Article 32 du RGPD : Comment prouver que vous partagez des documents en toute sécurité

L'Article 32 du RGPD exige des organisations qu'elles mettent en œuvre des mesures de sécurité techniques et organisationnelles appropriées lors du traitement des données personnelles. Pour les équipes financières qui partagent des documents à l'extérieur, cela signifie chiffrer les données en transit et au repos, contrôler qui peut accéder aux documents et maintenir des enregistrements prouvant que vos mesures de sécurité sont en place. Cet article explique exactement ce que l'Article 32 exige et comment démontrer la conformité.

Ce que l'Article 32 exige réellement

L'Article 32(1) énumère les mesures que les responsables et les sous-traitants doivent prendre en compte, en tenant compte de l'état de l'art, des coûts de mise en œuvre et des risques posés par le traitement. Celles-ci incluent :

• La pseudonymisation et le chiffrement des données personnelles
• La capacité à garantir la confidentialité, l'intégrité, la disponibilité et la résilience continues des systèmes de traitement
• La capacité à restaurer l'accès aux données personnelles en temps voulu après un incident physique ou technique
• Un processus de test, d'évaluation et d'évaluation réguliers de l'efficacité des mesures de sécurité

L'expression "mesures appropriées" est significative. Les régulateurs n'attendent pas les mêmes contrôles d'une petite entreprise de conseil de deux personnes que d'une banque systématiquement importante. La norme est proportionnelle à votre profil de risque, à la sensibilité des données et au préjudice potentiel pour les personnes concernées en cas de violation.

Les quatre contrôles techniques qui satisfont l'Article 32 pour le partage de documents

Pour les équipes partageant des documents avec des clients, des contreparties ou des conseillers, quatre contrôles techniques forment la base d'une approche conforme à l'Article 32.

Chiffrement en transit et au repos. Chaque document transféré sur Internet doit être chiffré à l'aide de TLS 1.2 ou supérieur. Les documents stockés sur des serveurs doivent être chiffrés au repos, avec AES-256 comme norme actuelle de l'industrie. Si vous envoyez des documents en tant que pièces jointes par e-mail, vous n'avez aucune garantie que l'une ou l'autre condition soit remplie.

Contrôles d'accès. Seuls les destinataires autorisés doivent pouvoir ouvrir un document. Cela signifie utiliser des liens d'accès uniques plutôt que des URL accessibles au public, exiger une vérification par e-mail ou un mot de passe avant d'accorder l'accès, et définir des dates d'expiration des liens afin que l'accès ne puisse pas persister indéfiniment.

Journalisation des audits. L'Article 32 exige que vous puissiez démontrer que vos mesures de sécurité fonctionnent. Un journal d'audit qui enregistre qui a accédé à un document, quand, depuis quelle adresse IP ou emplacement, et pendant combien de temps fournit cette preuve. Sans cela, vous ne pouvez pas prouver la conformité même si vos contrôles sont solides.

Résidence des données. Pour les personnes concernées de l'UE, le traitement de leurs données personnelles sur des serveurs situés en dehors de l'EEE introduit un risque de transfert en vertu du Chapitre V du RGPD. Héberger des documents sur une infrastructure de l'UE élimine ce risque et simplifie votre position de conformité.

Fonctionnalités de sécurité SendNow montrant AES-256, contrôles d'accès et badges de conformité d'hébergement UE

Constituer votre pack de preuves de l'Article 32

Si une autorité de surveillance enquête sur vos pratiques de partage de documents, elle s'attendra à voir des preuves, pas seulement des affirmations. Votre pack de preuves devrait inclure :

1. Un accord de traitement des données avec chaque plateforme que vous utilisez pour partager des documents, confirmant les mesures de sécurité du sous-traitant.
2. Des enregistrements de configuration de sécurité montrant que le chiffrement, les contrôles d'accès et la journalisation sont actifs dans votre outil de partage de documents.
3. Des exemples de journaux d'audit démontrant le niveau de détail capturé pour chaque événement d'accès.
4. Une évaluation des risques ou DPIA qui documente pourquoi vos mesures choisies sont appropriées pour les catégories de données que vous partagez.
5. Des enregistrements d'incidents, même si les incidents étaient mineurs, montrant que vous surveillez, détectez et répondez aux événements de sécurité.

Comment une plateforme de partage de documents génère des preuves de l'Article 32

Utiliser une plateforme de partage de documents spécialement conçue plutôt que des e-mails ou un stockage cloud général simplifie considérablement la conformité à l'Article 32. Chaque lien de document partagé peut générer un enregistrement d'audit automatique, et les certifications d'infrastructure de la plateforme servent de preuve tierce des contrôles techniques en place.

Journal d'audit SendNow comme enregistrement de preuve de l'Article 32

Avec SendNow, chaque lien de document génère un journal d'accès détaillé. Vous pouvez exporter ces journaux pour tout document donné et les présenter comme partie de votre pack de preuves de l'Article 32. Combiné avec le chiffrement AES-256 de SendNow, l'infrastructure hébergée dans l'UE et les paramètres par défaut de contrôle d'accès, la plateforme fournit la couche technique sur laquelle reposent vos mesures organisationnelles.

Liste de contrôle de conformité à l'Article 32 pour le partage de documents

Pour des informations plus approfondies sur les traces d'audit spécifiquement, lisez Comment maintenir une trace d'audit conforme au RGPD. Pour le cadre complet, consultez notre Guide complet sur le partage de documents RGPD et Chiffrement AES-256 pour le partage de documents expliqué.

Commencez à générer des preuves de l'Article 32 dès aujourd'hui. Chaque document partagé via SendNow est automatiquement enregistré, chiffré et hébergé dans l'UE. Visitez sendnow.live pour voir comment cela fonctionne.

---

Questions Fréquemment Posées

Q : L'Article 32 s'applique-t-il au partage de documents ainsi qu'aux données stockées ? R : Oui. L'Article 32 s'applique à tout traitement de données personnelles, ce qui inclut le transfert de documents contenant des données personnelles à des tiers externes. L'acte de partage est une activité de traitement et doit répondre aux mêmes normes de sécurité que le stockage.

Q : Que signifie "sécurité appropriée" selon l'Article 32 ? R : L'adéquation est évaluée par rapport aux risques. Pour les équipes financières partageant des données confidentielles de clients, le niveau de risque est élevé, donc le niveau de sécurité attendu est également élevé. Le chiffrement AES-256, les contrôles d'accès et la journalisation des audits représentent les meilleures pratiques actuelles pour ce niveau de risque.

Q : Puis-je compter sur la sécurité d'un destinataire si je lui envoie un document ? R : Non. Une fois qu'un document quitte votre contrôle, la posture de sécurité du destinataire est de sa responsabilité. Votre obligation selon l'Article 32 est de sécuriser le transfert lui-même. Utiliser un lien d'accès contrôlé et chiffré plutôt qu'une pièce jointe par e-mail limite votre exposition une fois le document livré.

Q : L'e-mail chiffré est-il suffisant pour la conformité à l'Article 32 ? R : L'e-mail standard n'est pas suffisant. Bien que TLS chiffre les e-mails en transit entre les serveurs, les pièces jointes ne sont pas chiffrées au repos sur le serveur du destinataire, il n'y a pas de journalisation d'accès, et vous ne pouvez pas révoquer l'accès une fois envoyé. Les outils de partage de documents spécialement conçus offrent des contrôles beaucoup plus solides.

Q : Devons-nous mettre à jour notre évaluation de l'Article 32 lorsque nous changeons d'outils de partage de documents ? R : Oui. L'Article 32 est une obligation vivante. Changer votre plateforme de partage de documents constitue un changement matériel de votre environnement de traitement et devrait déclencher un examen de vos mesures techniques et, si nécessaire, une mise à jour de la DPIA.

Q : Que se passe-t-il si une autorité de surveillance juge nos mesures de l'Article 32 inadéquates ? R : Elle peut émettre un ordre correctif exigeant que vous amélioriez vos mesures, et dans les cas graves, elle peut imposer une amende administrative allant jusqu'à 10 millions d'EUR ou 2 % du chiffre d'affaires annuel mondial en vertu de l'Article 83(4).

Q : L'utilisation d'un fournisseur conforme au RGPD satisfait-elle automatiquement à l'Article 32 ? R : Non. La conformité de votre fournisseur est une condition nécessaire mais pas suffisante. Vous devez également configurer l'outil correctement et mettre en œuvre des mesures organisationnelles telles que la formation du personnel et une politique de partage de documents. La conformité à l'Article 32 nécessite les deux couches.

Q : À quelle fréquence devrions-nous tester nos mesures de sécurité des documents ? R : L'Article 32(1)(d) exige explicitement un processus de test et d'évaluation réguliers des mesures de sécurité. Un test annuel est un minimum pour la plupart des organisations. Après tout changement matériel de votre plateforme ou de vos activités de traitement, un examen immédiat est prudent.