Le règlement général sur la protection des données (RGPD) est un ensemble de dispositions et d’exigences régissant la protection des données et de la vie privée dans toute l’Union européenne. Il s’applique à toute entreprise ou tout organisme public – au sein ou en dehors de l’UE – qui traite les données personnelles de résidents de l’UE. Ces données incluent notamment :
- Informations élémentaires d’identité
- Données financières
- Données Web
- Données biométriques et génétiques
- Opinions politiques
- Adhésion à un syndicat
- Origine ethnique
Les exigences du RGPD régissent essentiellement la manière dont les entreprises traitent et stockent les informations personnelles identifiables (IPI). Les entreprises sont encouragées à mettre en œuvre la protection des données « dès la conception » et « par défaut », elles doivent concevoir leurs opérations dès le départ de manière à protéger les données et la vie privée des utilisateurs.
Ce règlement est entré en vigueur en mai 2018, et les infractions peuvent entraîner de lourdes amendes et d’autres sanctions. Si le respect des exigences du RGPD est impératif pour toute organisation qui stocke ou traite des données de résidents de l’UE, il n’existe pas de solution universelle permettant de se conformer à ce règlement. Les entreprises doivent mettre en œuvre des outils et des processus de confidentialité des données adaptés à leurs besoins, infrastructures et services particuliers.
Critères fondamentaux de conformité au RGPD
Les dispositions du RGPD peuvent être réparties en deux grandes catégories : les droits des personnes à la vie privée et la sécurité des données. Veillez à ce que les solutions de conformité au RGPD que vous mettez en œuvre couvrent tous les critères fondamentaux des deux groupes.
Droits des personnes à la vie privée
Les dispositions du RGPD concernant les droits des personnes à la vie privée sont :
- Article 15 : Droits d’accès de la personne concernée
- Article 16 : Droit de rectification
- Article 17 : Droit à l’effacement (« droit à l’oubli »)
- Article 18 : Droit à la limitation du traitement
- Article 20 : Droit à la portabilité des données
- Article 21 : Droit d’opposition
- Article 22 : Décision individuelle automatisée, y compris le profilage
Les principales capacités technologiques nécessaires pour satisfaire ces exigences incluent :
Gestion du consentement
La gestion du consentement est un processus qui consiste à s’assurer que les services en ligne et les sites Web obtiennent le consentement des utilisateurs pour la collecte de données les concernant – par exemple, par le biais de cookies de site – au cours de leur visite.
Les exigences du RGPD n’autorisent les organisations à collecter et à traiter les données d’un client que si celui-ci a activement confirmé son consentement – en cochant une case d’acceptation non cochée, par exemple. Les organisations attribuent la responsabilité de l’obtention de consentement et de la gestion les informations pertinentes aux délégués à la protection des données (DPO), qui doivent être en mesure de fournir des preuves suffisantes aux auditeurs que l’organisation dispose de tous les consentements requis.
Dans l’idéal, les organisations doivent appliquer une politique en matière de cookies comportant des dispositions telles que : « Garder une trace du moment et de la manière dont nous avons obtenu le consentement de chaque personne » et « Revoir régulièrement le consentement pour s’assurer que la relation avec le client, ainsi que le traitement et la finalité de la collecte des données n’ont pas changé. »
Pour satisfaire ces exigences du RGPD, recherchez une solution logicielle robuste de gestion du consentement présentant les fonctionnalités suivantes :
- Bandeau cookies personnalisable, politique en matière de cookies et formulaires de consentement
- Options permettant aux utilisateurs de renouveler leur consentement ou de modifier leurs préférences en matière de cookies
- Rapports et tableaux de bord
- Liste blanche de cookies
- Détection en temps réel de la langue et ciblage géographique
Gestion et conservation des informations
La gestion et la conservation des informations impliquent de déterminer quelles données sont stockées, pourquoi, et de définir un calendrier de conservation – un délai précis pendant lequel les informations sont conservées.
Les exigences du RGPD stipulent que les données personnelles ne doivent pas être conservées plus longtemps que nécessaire et que les organisations doivent établir et appliquer des politiques standardisant les périodes de conservation. Les personnes ont le droit d’effacer leurs données personnelles si l’organisation n’en a plus besoin. Cependant, les données personnelles peuvent être conservées pour des projets d’intérêt public, comme « l’archivage, la recherche scientifique ou historique, ou à des fins statistiques. »
Une solution robuste de gestion et de conservation des informations doit inclure :
- Automatisation des règles et des workflows pour les tâches courantes de conservation (par exemple les approbations, l’archivage, le transfert vers le stockage et la suppression d’informations)
- Destruction automatique des informations et des documents après leur période de conservation
- Audit tout au long du cycle de vie de vos informations
- Configuration et application des politiques de conservation
- Déclaration et conservation automatisées des informations
Solution de gestion des demandes d’accès à leurs données par les personnes concernées (DSAR)
Selon le RGPD, les personnes concernées disposent de droits spécifiques, notamment le droit de savoir exactement quelles données personnelles une organisation a collectées à leur sujet et celui de demander que ces informations soient corrigées ou supprimées. Elles ont également le droit de consulter l’avis de confidentialité de l’organisation et des informations complémentaires. Un logiciel DSAR permet aux organisations de traiter ces demandes de manière beaucoup plus économique qu’avec des méthodes manuelles, et d’éviter les pénalités en respectant des délais stricts de réponse aux DSAR.
Sécurité des données
Après avoir abordé les droits des personnes à la vie privée, passons aux dispositions du RGPD qui concernent la sécurité des données :
- Article 25 : Protection des données dès la conception et par défaut
- Article 32 : Sécurité du traitement
- Article 33 : Notification d’une violation de données personnelles à l’autorité de contrôle
- Article 34 : Communication d’une violation de données personnelles à la personne concernée
- Article 35 : Analyses d’impact relatives à la protection des données
Pour satisfaire ces exigences, recherchez des outils de conformité au RGPD qui offrent les fonctionnalités suivantes. Il se peut qu’un logiciel que vous possédez déjà vous propose une partie de ces fonctionnalités.
Gestion des risques
Une Analyse d’impact relative à la protection des données (AIPD) est une évaluation ciblée de « l’impact du traitement envisagé sur la protection des données à caractère personnel. » Elle documente les données qui vont être traitées, les raisons pour lesquelles ces données sont nécessaires et les risques liés aux droits des personnes concernées.
Avant tout traitement de données, une AIPD doit être préparée si votre organisation :
- Suit le comportement et/ou la localisation des utilisateurs
- Utilise de nouvelles technologies
- Traite des données personnelles liées à l’origine raciale ou ethnique, aux opinions politiques, aux croyances religieuses ou philosophiques, à la santé, à la vie sexuelle ou à l’orientation sexuelle
- Traite des données à caractère personnel pour prendre des décisions automatisées qui pourraient avoir des effets judiciaires ou d’autres effets significatifs
- Traite des données relatives à des enfants
- Traite des données qui pourraient entraîner un préjudice physique pour la personne concernée en cas de divulgation
La non-exécution d’une AIPD dans les circonstances susmentionnées peut entraîner des conséquences légales, y compris des amendes.
Une solution de gestion des risques doit comporter des fonctionnalités d’évaluation des risques informatiques, d’atténuation des risques et de gestion des vulnérabilités :
- Évaluation des risques informatiques: Inclut la détection des droits d’accès excessifs aux données des utilisateurs et la vérification des configurations courantes pour déceler d’éventuelles failles de sécurité
- Atténuation des risques : Comprend des mesures telles que la réinitialisation des configurations par défaut, l’ajustement des politiques de sécurité et la révocation des autorisations inutiles
- Gestion des vulnérabilités : Inclut l’amélioration de la visibilité sur les configurations courantes et la réalisation de tests de pénétration réguliers pour déceler les lacunes de sécurité plus complex
Chiffrement des données
Les organisations doivent mettre en œuvre des mesures techniques de sécurité proportionnelles au niveau de risque inhérent à leurs processus de traitement des données. Les données sensibles – comme les informations relatives aux cartes de paiement, les mots de passe et les numéros d’identification – doivent être chiffrées. Le chiffrement rend les données illisibles et inexploitables pour les pirates, votre organisation peut ainsi éviter les sanctions pour non-conformité, même en cas de violation.
Une solution robuste de protection des données offre des méthodes de chiffrement telles que :
- Tokenisation: Remplacement des données sensibles par des identifiants uniques mais illisibles
- Pseudonymisation: Remplacement des champs d’informations personnelles identifiables par des pseudonymes (faux identifiants)
- Masquage dynamique: Modification d’un flux de données pour empêcher un demandeur d’avoir accès à des informations sensibles
Découverte et classification des données
La découverte des données est un processus d’identification de toutes les données présentes dans vos systèmes. La classification des données consiste à classer toutes les données par type et par objectif de traitement. Ces fonctionnalités vous permettent de savoir quelles informations sensibles sont stockées et traitées par votre organisation, afin de mieux planifier et mettre en œuvre vos efforts de sécurité.
Pour se conformer au RGPD, les organisations doivent procéder à la découverte des données ainsi qu’à des mesures telles que le profilage des données, les taxonomies relatives à la sensibilité des données et le recensement des ressources de données. Afin de classer les données, les entreprises peuvent être amenées à prendre en compte les aspects suivants :
- Types de données (informations financières, données relatives à la santé, pièces d’identité, etc.)
- Critères de protection des données (informations personnelles ou sensibles)
- Catégories des personnes concernées (clients, patients, etc.)
- Catégories des destinataires (surtout pour les fournisseurs tiers internationaux)
Gouvernance de l’accès aux données
La gouvernance de l’accès aux données implique de veiller à ce qu’un minimum de personnes dispose du niveau minimum d’autorisation pour accéder aux données. Ainsi, les données personnelles seront aussi sécurisées et inaccessibles que possible. La gouvernance de l’accès aux données vous permet de fixer ces limites et de maintenir une visibilité sur qui a accès à quelles informations.
Surveillance des activités des utilisateurs
Les capacités de surveillance vous alertent de toute activité utilisateur inhabituelle qui pourrait indiquer une menace, afin que votre organisation puisse réagir immédiatement. Elles contribuent à prévenir une violation de données potentiellement désastreuse ou un non-respect de la conformité.
Prévention des pertes de données
Les contrôles de prévention des pertes de données (DLP) permettent aux administrateurs réseau de contrôler les données que transfèrent les utilisateurs finaux. Ils contribuent à empêcher que des données ne soient perdues, mal utilisées ou vulnérables aux accès non autorisés.
Les contrôles DLP permettent également aux organisations d’adhérer au principe (f) – connu sous le nom de « principe de sécurité » ou « principe d’intégrité et de confidentialité » – selon lequel les responsables du traitement des données doivent mettre en œuvre des mesures de sécurité appropriées pour protéger les données personnelles qu’ils stockent et traitent.
Sécurité des infrastructures informatiques, des réseaux et des applications
Les organisations doivent maintenir un niveau de sécurité proportionnel aux risques encourus en cas de violation des données. La surveillance et l’audit en temps réel des infrastructures informatiques permettent de détecter les activités suspectes et les modifications de configuration non autorisées sur vos réseaux et applications.
Gestion des incidents de sécurité
Suite à la détection d’une violation de données personnelles, les responsables du traitement disposent de 72 heures pour en informer les autorités compétentes, à moins qu’une telle notification ne compromette davantage la vie privée des personnes concernées. Une solution robuste de protection de la vie privée permet à votre organisation d’identifier les données compromises afin de pouvoir informer les autorités compétentes et les personnes concernées.
Solutions de conformité au RGPD
Les solutions de conformité suivantes permettent à votre organisation de gérer efficacement la protection de la vie privée et de respecter les autres dispositions du RGPD.
Droits des personnes à la vie privée
Les plateformes logicielles suivantes permettent à votre entreprise de se conformer aux dispositions relatives au droit à la vie privée du RGPD. Elles offrent des fonctionnalités de gestion du consentement, de gestion des informations et des documents, et de traitement des DSAR.
- La solution DSAR de Netwrix: La solution DSAR de Netwrix permet aux entreprises d’automatiser le processus de collecte des données, qui constitue une étape cruciale et exigeante en ressources lors de toute demande d’accès à ses informations par une personne concernée. Les utilisateurs peuvent rechercher et exporter rapidement des données personnelles, et cette solution permet aux équipes non informatiques de gérer le processus.
- Secure Privacy: Secure Privacy offre des fonctionnalités de consentement pour les cookies, de scanning continu des sites Web, de création de politique de confidentialité et de gestion du droit de suppression et du droit de retrait.
- ConsentCheq: Ce « service universel de notification et de gestion du consentement » comprend des fonctionnalités de notification de collecte des données et d’enregistrement des préférences utilisateur. Les informations de consentement sont accessibles via une API sécurisée. Des solutions sectorielles spécifiques répondent aux besoins du commerce en ligne, des médias, de la technologie publicitaire, de l’Internet des objets (IdO), du commerce de détail et de l’hôtellerie.
- TrustArc: TrustArc propose une plateforme de confidentialité RGPD incluant la gestion du consentement pour les cookies, la gestion des droits individuels, l’évaluation de la confidentialité et un centre d’inventaire des données qui permet aux entreprises de créer des rapports de conformité et des flux de données.
Sécurité des données
Des solutions axées sur la protection et la sécurité des données permettront à votre organisation de disposer d’une meilleure visibilité sur vos ressources informationnelles, d’analyser les flux de données personnelles et d’adopter diverses méthodes de protection et de chiffrement des données sensibles.
- Netwrix Data Security Platform: Cette solution Netwrix vous permet de satisfaire les exigences des normes actuelles de sécurité et de protection de la vie privée grâce à des fonctionnalités simples de classification et de découverte des données, de contrôle des modifications et des activités relatives aux données sensibles. Elle vous permet d’identifier facilement les données surexposées, les configurations incorrectes des systèmes sous-jacents et d’autres risques pesant sur votre infrastructure. Grâce à cela, vous pouvez renforcer la sécurité et la conformité tout en profitant d’un excellent retour sur investissement.
- AvePoint Privacy Impact Assessment (APIA) System: Cette solution basée sur l’évaluation permet aux organisations d’analyser les flux de données personnelles afin d’assurer la conformité au RGPD. Elle comprend des workflows intégrés, un système de sondage basé sur des formulaires, des rapports automatisés et une assistance à l’évaluation de la sécurité et des vulnérabilités.
- FileCloud: FileCloud permet aux organisations de satisfaire les exigences de conformité au RGPD dans les environnements Cloud publics, privés et hybrides grâce à des fonctionnalités telles que la recherche d’informations personnelles identifiables, les contrôles de conservation des informations, l’anonymisation, le chiffrement des données et la portabilité des données. Cette solution permet également de gérer et de partager en toute sécurité des données sensibles, et offre aux clients la possibilité de demander l’accès à leurs données personnelles ou leur suppression.
- Aircloak Insights: Aircloak Insights offre une interface SQL anonymisée qui permet de réaliser des analyses tout en préservant la vie privée des utilisateurs et en respectant les exigences du RGPD.
Solutions GRC
Les outils de gouvernance, gestion des risques et conformité (GRC) – également appelés logiciels de gestion des risques d’entreprise – offrent une gestion complète des risques et des contrôles, des outils d’analyse des risques, une gestion des fournisseurs et des évaluations des risques liés aux tiers. Si les outils GRC sont souvent dotés d’une grande variété de fonctionnalités, ils peuvent également être coûteux et difficiles à utiliser.
- OneTrust: OneTrust offre des fonctionnalités RGPD telles que : signalement d’incidents, workflow de gestion des infractions, gestion des risques liés aux fournisseurs, consentement pour les cookies, portail DSAR et analyses d’impact de la protection des données opérationnalisées.
- BWise GRC Platform: Cette plateforme de gestion des risques propose des solutions pour les audits internes, la gestion de la conformité, les contrôles internes et la sécurité de l’information. Elle permet aux organisations de remédier aux risques de conformité, d’atteinte à la réputation et financiers.
Conclusion
S’il peut sembler difficile au premier abord de respecter les exigences du RGPD, votre organisation peut prendre des mesures proactives et mettre en œuvre un ensemble de solutions spécifiques robustes. En privilégiant des services faciles à automatiser et économiques, votre entreprise peut se mettre en conformité tout en réduisant au minimum les perturbations opérationnelles et en bénéficiant d’un bon retour sur investissement.
