IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Europe : nouvelle réglementation générale sur la protection des données à respecter avant le 25 mai 2018
Vos applications seront-elles conformes ?

Le , par Malick

50PARTAGES

16  0 
Lesquelles de ces exigences avez-vous déjà mises en place ?
Système pour déceler toute activité suspecte ou d'éventuelles anomalies
26 %
Analyse d'impact relative à la protection des données
26 %
Cartographie des risques - applications et données
26 %
Localisation de l'ensemble des données à caractère personnel
26 %
Mise en place d'un procédé garantissant la traçabilité des activités
11 %
Création d'un registre des activités relatives aux traitements effectués sur les données
11 %
Analyse des enjeux et établissement d'une feuille de route pour la DSI
11 %
Autres ? Précisez.
0 %
Pas d'avis
21 %
Aucune de ces exigences
32 %
Voter 19 votants
Depuis quelques années, nous assistons à une prolifération des campagnes de piratages se traduisant souvent par le vol de données personnelles ; à cela s'ajoute également l'importante transformation digitale des entreprises et du monde actuel. Ces attaques et évolutions étant loin de se terminer, les utilisateurs en l'occurrence les personnes physiques et les personnes morales font face à une pléthore de risques relatifs à la cybercriminalité. C'est donc pour faire face à ces risques et minimiser les conséquences qu'ils peuvent engendrer en cas de cyberattaque que la Commission européenne a proposé, en janvier 2012, une réforme globale des règles en matière de protection des données personnelles au sein de l’Union européenne. Cette réforme, après quatre années de négociation avec le Parlement européen, a été adoptée définitivement le 14 avril 2016 et son application s'étendra aux États membres de l'Union européenne à partir du 25 mai 2018.

Il convient de préciser que le nouveau règlement va remplacer la Directive sur la protection des données personnelles actuellement en vigueur et adoptée en 1995.

Le but principal de cette réforme dénommé GDPR (General Data Protection Regulation) ou RGPD en français (Règlement Général sur la Protection des Données) est de contraindre les entreprises à mettre en place des systèmes fiables permettant de garantir la sécurité de leur système d'information ainsi que leurs données. Cela devrait par conséquent permettre aux citoyens de contrôler leurs données personnelles.

L'ensemble des structures européennes ou internationales qui manipulent des données personnelles appartenant à des ressortissants de la communauté européenne sont invitées à mettre en application, avant le 25 mai 2018, les nouvelles règles édictées par le nouveau standard législatif européen en matière de protection des données personnelles en l'occurrence le RGPD. Il convient de noter que les règles nouvellement mises en place par le RGPD s'articulent autour de sept points que nous vous présentons ci-dessous.

Nécessité pour chaque organisation de comprendre les enjeux de la réglementation et les traduire en feuille de route pour la DSI

Le nouveau cadre réglementaire européen stipule qu'il est indispensable pour chaque structure de comprendre les tenants et les aboutissants de la réglementation afin de pouvoir mettre en pratique cette dernière. Cette première étape passe nécessairement par l'identification des dispositions pour les adapter à la situation de l'entreprise en question et par la sensibilisation des intéressés en leur expliquant les sanctions prévues suite à un défaut de conformité.

Capacité à localiser l'ensemble des données à caractère personnel au sein de l'entreprise

La nouvelle réforme précise qu'au sein de chaque entreprise, l'ensemble des données à caractère personnel doivent pouvoir être facilement localisées. Toutefois, étant donné que les données se trouvent réparties dans les systèmes d'information métier (marketing, juridique, achats, ventes, ressources humaines, finances...), il s'avère nécessaire de sensibiliser les responsables métier pour mettre en place ce système de localisation. En effet, en impliquant ces derniers, il sera possible de savoir comment les données à caractère personnel sont gérées notamment le référentiel de base, le type d'applications utilisées et les systèmes documentaires et d'archivage existant.

Procéder à une analyse d'impact relative à la protection des données

Les entreprises sont obligées de faire une analyse d'impact relative à la protection des données. Cela a pour but de permettre la réalisation d'une cartographie des données, notamment en identifiant les endroits les plus critiques.

Procéder à une classification des données à caractère personnel via une cartographie des risques - applications et données

La nouvelle réforme précise qu'il est indispensable de faire la classification des données à caractère personnel, cela dans l'optique d'identifier les données nécessitant une protection. Pour faire cela, une cartographie des risques, des applications et des données est obligatoire.

La cartographie des risques permet également de mettre en place un référentiel pour l'entreprise concernée afin d'identifier les zones à risques et de se focaliser sur les parties les plus critiques.

Être en mesure de parcourir les données à tout moment pour déceler toute activité suspecte ou d'éventuelles anomalies

Les entreprises se doivent de faire une cartographie précise de l'ensemble des accès à leurs ressources et actifs pour ne pas être en porte à faux avec la nouvelle réforme. Cela les expose également à des risques de fraudes et de pertes ou vols de données. Cette mesure permet de faire des activités d'audit et de revue afin de s'assurer que les accès recensés au niveau des applications et des données se soient faits de façon légitime.

Capacité pour chaque organisation à tenir un registre des activités relatives aux traitements effectués sur les données

La nouvelle réforme met aussi l'accent sur le fait que chaque entreprise doit mettre en place un système permettant de surveiller de façon permanente les différentes opérations effectuées sur les données à caractère personnel. Pour ce faire, il est demandé à chacune d'elles de disposer d'un registre des activités.

Coopération avec l’autorité de contrôle : garantir une traçabilité des opérations faites sur les données à caractère personnel

Lorsqu'un incident survient dans une organisation, cette dernière doit être en mesure de diligenter une mission d'audit en transmettant les preuves et indices aux différentes autorités de contrôles. Pour que cela puisse se dérouler normalement, la nouvelle norme oblige les différentes structures à mettre en place un système garantissant la traçabilité des activités qui sont perpétrées sur les données à caractère personnel.

Pour une meilleure compréhension de la nouvelle réforme, la définition de certains termes a été donnée.

Donnée à caractère personnel : « toute information se rapportant à une personne physique identifiée ou identifiable. Est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. »

Notion de traitement : « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliqués à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction. »

Violation de données à caractère personnel : « c'est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données. »

Source : brainwavegrc

Et vous ?

Que pensez-vous de cette nouvelle réforme sur la protection des données à caractère personnel ?

Avez-vous mis en place des procédés au niveau de vos applications, ou au sein de vos lieux de travail afin d'être en conformité avec la nouvelle réforme ?

Est-ce que vous serez prêt dans la mise en œuvre des exigences de la RGPD afin d'être prêt avant la date butoir ?

Voir aussi

Réforme sur la protection des données : le Parlement approuve de nouvelles règles adaptées à l'ère numérique, qui entreront en vigueur en 2018

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de raphchar
Membre éclairé https://www.developpez.com
Le 07/03/2017 à 10:04
Certes. Mais je me demande aussi si ce n'est pas grâce à UE qu'il n'y ai pas déjà de loi "backdoor gouvernementaux à installer obligatoirement" en France pour lutter soi-disant comme le terrorisme.
9  0 
Avatar de Doksuri
Expert confirmé https://www.developpez.com
Le 16/04/2018 à 17:08
51% n'ont jamais entendu parle du RGPD
67% auront de toute facon la fleme de securiser tout ca
6  0 
Avatar de raphchar
Membre éclairé https://www.developpez.com
Le 07/03/2017 à 8:22
Citation Envoyé par Aurelien Plazzotta Voir le message
Si la France ne quitte pas rapidement l'Union Européenne (à ne pas confondre avec l'Europe), il va devenir illégal pour un citoyen d'exercer une quelconque activité personnelle ou professionnelle en dehors de son contrat de travail.
Je ne vois vraiment pas le rapport avec l'article. Quel lien entre une activité personnelle et le fait que les entreprises doivent respecter les lois ? Quel est le problème dans le fait qu'on respecte les lois dans une activité personnelle ?

À moi que tu sous entendes que ces nouvelles exigences européennes soient trop lourdes et inutiles ou dangereuses, mais je ne vois pas en quoi quitter l'UE empêcherai les politiciens français d'en mettre des similaires.
6  1 
Avatar de pmithrandir
Expert éminent https://www.developpez.com
Le 09/03/2017 à 14:29
Donc, si je résume, L'UE met en place une reglementation de manière à lutter contre le piratage de données personnelles, donc de protéger les données des citoyens, et tu y vois une diminution de la liberté.

C'est ca ?

En quoi ca t'impacte negativement si on force les entrepris à mettre en oeuvre quelques bonnes pratiques de sécurité et de tracabilité ? Moi je toruve ca plutot positif qu'on impose aux sociétés de ne pas faire n'importe quoi avec nos données.
5  0 
Avatar de nico84
Expert confirmé https://www.developpez.com
Le 10/03/2017 à 8:09
Je suis assez d'accord sur le fait que sous prétexte de protéger ses citoyens les administrations nous compliquent la vie à un point qui finalement nous pénalise plus qu'autre chose.

Ce genre de loi est un fourre-tout incompréhensible qui noie les petites sociétés dans des contraintes administratives et décourage d'entreprendre. Par exemple une société de 10 personnes qui a une GPAO où les salariés sont identifiés (nom - prénom - fonction - date de naissance) va faire comment pour garantir qu'un intérimaire ne vole pas les dates de naissance de ses collègues ? Et où serait le mal ???

Dans le sondage il manque "Aucune" qui aurait probablement 99% des voix
4  0 
Avatar de nico84
Expert confirmé https://www.developpez.com
Le 10/03/2017 à 9:38
Citation Envoyé par MaPommeTao Voir le message
Je viens de mettre à jour une application de facturation pour la tracabilité des factures et encaissements (1er janvier 2018)
Je dois en faire autant et suis preneur de toutes infos !!! Quelle a été ta démarche ?
Je suis surpris que ce sujet brûlant ne soit pas plus débattu sur les forums...
4  0 
Avatar de MaPommeTao
Membre habitué https://www.developpez.com
Le 10/03/2017 à 10:19
Citation Envoyé par nico84 Voir le message
Je dois en faire autant et suis preneur de toutes infos !!! Quelle a été ta démarche ?
Je suis surpris que ce sujet brûlant ne soit pas plus débattu sur les forums...
Je développe mes solutions pour Indépendants, TPE, Bars et Restaurants sur bases FileMaker 14 et 15. J'ai ajouté des tables supplémentaires liées et trois ou 4 scripts pour calculer les signatures, restitutions et j'ai ajouté une table d'audit et les scripts qui vont avec. Il a fallu que je modifie certains scripts pour ajouter les appels aux scripts de calcul des rubriques.

Je suis aussi très étonné que TOUS les gens qui sont assujettis à la TVA ne soient pas au courant des nouvelles règles applicables dès le 1er janvier 2018.

A quoi servent les comptables et les avocats encore une fois ?
Il faut savoir qu'à partir du 1er janvier 2018, si vous utilisez un logiciel non certifié pour gérer vos factures et encaissements, vous serez redevable 1) d'une amende forfaitaire non négociable de 7 500 €, 2) d'un contrôle fiscal dans les mois qui suivent, 3) de l'obligation de vous mettre dans le rang dans les 60 jours 4) de reprendre toutes vos opérations depuis le début de l'année.
PS la notice d'information chez INFOCERT coûte 720 € TTC, il y en a à qui ça profite.
4  0 
Avatar de byrautor
Membre éclairé https://www.developpez.com
Le 10/03/2017 à 10:39

Cf nico 84 [Dans le sondage il manque "Aucune" qui aurait probablement 99% des voix ]
Tout à fait d'accord.
Mes pauvres enfants, c'est sur votre dos et votre travail que "travaillent" ces mouches du coche.
J'ai connu moultes commissions, et pas que dans le domaine de l'informatique, où de nombreuses personnes ont vécues toute leur vie, tranquilles comme Baptiste.
Vous savez c'est un endroit peinard, on ne risque rien (sauf si l'on n'a pas réussi à faire passer le brevet comme une norme, puis un règlement) , et encore. Il y a toujours un placard bien doré.
+ celles qui sont rétribuées pour avantager certaines entreprises contre leurs concurrents.
Enfin, encore une norme ou un règlement et l'on aime l'Europe.
Une parade :
Signature de la norme par tous les délibérants avec le nom de leur entreprise. Et encore, cela ne montrerait pas les entreprises écrans qui, avec le dispositif de la TVA récupérable, ne coûtent rien.
Bon courage les gars, mais c'est peut-être aussi votre gagne pain.
Alors je vous comprends.
GB
4  0 
Avatar de JackIsJack
Membre éclairé https://www.developpez.com
Le 14/04/2018 à 12:31
Cette règlementation a fait l'objet d'une véritable paranoïa au sein de la société où je travaille.

En pratique, des scripts d'anonymisation ont été développés afin de randomizer certaines données "personnelles" dans les environnements de recette ; en gros : un 'update' sur certains champs de certaines tables.

J'ai dû un peu me battre pour que le projet RGPD ne supprime pas TOUTES les données des environnements de recette... ce qui était une solution plutôt confortables pour eux (éviter de devoir faire le tri entre les données perso ou pas) ; mais avec """certains""" impacts sur nos méthodes de recette !

Pour les environnements de production, des méthodes d'archivages des données ont été réalisés : lorsque la donnée n'est plus utile pour 'les traitements définis', alors elle n'est plus visible dans l'application. En gros, on ajoute un champ sur certaines tables [archivé ou pas], et de la visibilité en fonction de ça dans l'application.

Tout ça créé un bel ensemble théorique, mais qui n'est utile en rien.

Jamais nous ne recevrons de demande d'un utilisateur de supprimer ses données personnels (car ils ne savent pas que nous en disposons ; dans mon cas, il s'agit des données personnelles (leur TJM) de prestataires externes qui interviennent ponctuellement dans la boîte), et ils ne pourront jamais savoir si nous les avons finalement supprimé ou pas. Et quand bien même il s'en plaindrait auprès de la CNIL, les dommages sont tellement faibles que la CNIL ignorerait sa demande. (j'ai pour ma part déposer une plainte auprès de la CNIL pour une société qui retient mon RIB de façon abusive - ils m'ont clairement envoyé boulé avec un e-mail standard 'trop de demande, blabla').

La RGPD aurait dû se focaliser sur les seuls cas intéressants, à savoir :
- Les entreprises qui gèrent des données personnelles très sensible (uniquement santé, politique, justice) et lorsque ça concerne au moins 5000 utilisateurs.
Au moins, on aurait évité ces efforts ridicules.
4  0 
Avatar de MaPommeTao
Membre habitué https://www.developpez.com
Le 10/03/2017 à 9:32
Mettre en place dans chaque logiciel qui manipule des données personnelles une tracabilité des opérations effectuées sur ces données n'est pas une mince affaire. Pas faisable en moins d'un an.
Je viens de mettre à jour une application de facturation pour la tracabilité des factures et encaissements (1er janvier 2018), il faut donc que je la reprenne pour ajouter une tracabilité des accès aux données des clients (création, modification, suppression).

On pourrait exiger aussi de coder avec des clefs ultra puissantes toutes les données des applications pour éviter leur piratage et leur divulgation.

On pourrait exiger aussi des fournisseurs Internet qu'ils fassent la chasse EFFICACEMENT en ce qui concerne les pirates, les spammeurs qui sont souvent les mêmes, les vendeurs de listes d'adresses, les générateurs de virus.

Je ne refute pas le fait qu'il faille protéger les données des utilisateurs, j'exige que ceux qui utilisent les miennes le fasse. Mais qu'on donne du temps aux petits éditeurs, tout le monde ne s'appelle pas SAP ou SAGE avec quelques centaines de développeurs.
3  0