L'Assemblée nationale adopte en nouvelle lecture le projet de loi RGPD

Après un échec de la commission mixte paritaire la semaine passée

Europe : nouvelle réglementation générale sur la protection des données à respecter avant le 25 mai 2018,
vos applications seront-elles conformes à temps ?

Depuis quelques années, nous assistons à une prolifération des campagnes de piratages se traduisant souvent par le vol de données personnelles ; à cela s'ajoute également l'importante transformation digitale des entreprises et du monde actuel. Ces attaques et évolutions étant loin de se terminer, les utilisateurs en l'occurrence les personnes physiques et les personnes morales font face à une pléthore de risques relatifs à la cybercriminalité. C'est donc pour faire face à ces risques et minimiser les conséquences qu'ils peuvent engendrer en cas de cyberattaque que la Commission européenne a proposé, en janvier 2012, une réforme globale des règles en matière de protection des données personnelles au sein de l’Union européenne. Cette réforme, après quatre années de négociation avec le Parlement européen, a été adoptée définitivement le 14 avril 2016 et son application s'étendra aux États membres de l'Union européenne à partir du 25 mai 2018.

Il convient de préciser que le nouveau règlement va remplacer la Directive sur la protection des données personnelles actuellement en vigueur et adoptée en 1995.

Le but principal de cette réforme dénommé GDPR (General Data Protection Regulation) ou RGPD en français (Règlement Général sur la Protection des Données) est de contraindre les entreprises à mettre en place des systèmes fiables permettant de garantir la sécurité de leur système d'information ainsi que leurs données. Cela devrait par conséquent permettre aux citoyens de contrôler leurs données personnelles.

L'ensemble des structures européennes ou internationales qui manipulent des données personnelles appartenant à des ressortissants de la communauté européenne sont invitées à mettre en application, avant le 25 mai 2018, les nouvelles règles édictées par le nouveau standard législatif européen en matière de protection des données personnelles en l'occurrence le RGPD. Il convient de noter que les règles nouvellement mises en place par le RGPD s'articulent autour de sept points que nous vous présentons ci-dessous.

Nécessité pour chaque organisation de comprendre les enjeux de la réglementation et les traduire en feuille de route pour la DSI

Le nouveau cadre réglementaire européen stipule qu'il est indispensable pour chaque structure de comprendre les tenants et les aboutissants de la réglementation afin de pouvoir mettre en pratique cette dernière. Cette première étape passe nécessairement par l'identification des dispositions pour les adapter à la situation de l'entreprise en question et par la sensibilisation des intéressés en leur expliquant les sanctions prévues suite à un défaut de conformité.

Capacité à localiser l'ensemble des données à caractère personnel au sein de l'entreprise

La nouvelle réforme précise qu'au sein de chaque entreprise, l'ensemble des données à caractère personnel doivent pouvoir être facilement localisées. Toutefois, étant donné que les données se trouvent réparties dans les systèmes d'information métier (marketing, juridique, achats, ventes, ressources humaines, finances...), il s'avère nécessaire de sensibiliser les responsables métier pour mettre en place ce système de localisation. En effet, en impliquant ces derniers, il sera possible de savoir comment les données à caractère personnel sont gérées notamment le référentiel de base, le type d'applications utilisées et les systèmes documentaires et d'archivage existant.

Procéder à une analyse d'impact relative à la protection des données

Les entreprises sont obligées de faire une analyse d'impact relative à la protection des données. Cela a pour but de permettre la réalisation d'une cartographie des données, notamment en identifiant les endroits les plus critiques.

Procéder à une classification des données à caractère personnel via une cartographie des risques - applications et données

La nouvelle réforme précise qu'il est indispensable de faire la classification des données à caractère personnel, cela dans l'optique d'identifier les données nécessitant une protection. Pour faire cela, une cartographie des risques, des applications et des données est obligatoire.

La cartographie des risques permet également de mettre en place un référentiel pour l'entreprise concernée afin d'identifier les zones à risques et de se focaliser sur les parties les plus critiques.

Être en mesure de parcourir les données à tout moment pour déceler toute activité suspecte ou d'éventuelles anomalies

Les entreprises se doivent de faire une cartographie précise de l'ensemble des accès à leurs ressources et actifs pour ne pas être en porte à faux avec la nouvelle réforme. Cela les expose également à des risques de fraudes et de pertes ou vols de données. Cette mesure permet de faire des activités d'audit et de revue afin de s'assurer que les accès recensés au niveau des applications et des données se soient faits de façon légitime.

Capacité pour chaque organisation à tenir un registre des activités relatives aux traitements effectués sur les données

La nouvelle réforme met aussi l'accent sur le fait que chaque entreprise doit mettre en place un système permettant de surveiller de façon permanente les différentes opérations effectuées sur les données à caractère personnel. Pour ce faire, il est demandé à chacune d'elles de disposer d'un registre des activités.

Coopération avec l’autorité de contrôle : garantir une traçabilité des opérations faites sur les données à caractère personnel

Lorsqu'un incident survient dans une organisation, cette dernière doit être en mesure de diligenter une mission d'audit en transmettant les preuves et indices aux différentes autorités de contrôles. Pour que cela puisse se dérouler normalement, la nouvelle norme oblige les différentes structures à mettre en place un système garantissant la traçabilité des activités qui sont perpétrées sur les données à caractère personnel.

Pour une meilleure compréhension de la nouvelle réforme, la définition de certains termes a été donnée.

Donnée à caractère personnel : « toute information se rapportant à une personne physique identifiée ou identifiable. Est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. »

Notion de traitement : « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliqués à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction. »

Violation de données à caractère personnel : « c'est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données. »

Source : brainwavegrc

Et vous ?

Que pensez-vous de cette nouvelle réforme sur la protection des données à caractère personnel ?

Avez-vous mis en place des procédés au niveau de vos applications, ou au sein de vos lieux de travail afin d'être en conformité avec la nouvelle réforme ?

Est-ce que vous serez prêt dans la mise en œuvre des exigences de la RGPD afin d'être prêt avant la date butoir ?

Voir aussi

Réforme sur la protection des données : le Parlement approuve de nouvelles règles adaptées à l'ère numérique, qui entreront en vigueur en 2018