Règlement (UE) 2016/679 et directive (UE) 2022/2555

DPO externalisé pour les entreprises industrielles

Une entreprise industrielle traite peu de données de clientèle et beaucoup de données de personnel : badges, caméras, capteurs, journaux de production, outils de maintenance. Ce sont des traitements de droit commun, mais conduits dans un contexte de subordination et souvent rattachés à des systèmes que des prestataires administrent à distance. C'est cette combinaison, et non la nature des données, qui fait le risque.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Sécuriser un site sans surveiller ceux qui y travaillent

Le contrôle d'accès par badge poursuit une finalité de sécurité des installations, qui est légitime au sens de l'article 6.1 f) du règlement (UE) 2016/679. Il devient un traitement d'une autre nature dès lors que ses journaux sont exploités pour vérifier les horaires, mesurer les temps de pause ou établir une présence individuelle : la finalité change, et le fondement retenu pour le dispositif d'origine ne la couvre plus.

La règle applicable est celle de l'article 5.1 b) : les données collectées pour une finalité déterminée ne peuvent être traitées ultérieurement d'une manière incompatible avec celle-ci. Réutiliser un journal de contrôle d'accès à des fins de gestion du temps de travail suppose donc d'inscrire cette finalité au registre, de l'annoncer aux salariés et de consulter les instances représentatives du personnel, comme l'exige le droit du travail pour tout dispositif de contrôle.

La même analyse vaut pour la vidéoprotection des ateliers : une caméra orientée sur une zone de risque protège ; la même caméra filmant en continu un poste de travail déterminé place un salarié sous surveillance permanente, ce que l'autorité de contrôle sanctionne de manière constante.

Les données produites par l'outil de production

Les systèmes industriels produisent aujourd'hui une traçabilité fine : quel opérateur a lancé quel cycle, à quelle heure, avec quel résultat. Ces enregistrements sont nécessaires à la qualité et à la sécurité, et ils constituent simultanément des données personnelles dès qu'ils sont rattachables à une personne identifiée.

La conformité ne consiste pas à renoncer à cette traçabilité, mais à en limiter l'exploitation : définir qui accède aux journaux nominatifs et pour quel motif, fixer une durée de conservation propre à la finalité qualité plutôt qu'une conservation indéfinie, et interdire explicitement leur usage comme support d'évaluation individuelle sans que cette finalité ait été déclarée. Un dispositif de traçabilité qui n'est encadré par aucune de ces trois règles est, en pratique, un dispositif d'évaluation permanente non déclaré.

L'accès distant des prestataires de maintenance

La télémaintenance des équipements est le canal par lequel un tiers accède au système, et c'est le point d'exposition le plus régulièrement sous-estimé. Lorsque le prestataire accède à des données personnelles pour le compte de l'entreprise, il est sous-traitant au sens de l'article 4.8 du règlement, et le contrat doit comporter les clauses de l'article 28.3.

Trois vérifications concentrent l'effet. Que l'accès soit ouvert à la demande et pour la durée de l'intervention, et non maintenu en permanence. Que les sessions soient journalisées, ce qui est la seule manière d'établir ensuite l'étendue d'un incident. Et que la localisation des équipes d'intervention soit connue : une maintenance opérée depuis un pays tiers constitue un transfert au sens du chapitre V du règlement, même lorsque les données ne sont pas copiées.

NIS2 : un régime distinct, un même système à protéger

Plusieurs branches industrielles figurent aux annexes de la directive (UE) 2022/2555, qui soumet les entités concernées à des obligations de gestion du risque et de notification des incidents. Ce régime est indépendant du règlement sur la protection des données : il protège la continuité des activités, pas les personnes, et la conformité à l'un ne vaut pas conformité à l'autre.

Les deux textes se rencontrent toutefois sur un point opérationnel : l'incident. Un même événement peut constituer une violation de données à notifier à l'autorité de protection des données et un incident significatif à notifier à l'autorité de cybersécurité, selon des seuils et des délais différents. La procédure interne doit prévoir les deux branches dès l'écriture, faute de quoi la première notification retarde la seconde.

Questions fréquentes

Peut-on utiliser les badges d'accès pour contrôler les horaires ?

Pas sans déclarer cette finalité. L'article 5.1 b) du règlement (UE) 2016/679 interdit un traitement ultérieur incompatible avec la finalité initiale. Un dispositif installé pour la sécurité des installations ne peut pas être exploité pour la gestion du temps de travail sans que cette seconde finalité soit inscrite au registre, portée à la connaissance des salariés et précédée de la consultation des instances représentatives du personnel.

Une entreprise industrielle doit-elle désigner un délégué à la protection des données ?

Les critères de l'article 37.1 du règlement ne sont pas remplis par la seule taille de l'entreprise : ni le suivi régulier et systématique à grande échelle de personnes, ni le traitement à grande échelle de données de l'article 9 ne caractérisent une activité industrielle ordinaire. La désignation est fréquemment volontaire, et elle est alors soumise aux mêmes exigences d'indépendance.

Une intervention de maintenance depuis l'étranger est-elle un transfert de données ?

Oui, dès lors qu'un technicien situé dans un pays tiers accède à des données personnelles hébergées dans l'Union. Le chapitre V du règlement s'applique à la mise à disposition des données, pas seulement à leur déplacement physique. Un mécanisme de transfert doit donc être en place, et l'accès figurer dans la documentation du traitement.

La conformité à NIS2 couvre-t-elle les obligations de sécurité du RGPD ?

Non. La directive (UE) 2022/2555 vise la résilience des réseaux et des systèmes d'information ; l'article 32 du règlement (UE) 2016/679 vise la protection des droits des personnes. Les mesures techniques se recoupent largement, mais les objets protégés, les autorités compétentes et les régimes de notification diffèrent, et chaque texte s'apprécie pour lui-même.

Ce que ce régime déclenche ailleurs

Un incident industriel peut relever simultanément de deux régimes de notification : la procédure interne doit prévoir les deux branches avant l'événement.

Que faire en cas de violation de données

Géolocalisation des véhicules, caméras embarquées, données de livraison et de destinataires, sous-traitance de la chaîne logistique et articulation avec NIS2.

Transport

Ce qui se conduit à distance, ce qui suppose un déplacement sur site, et les zones couvertes depuis Paris en France, en Europe et au-delà.

En France

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.