Protection des données clients — au-delà du RGPD

---

Pourquoi la protection des données va au-delà de la conformité

Les risques réels pour une PME

Les cyberattaques ne ciblent plus exclusivement les grandes entreprises. Les PME sont désormais des cibles prioritaires pour les cybercriminels — souvent moins bien protégées que les grands groupes mais détenant des données précieuses (données clients, données bancaires, informations stratégiques).

Les conséquences d'une violation de données :

• Perte de confiance des clients (jusqu'à 30 % des clients concernés rompent la relation après une fuite de données)
• Obligations de notification (CNIL sous 72 heures, clients concernés si le risque est élevé)
• Sanctions CNIL (jusqu'à 4 % du chiffre d'affaires mondial ou 20 M€)
• Responsabilité civile envers les personnes dont les données ont été exposées
• Coûts de remédiation (investigation, nettoyage, restauration des systèmes)

Ce que le RGPD impose vs ce qu'il recommande

Le RGPD impose des mesures "appropriées" de sécurité — mais ne détaille pas les mesures techniques spécifiques. C'est intentionnel : les mesures appropriées dépendent de la nature des données traitées, des volumes et du niveau de risque. Ce guide vous donne les mesures concrètes considérées comme minimales par la CNIL et les experts en sécurité.

---

Les mesures techniques fondamentales

La gestion des accès et des identités

Le principe du moindre privilège : chaque collaborateur ne doit accéder qu'aux données strictement nécessaires à ses fonctions. Un commercial n'a pas besoin d'accéder aux données RH ; un comptable n'a pas besoin d'accéder aux contrats clients confidentiels.

Les mots de passe :

• Longueur minimale de 12 caractères avec complexité (majuscules, minuscules, chiffres, caractères spéciaux)
• Jamais de mot de passe partagé entre plusieurs personnes
• Changement obligatoire en cas de départ d'un salarié ou de suspicion de compromission
• Utilisation d'un gestionnaire de mots de passe (Bitwarden, 1Password, Dashlane) pour générer et stocker des mots de passe uniques et complexes

L'authentification à double facteur (2FA/MFA) : Obligatoire pour tous les accès sensibles : messagerie professionnelle, CRM, logiciel comptable, espace cloud, accès VPN. Le 2FA multiplie par 100 la résistance aux attaques par compromission de mot de passe.

Le chiffrement des données

Les données en transit : toutes les communications contenant des données personnelles doivent être chiffrées. Cela passe par l'utilisation de protocoles sécurisés : HTTPS pour les sites web, TLS pour les emails (configuré au niveau du serveur de messagerie), VPN pour les connexions distantes.

Les données au repos : les supports de stockage contenant des données sensibles (ordinateurs portables, disques externes, clés USB) doivent être chiffrés. Sur Windows : BitLocker. Sur Mac : FileVault. Pour les serveurs et NAS : solutions de chiffrement dédiées.

Les emails contenant des données sensibles : évitez d'envoyer des données personnelles sensibles par email non chiffré. Pour les échanges nécessitant une confidentialité élevée, utilisez un service d'email chiffré ou une plateforme d'échange sécurisée.

Les sauvegardes

Une sauvegarde correcte suit la règle 3-2-1 :

• 3 copies des données (la production + 2 sauvegardes)
• Sur 2 supports différents (disque interne + cloud, ou disque interne + disque externe)
• Dont 1 copie hors site (cloud ou stockage physique dans un autre lieu)

Les sauvegardes doivent être testées régulièrement — une sauvegarde dont la restauration n'a jamais été testée ne vaut rien.

La protection contre les ransomwares : les sauvegardes doivent être isolées du réseau principal (offline ou immuables). Un ransomware qui chiffre votre réseau chiffrera aussi les sauvegardes connectées. Les solutions de sauvegarde cloud modernes (Backblaze, Acronis, Veeam) proposent des sauvegardes immuables résistantes aux ransomwares.

Les mises à jour et les correctifs

La majorité des cyberattaques exploitent des vulnérabilités connues pour lesquelles des correctifs existent mais n'ont pas été appliqués. Maintenez à jour :

• Les systèmes d'exploitation (Windows, macOS, Linux)
• Les logiciels métiers et outils de productivité
• Les plugins et extensions (WordPress et ses plugins sont une cible fréquente)
• Les équipements réseau (routeurs, pare-feux)

Activez les mises à jour automatiques pour les éléments critiques et planifiez des revues mensuelles pour les systèmes ne pouvant pas être mis à jour automatiquement.

---

Les mesures organisationnelles

La charte informatique

Une charte informatique formalisée et signée par chaque collaborateur définit les règles d'utilisation acceptable des outils informatiques de l'entreprise : utilisation des équipements personnels (BYOD), navigation internet, utilisation des services cloud, règles de mobilité (utilisation en lieu public), signalement des incidents.

Elle a une valeur contractuelle en cas de manquement d'un salarié et sensibilise les équipes aux risques.

La sensibilisation des collaborateurs

90 % des incidents de cybersécurité résultent d'une erreur humaine (clic sur un lien malveillant, mot de passe faible, pièce jointe ouverte sans précaution). La formation des collaborateurs est le premier investissement de sécurité.

Les sujets à couvrir :

• Reconnaître un email de phishing (usurpation d'identité, liens suspects, demandes inhabituelles)
• Réagir face à une demande suspecte (vérification par un autre canal avant d'agir)
• Signaler un incident de sécurité sans crainte de sanction
• Bonnes pratiques en mobilité (écrans verrouillés, WiFi public)

Des plateformes comme Cybermalveillance.gouv.fr proposent des ressources gratuites pour sensibiliser les équipes.

La gestion des prestataires et sous-traitants

Vos données sont souvent traitées par des prestataires externes : hébergeur, éditeur de logiciel SaaS, agence de communication, prestataire de paie. Ces sous-traitants ont accès à vos données et peuvent être un vecteur de compromission.

Les mesures à prendre :

• Signer un DPA (Data Processing Agreement) avec chaque sous-traitant accédant à des données personnelles (obligation RGPD)
• Évaluer la sécurité de vos prestataires critiques (demandez leur politique de sécurité, leurs certifications)
• Révoquer immédiatement les accès des prestataires à la fin d'une mission
• Vérifier que vos prestataires hébergent les données dans l'UE ou dans des pays offrant un niveau de protection adéquat

Le plan de réponse aux incidents

Que faire si vous subissez une fuite de données ou une cyberattaque ? Sans plan préétabli, les premières heures sont chaotiques et les erreurs coûteuses.

Un plan minimal de réponse aux incidents couvre :

• Qui prévenir en interne en premier (DSI ou responsable informatique, direction, DPO si désigné)
• Comment isoler les systèmes compromis pour limiter la propagation
• Comment notifier la CNIL dans les 72 heures si la violation est significative
• Comment communiquer auprès des clients affectés
• Qui contacter en externe (prestataire de cybersécurité, assureur cyber)

---

La cyber-assurance

La cyber-assurance couvre les conséquences financières d'un incident de sécurité : frais de remédiation, pertes d'exploitation, frais de notification, dommages aux tiers. Les PME sous-estiment souvent le coût réel d'un incident cyber — en moyenne 50 000 à 200 000 € pour une PME selon la gravité.

Le coût annuel d'une cyber-assurance pour une PME varie de 500 € à 5 000 € selon le niveau d'exposition et les garanties souscrites. Certaines assurances imposent des prérequis de sécurité minimaux (MFA activé, sauvegardes régulières) — ce qui constitue un levier supplémentaire pour améliorer sa posture de sécurité.

---

Les ressources disponibles

Cybermalveillance.gouv.fr : plateforme nationale d'assistance aux victimes de cybermalveillance et de sensibilisation. Propose des guides pratiques gratuits adaptés aux TPE/PME.

ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) : publie des guides et référentiels de cybersécurité, notamment le guide "Cybersécurité pour les TPE/PME en 13 questions" (accessible gratuitement sur ssi.gouv.fr).

BpiFrance Cybersécurité : diagnostic cybersécurité gratuit proposé aux PME accompagnées par Bpifrance.

---

Pour la conformité RGPD dans son ensemble, consultez notre page dédiée. Pour comprendre comment assurer votre entreprise contre les risques cyber, consultez notre page sur les assurances professionnelles.