Protection des données et sécurité informatique

La protection des données et la sécurité informatique sont interdépendantes, mais ont des protections et des exigences légales différentes. Les entreprises ont besoin de responsabilités claires, de contrats de services résilients et de procédures pour les incidents de sécurité. Nous vous conseillons sur les exigences légales et, si nécessaire, coordonnez leur mise en œuvre avec les spécialistes responsables de la protection des données et de l'informatique.

Événements typiques de conseil

• Une entreprise introduit des services en nuage, des applications d'IA ou de nouveaux logiciels de personnel.
• Les fournisseurs de services ont accès aux données des clients, des employés ou de l'entreprise.
• Un message d'hameçonnage, un dispositif perdu ou une attaque peuvent entraîner une sortie ou une défaillance de données.
• Un client a besoin d'une preuve de sécurité de l'information ou d'engagements contractuels spéciaux.
• La préoccupation de la Loi sur l'ISB ou de la mise en oeuvre de la NIS-2 doit être clarifiée.

Organiser la protection des données dans l'entreprise

Entre autres, le RGPD exige un traitement légal, transparent et ciblé des données à caractère personnel. Pour les opérations de traitement typiques, il faut établir la base juridique, la portée des données, les destinataires, les périodes de stockage et les responsabilités. Le consentement n'est pas requis pour tout traitement, et en particulier dans la relation de travail, ne peut être utilisé comme solution standard.

Les obligations en matière d'information, les processus d'information et de suppression, les listes des activités de traitement et, le cas échéant, la nomination d'un responsable de la protection des données sont examinés sur la base des conditions respectives. En cas de risque probable élevé, une évaluation de l'impact sur la protection des données au titre de l'article 35 du RGPD peut être nécessaire. Il ne s'agit pas d'un document général obligatoire pour aucun logiciel.

Fournisseurs de services et flux internationaux de données

Le rôle contractuel d'un prestataire de services dépend du traitement effectif. Un accord de traitement des commandes en vertu de l'article 28 du RGPD ne correspond automatiquement à aucune coopération. La responsabilité conjointe ou indépendante peut exiger un arrangement différent.

Dans le cas des services de cloud et d'IA, il convient de vérifier les utilisations particulières, les sous-traitants, les options d'accès, la suppression, les mesures de sécurité et l'utilisation éventuelle des entrées à des fins de formation. Les transferts vers des pays tiers nécessitent également une base conformément au chapitre V du RGPD et, le cas échéant, de nouvelles mesures. Un emplacement annoncé en tant qu'Européen ne répond pas à toutes les questions concernant les accès en provenance d'autres États.

Sécurité informatique et NIS-2

L'article 32 du RGPD exige des mesures techniques et organisationnelles tenant compte des risques pour les données à caractère personnel. Cela peut comprendre, par exemple, des concepts d'autorisation, une authentification appropriée, des copies de sauvegarde, des procédures de récupération et un examen régulier des mesures. La conception technique du béton est déterminée sur la base des systèmes et des risques.

Depuis le 6 décembre 2025, les dispositions de la loi de mise en œuvre NIS-2 sont en vigueur en Allemagne. La question de savoir si une entreprise est incluse en tant qu'institution importante ou particulièrement importante conformément à l'article 28 BSIG dépend, entre autres, de l'activité, de la taille et des réglementations légales spéciales. Il n'y a pas d'exigence forfaitaire NIS-2 pour chaque entreprise. En particulier, les obligations en matière de gestion des risques, d'enregistrement, d'établissement de rapports et de gestion peuvent s'appliquer aux entités couvertes. Des règles sectorielles spéciales sont prises en compte en outre.

Incidents de sécurité: plusieurs essais en parallèle

En cas d'incident, il convient de coordonner le confinement technique, la protection des preuves et l'évaluation juridique. Un aperçu central de l'événement montre ce qui était connu, les données et les systèmes touchés et les mesures prises. Les obligations de déclaration ne doivent pas être examinées après information complète.

• RGPD: En principe, une violation de la protection des données à caractère personnel est signalée à l'autorité de contrôle compétente sans retard excessif et dans la mesure du possible dans les 72 heures suivant la notification, à moins qu'elle n'entraîne vraisemblablement pas un risque pour les droits et libertés des personnes physiques. L'évaluation doit être documentée.
• Personnes concernées: En cas de risque probable élevé, l'article 34 du RGPD, y compris ses exceptions, doit également être examiné.
• Processeurs: Vous devez informer immédiatement le responsable du traitement en cas de violation de données; le délai de 72 heures n'est pas un délai d'attente général pour les fournisseurs de services.
• BSIG : Pour les incidents importants de sécurité dans les installations détectées, le paragraphe 32 prévoit une notification anticipée dans les 24 heures, une nouvelle notification dans les 72 heures et un rapport final au plus tard un mois après la notification de 72 heures. En cas d'incidents continus et dans des cas particuliers, des règles complémentaires s'appliquent.

Une défaillance informatique n'est pas automatiquement une violation de données à déclaration obligatoire. Inversement, une violation de données peut se produire même si les systèmes continuent de fonctionner. Les deux essais doivent être correctement séparés et coordonnés.

Nos services et résultats de travail

• Bilan juridique et plan d'action prioritaire.
• Examen des contrats de fournisseur de services, de cloud et de traitement des commandes.
• Conception d'informations sur la protection des données, responsabilités et processus de suppression.
• Examen du problème des NIS-2 et suivi juridique de la mise en œuvre organisationnelle.
• Le concept de signalement et d'escalade des incidents de sécurité ainsi que l'appui juridique dans le cas particulier.
• Formation et exercices de cas pour la gestion, le personnel, les TI et d'autres secteurs touchés.

Questions communes

Un fournisseur externe de services informatiques nous rend-il automatiquement conformes à la loi?

Non, pas du tout. Les tâches peuvent être supportées ou externalisées; les responsabilités propres restent à vérifier. Le contrat, le rendement réel, le contrôle et la communication dans l'incident doivent s'intégrer.

Devons-nous signaler une attaque dans les 72 heures ?

Toutes les attaques ne sont pas enregistrées. La préoccupation concrète et les exigences de la loi respective sont décisives. En cas d'incertitude, l'évaluation devrait commencer tôt et être documentée de manière compréhensible.

Une déclaration de confidentialité est-elle suffisante sur le site Web?

Non, pas du tout. Il ne s'agit que d'une coupure. Le traitement interne, les données sur les employés, les prestataires de services, les droits des personnes concernées et les mesures de sécurité exigent leurs propres processus.

Quels documents facilitent l'entrée?

Un aperçu du système et du fournisseur de services, les documents de protection des données existants, les contrats et les plans juridictionnels. En cas d'incident, une chronologie, des informations techniques initiales et des communications qui ont déjà été faites sont particulièrement utiles.

Base juridique et autres informations officielles

• RGPD, et notamment ses articles 5, 6, 28 et 32 à 35
• § 26 BDSG – Données sur les employés
• BSI – Information sur NIS-2
• § 28 BSIG – institutions enregistrées
• § 32 BSIG – Déclarations incidentes
• § 33 BSIG – Enregistrement

Statut juridique : 1er novembre 2026. La classification des faits concrets nécessite un examen des règlements et des circonstances applicables.

Thèmes connexes et prochaines étapes

• Respect de l'IA
• Enquêtes internes
• Protection des lanceurs d’alerte et canaux internes de signalement
• Formations et ateliers

Demander conseil sur la page de contactC'est vrai. Décrivez brièvement votre demande et, si nécessaire, précisez les délais existants. La portée et la rémunération seront convenues avant la mise en service.