Article 32 RGPD: une petite amende italienne, de grandes obligations

Fait vérifiable — Le 29 avril 2026, le Garante italien a infligé 8 600 € pour des manquements de sécurité (art. 5(1)(f) et 32 RGPD), notamment un stockage de mots de passe non conforme. Enseignement — Au Luxembourg, la preuve d’une sécurité proportionnée et « à l’état de l’art » reste déterminante.

L’affaire

Le Garante a sanctionné une société pour insuffisances techniques et organisationnelles, incluant la conservation d’identifiants sans protections conformes à l’état de l’art et des lacunes de gestion d’incidents. Le pouvoir correctif s’appuie sur les articles 58(2) et 83 RGPD, avec une motivation fondée sur la proportionnalité, l’effectivité et la dissuasion (provvedimento doc. web n° 10251777, 29/04/2026). Dans une autre décision du 17/04/2026 (doc. web n° 10252460), l’autorité relève un retard d’environ deux mois dans l’information des personnes (art. 34) et rappelle les exigences des lignes directrices 2023 sur la conservation des mots de passe (doc. 9962283).

Décisions et guides officiels du Garante: 29/04/2026, doc. 10251777; 17/04/2026, doc. 10252460; lignes directrices « Conservazione delle Password » (07/12/2023).

Le raisonnement juridique

• Texte — L’article 32 RGPD impose des mesures techniques et organisationnelles appropriées, tenant compte de l’état des connaissances, des coûts, du contexte des traitements et des risques pour les droits et libertés. Texte consolidé: EUR‑Lex, art. 32.
• Interprétation — Le Garante rattache les lacunes à l’art. 5(1)(f) (intégrité/confidentialité) et 32(1) (sécurité adaptée au risque). La décision du 17/04/2026 articule aussi l’art. 34 (communication aux personnes) et renvoie aux standards concrets de hachage (algorithmes résistants, salage, facteurs de renforcement) prévus par les lignes directrices 2023 avec l’ACN.
• Méthodologie de sanction — L’EDPB propose une méthode en cinq étapes (Guidelines 04/2022, v2.1 du 24/05/2023) pondérant gravité, durée, nombre de personnes, négligence/dol, mesures correctives et capacité financière.
• Notification/communication — Les exemples EDPB 01/2021 précisent l’évaluation du risque, les délais et le contenu attendu (art. 33/34). La CNPD exige la notification « dans les 72 h » et, en cas de risque élevé, la communication aux personnes.

Ce que ça change au Luxembourg (et frontaliers)

• Barre probatoire élevée et dynamique — En audit CNPD, il faut montrer l’adéquation au risque: politique de mots de passe documentant un hachage robuste et salé, chiffrement au repos/en transit, gestion de secrets, journalisation, durcissement, tests d’intrusion, etc. Pour renforcer cette préparation, un audit cybersécurité aide à objectiver les preuves techniques.
• « État de l’art » concret — Abandon de MD5/SHA‑1 et adoption de fonctions adaptées (Argon2, scrypt, bcrypt) avec paramètres suffisants, et preuves d’implémentation, conformément aux lignes directrices 2023 du Garante/ACN.
• Incident: délai et contenu — Notification à la CNPD sous 72 h et information utile aux personnes si le risque est élevé; l’exfiltration d’identifiants est un cas fréquent. La surveillance du dark web peut contribuer à détecter des credentials compromis.
• Gouvernance et traçabilité — Registre art. 30 décrivant « dans la mesure du possible » les mesures de sécurité (renvoi art. 32), politiques de conservation, procédures d’incident et preuves d’audits. Pour le cadre de référence, voir les obligations RGPD applicables au Luxembourg.

Exemples concrets

• Comptes clients (retail/banque/assurance) — Justifier les choix cryptographiques pour les secrets, déployer une MFA résistante au phishing, cloisonner et prouver la révocation/rotation des secrets.
• SaaS interne (HR/paie/temps) — Durcir l’authentification, journaliser les accès admin, segmenter le réseau, DLP pour prévenir l’exfiltration de listes d’identifiants.
• Frontaliers BE/FR/DE — Aligner les mesures sur l’article 32 UE; tenir compte des lois locales additionnelles (ex. vidéosurveillance en Belgique).

Pièges fréquents observés en audit

1. « Hachage » ≠ sécurité par défaut — Déclarer des « mots de passe hachés » sans préciser la fonction, le salage et les paramètres.
2. Preuves absentes — Mesures en place mais aucune trace d’audit, de test, de paramétrage ou de revue périodique; registre art. 30 sans description générale des mesures.
3. Confusion art. 33 vs art. 34 — Notification tardive à la CNPD ou absence d’information des personnes quand le risque est élevé.
4. « État de l’art » statique — Empreintes faibles historiques (MD5/SHA‑1), clés non tournées, absence de plan de mise à niveau.
5. Sous-traitants non maîtrisés — Clauses vagues, pas de preuves d’audit, pas de tests de restauration; rappel de l’art. 28 combiné à l’art. 32.

Sources officielles

• Garante — 29/04/2026 (doc. web n° 10251777)
• Garante — 17/04/2026 (doc. web n° 10252460)
• Garante & ACN — Lignes directrices « Conservazione delle Password » (07/12/2023)
• EUR‑Lex — Règlement (UE) 2016/679, article 32
• EDPB — Guidelines 01/2021 (breach notification)
• EDPB — Guidelines 04/2022 (amendes)
• CNPD Luxembourg — Violations de données
• CNPD Luxembourg — Sécurité informatique
• CNPD Luxembourg — Chapitre IV RGPD

En synthèse, même une amende de 8 600 € illustre une tendance forte: l’article 32 n’est pas symbolique; la CNPD attend des preuves techniques à jour, une réaction sous 72 h et une documentation liant risques, mesures et efficacité.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.