Diagnostic

Le devoir de sécurité des données personnelles : quelles mesures la loi exige et comment les prouver

La loi n’impose pas de liste fermée de contrôles techniques. Elle exige des mesures proportionnées au risque, et l’entreprise doit pouvoir démontrer qu’elle les a adoptées.

Équipe du pôle Droit de la cybersécurité de LEXURE 7 min de lecture Textes en vigueur vérifiés en 2026

Face à un inci­dent, la pre­mière chose que l’auto­rité veut savoir, c’est ce que l’entre­prise avait fait pour l’éviter ; la manière dont l’atta­quant est entré vient ensuite. La loi sur les don­nées per­son­nelles demande des mesures rai­son­nables et pro­por­tion­nées au risque, et aucune entre­prise n’est tenue à une sécu­rité par­faite. C’est pour­quoi la preuve de ces mesures fait sou­vent la dif­fé­rence entre une entre­prise sanc­tion­née et une entre­prise qui ne l’est pas.

Ce qu’exige la norme

Le devoir géné­ral. Tout res­pon­sable du trai­te­ment doit éta­blir et main­te­nir des mesures de sécu­rité admi­nis­tra­tives, tech­niques et phy­siques qui pro­tègent les don­nées per­son­nelles contre les dom­mages, la perte, l’alté­ra­tion, la des­truc­tion ou l’uti­li­sa­tion, l’accès ou le trai­te­ment non auto­ri­sés, confor­mé­ment à l’article 18 de la loi fédé­rale sur la pro­tec­tion des don­nées per­son­nelles déte­nues par les par­ti­cu­liers (Ley Fede­ral de Pro­tec­ción de Datos Per­so­nales en Pose­sión de los Par­ti­cu­lares).

Les deux cri­tères de mesure. Le même article fixe deux règles. La pre­mière inter­dit au res­pon­sable d’adop­ter des mesures infé­rieures à celles qu’il applique à la ges­tion de ses propres infor­ma­tions : si l’entre­prise chiffre ses états finan­ciers, elle ne peut pas lais­ser non chif­frée la base de don­nées de ses clients. La seconde l’oblige à tenir compte du risque exis­tant, des consé­quences pos­sibles pour les per­sonnes concer­nées, de la sen­si­bi­lité des don­nées et du déve­lop­pe­ment tech­no­lo­gique, de sorte qu’une base conte­nant des don­nées de santé ou finan­cières exige davan­tage qu’un annuaire de four­nis­seurs.

Les trois dimen­sions. Parmi les mesures admi­nis­tra­tives figurent les poli­tiques, l’attri­bu­tion des res­pon­sa­bi­li­tés, la for­ma­tion et le contrôle des four­nis­seurs. Les mesures tech­niques couvrent le contrôle des accès, l’authen­ti­fi­ca­tion, le chif­fre­ment, les sau­ve­gardes, les jour­naux d’acti­vité et la mise à jour des sys­tèmes ; les mesures phy­siques, l’accès aux locaux, la garde des équi­pe­ments et des archives papier et la des­truc­tion sécu­ri­sée des sup­ports. Comme la loi n’énu­mère pas de contrôles concrets, c’est cette clas­si­fi­ca­tion qui permet de démon­trer, dimen­sion par dimen­sion, que l’entre­prise a pris en compte chaque risque.

La confi­den­tia­lité des per­sonnes. Le res­pon­sable doit mettre en place des contrôles pour que toutes les per­sonnes qui inter­viennent dans le trai­te­ment res­pectent la confi­den­tia­lité, obli­ga­tion qui sub­siste après la fin de leur rela­tion avec l’entre­prise (article 20). Ce devoir s’étend aux sala­riés, aux pres­ta­taires de ser­vices et aux four­nis­seurs.

Le prin­cipe de res­pon­sa­bi­lité. Le res­pon­sable doit veiller au res­pect des prin­cipes de pro­tec­tion des don­nées et adop­ter les mesures néces­saires pour les appli­quer (articles 5 et 13). C’est pour­quoi la charge de démon­trer que les mesures exis­taient pèse sur l’entre­prise.

Ce qui n’est pas une exi­gence légale. La loi n’impose ni cer­ti­fi­ca­tion par­ti­cu­lière ni norme tech­nique inter­na­tio­nale. Adop­ter un cadre reconnu de sécu­rité de l’infor­ma­tion est une bonne pra­tique qui faci­lite la démons­tra­tion de la pro­por­tion­na­lité, sans tou­te­fois rem­pla­cer l’ana­lyse propre du risque de chaque trai­te­ment.

Que faire et dans quel délai

L’obli­ga­tion est per­ma­nente et en vigueur depuis le 21 mars 2025.

  1. Dres­sez un inven­taire des bases de don­nées per­son­nelles de l’entre­prise : ce qu’elles contiennent, où elles sont héber­gées, qui y a accès et quels four­nis­seurs inter­viennent.
  2. Clas­sez chaque base par niveau de risque, en tenant compte de la sen­si­bi­lité des don­nées et du pré­ju­dice que cau­se­rait leur perte ou leur divul­ga­tion.
  3. Com­pa­rez les mesures de chaque base avec celles que l’entre­prise applique à ses propres infor­ma­tions confi­den­tielles, et cor­ri­gez celles qui sont infé­rieures.
  4. Docu­men­tez les mesures admi­nis­tra­tives, tech­niques et phy­siques de chaque base dans une poli­tique approu­vée par la direc­tion.
  5. Signez des enga­ge­ments de confi­den­tia­lité avec les sala­riés et les four­nis­seurs qui accèdent aux don­nées, valables au-delà de la fin de la rela­tion.
  6. Révi­sez les mesures au moins une fois par an et chaque fois que changent un sys­tème, un four­nis­seur ou le type de don­nées trai­tées.
  7. Conser­vez une preuve datée de chaque révi­sion, for­ma­tion, test de sau­ve­garde et contrôle des accès.

Recommandations pour atténuer les risques

Porter atteinte à la sécu­rité des bases de don­nées, des locaux, des pro­grammes ou des équi­pe­ments, lorsque cela est impu­table au res­pon­sable, et man­quer au devoir de confi­den­tia­lité sont sanc­tion­nés d’une amende de 200 à 320 000 Unités de mesure et d’actua­li­sa­tion (UMA), soit de 23 462 à 37 539 200 pesos mexi­cains (MXN), confor­mé­ment aux articles 58, frac­tions VIII et XI, et 59, frac­tion III. L’amende pour vio­la­tion exige que celle-ci soit impu­table au res­pon­sable, et c’est là que la preuve pèse : l’entre­prise qui démontre avoir adopté des mesures pro­por­tion­nées dis­pose d’argu­ments pour sou­te­nir que l’inci­dent ne lui est pas impu­table, et celle qui ne peut pas le démon­trer en est privée.

Lorsqu’il s’agit de don­nées sen­sibles, les sanc­tions peuvent être por­tées jusqu’au double (article 59, frac­tion IV), et pour fixer l’amende l’auto­rité tient compte de la nature de la donnée, de l’inten­tion, de la capa­cité éco­no­mique du res­pon­sable et de la réci­dive (article 60). Sur le plan pénal, la per­sonne qui, étant auto­ri­sée à trai­ter des don­nées, pro­voque dans un but lucra­tif une vio­la­tion des bases pla­cées sous sa garde encourt de trois mois à trois ans d’empri­son­ne­ment (article 62), et la peine est dou­blée s’il s’agit de don­nées sen­sibles (article 64).

L’absence de mesures affai­blit aussi l’entre­prise lorsqu’elle est la vic­time. Le Code pénal fédé­ral (Código Penal Fede­ral) sanc­tionne qui­conque, sans auto­ri­sa­tion, modi­fie, détruit, prend connais­sance de ou copie des infor­ma­tions conte­nues dans des sys­tèmes infor­ma­tiques pro­té­gés par un méca­nisme de sécu­rité (article 211 bis 1) ; si l’entre­prise n’a pas pro­tégé ses sys­tèmes, le com­por­te­ment de l’intrus peut échap­per à cette incri­mi­na­tion.

Autoévaluation

Répon­dez par oui ou par non pour votre propre entre­prise.

  1. Dis­po­sez-vous d’un inven­taire à jour de vos bases de don­nées per­son­nelles ?
  2. Avez-vous classé ces bases par niveau de risque ?
  3. Les mesures appli­quées aux don­nées des clients sont-elles égales ou supé­rieures à celles que vous appli­quez à vos infor­ma­tions finan­cières ?
  4. Existe-t-il une poli­tique de sécu­rité approu­vée par la direc­tion qui couvre les trois dimen­sions ?
  5. Les sala­riés et les four­nis­seurs ayant accès aux don­nées ont-ils signé des enga­ge­ments de confi­den­tia­lité ?
  6. Pouvez-vous pré­sen­ter une preuve datée de votre der­nière révi­sion de sécu­rité ?
  7. Avez-vous véri­fié au cours de la der­nière année que vos sau­ve­gardes peuvent être res­tau­rées ?

Notre approche chez LEXURE

Nous tra­dui­sons l’article 18 en un dos­sier que l’entre­prise peut pré­sen­ter à l’auto­rité : inven­taire des bases, clas­si­fi­ca­tion des risques, matrice des mesures par dimen­sion, enga­ge­ments de confi­den­tia­lité et calen­drier de révi­sion. Nous tra­vaillons avec votre équipe tech­no­lo­gique pour que les contrôles tech­niques soient décrits de manière véri­fiable par un tiers, et nous indi­quons quelles failles trai­ter en prio­rité selon leur gra­vité.

Si votre entre­prise n’est pas en mesure de démon­trer aujourd’hui les mesures de sécu­rité qu’elle avait la semaine der­nière, pla­ni­fiez une réunion de diag­nos­tic avec nous.

Planifier une réunion de diagnostic Voir nos domaines d’intervention

Base légale

  1. Loi fédérale sur la protection des données personnelles détenues par les particuliers, articles 5, 13, 18, 20, 58, fractions VIII et XI, 59, 60, 62 et 64. Texte en vigueur (s’ouvre dans un nouvel onglet)
  2. Code pénal fédéral, article 211 bis 1. Texte en vigueur (s’ouvre dans un nouvel onglet)
  3. Valeur de l’Unité de mesure et d’actualisation 2026, Institut national de statistique et de géographie (INEGI). Publication officielle (s’ouvre dans un nouvel onglet)

Cette note est informative et décrit la norme en vigueur à la date de vérification. Elle ne constitue pas un avis de droit sur un cas particulier. Il s’agit d’une traduction de l’original espagnol : le droit mexicain est publié en espagnol et seuls les textes officiels en espagnol font foi.

Poursuivre la lecture

Notes associées.

Voir toutes les notes