En quelques jours, la CNIL a rendu publiques deux sanctions. Une amende contre Extia pour un droit à l'effacement mal traité. Une autre, de 500 000 euros, contre l'Hôpital privé de la Loire pour des défaillances de sécurité. Deux dossiers, deux logiques. Un seul signal. Les deux piliers du RGPD, sanctionnés ensemble D'un côté, le respect des droits des personnes. De l'autre, la sécurité des données. Ce sont les deux fondations du règlement. Rarement l'autorité les aura mises en lumière de façon aussi rapprochée. Ce n'est probablement pas un hasard de calendrier. À cette rentrée, la CNIL rappelle qu'elle ne privilégie pas un angle d'attaque au détriment de l'autre. Elle regarde partout. Les demandes d'effacement laissées sans réponse comme les systèmes qui cèdent sous une cyberattaque. Deux mondes différents dans l'entreprise Le message est délicat à entendre pour ceux qui pilotent la conformité. Parce que ces deux sujets ne mobilisent ni les mêmes équipes, ni les mêmes outils, ni les mêmes réflexes. La sécurité relève du RSSI, de la DSI, de l'infrastructure. Les droits des personnes relèvent du DPO, des équipes juridiques, des processus métier. Deux univers qui se parlent parfois peu. Et c'est justement dans cet entre-deux que les manquements prospèrent. Tenir l'équilibre dans la durée Une sécurité irréprochable ne compense pas des droits ignorés. Une politique des droits exemplaire ne protège de rien si l'infrastructure s'effondre. La conformité RGPD n'est pas une case à cocher sur son point fort. C'est un équilibre à maintenir sur des dimensions hétérogènes. Pour les organisations, l'enseignement est clair. Un pilotage transverse, capable de faire dialoguer sécurité et droits, n'est plus un luxe. C'est ce qui distingue une conformité réelle d'une conformité de façade.
