Le RGPD (règlement général sur la protection des données) est le règlement (UE) 2016/679. Il encadre le traitement des données à caractère personnel dans l'Union et s'applique aussi aux responsables établis hors d'Europe dès lors qu'ils ciblent des personnes qui s'y trouvent. Il repose sur des principes — licéité, minimisation, limitation des finalités et de la conservation, intégrité et confidentialité — assortis d'une obligation de rendre compte.
Ce que cela change pour l'authentification
Un système d'authentification traite par nature des données personnelles : identifiants, adresses, journaux de connexion, parfois données biométriques. Trois points concentrent l'attention :
- Biométrie : lorsqu'elle sert à identifier une personne de manière unique, elle relève des catégories particulières de l'article 9, dont le traitement est en principe interdit sauf fondement spécifique. Un traitement local, où le gabarit ne quitte pas l'appareil, réduit fortement l'exposition ;
- Minimisation : collecter une adresse ou un numéro de téléphone uniquement pour authentifier crée une base de données à protéger, et donc à notifier en cas de violation ;
- Sécurité du traitement (article 32) : les mesures doivent être adaptées au risque, ce qui vise directement la robustesse des contrôles d'accès.
L'argument souvent négligé
Le RGPD n'impose pas une technologie ; il valorise les architectures qui ne collectent pas. Une approche décentralisée, sans donnée identifiante conservée côté éditeur et sans identifiant permanent, relève de la protection dès la conception prévue à l'article 25 — et supprime à la source le risque de violation sur ces données.
Aller plus loin : RGPD et obligations d'authentification · définition de l'IDless · héberger ses données d'authentification en France · l'authentification cognitive