-Westphalie : mesures techniques et organisationnelles (MTO)