{"id":219532,"date":"2019-05-27T15:34:49","date_gmt":"2019-05-27T13:34:49","guid":{"rendered":"https:\/\/www.intrinsec.com\/?p=219532"},"modified":"2019-05-27T15:34:49","modified_gmt":"2019-05-27T13:34:49","slug":"rgpd-saison-2","status":"publish","type":"post","link":"https:\/\/www.intrinsec.com\/en\/rgpd-saison-2\/","title":{"rendered":"GDPR \u2013 Season 2"},"content":{"rendered":"

[et_pb_section fb_built=\u00a0\u00bb1″ _builder_version=\u00a0\u00bb3.23.3″][et_pb_row _builder_version=\u00a0\u00bb3.23.3″][et_pb_column type=\u00a0\u00bb4_4″ _builder_version=\u00a0\u00bb3.23.3″][et_pb_text _builder_version=\u00a0\u00bb3.23.3″]<\/p>\n

Le R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es<\/strong> f\u00eate le premier anniversaire de sa mise en application le 25 mai 2018<\/strong>.<\/p>\n

Quels enseignements tirer de cette premi\u00e8re ann\u00e9e ? Intrinsec vous r\u00e9pond \u00e0 la lueur de ses exp\u00e9riences d\u2019accompagnement des entreprises dans leur mise en conformit\u00e9.<\/p>\n

 <\/p>\n

Une premi\u00e8re phase de transition<\/strong><\/h3>\n

Les exigences du RGPD posent de nombreux d\u00e9fis aux entreprises<\/strong> au premier rang desquelles se trouvent celui de faire \u00e9merger les comp\u00e9tences n\u00e9cessaires ainsi que d\u2019aligner les pratiques avec les exigences en mati\u00e8re de protection des donn\u00e9es.<\/p>\n

Les chantiers de mise en conformit\u00e9<\/strong> ont souvent \u00e9t\u00e9 initi\u00e9s par les directions juridiques des entreprises, mobilisant des ressources pour initier ou compl\u00e9ter les registres, former les collaborateurs et le DPO, int\u00e9grer les concepts de protection des donn\u00e9es par d\u00e9faut et d\u00e8s la conception, encadrer la sous-traitance et les transferts de donn\u00e9es\u2026<\/p>\n

Rappel des processus \u00e0 mettre en place :\u00a0<\/strong><\/em><\/p>\n

[\/et_pb_text][\/et_pb_column][\/et_pb_row][et_pb_row _builder_version="3.23.3"][et_pb_column type="4_4" _builder_version="3.23.3"][et_pb_image src="https:\/\/www.intrinsec.com\/wp-content\/uploads\/2019\/05\/RGPD.png" align="center" _builder_version="3.23.3" width="90%" custom_padding="0px|||||"][\/et_pb_image][\/et_pb_column][\/et_pb_row][et_pb_row _builder_version="3.23.3"][et_pb_column type="4_4" _builder_version="3.23.3"][et_pb_text _builder_version="3.23.3"]<\/p>\n

Il s\u2019est av\u00e9r\u00e9 n\u00e9cessaire de faire \u00e9voluer le syst\u00e8me d\u2019information et de se doter d\u2019outils pour le recueil de consentement, l\u2019exercice des droits d\u2019acc\u00e8s et d\u2019effacement, l\u2019anonymisation, le chiffrement, la s\u00e9curisation des applications, la d\u00e9tection des violations de donn\u00e9es, etc.<\/p>\n

Pour beaucoup d\u2019entreprises, la d\u00e9marche de mise en conformit\u00e9 est toujours en cours. D\u2019autant que les besoins \u00e9voluent avec les recommandations de la CNIL<\/strong> et la jurisprudence. En effet, le r\u00e8glement n\u2019en est qu\u2019\u00e0 ses d\u00e9buts en terme d\u2019application.<\/p>\n

 <\/p>\n

De r\u00e9elles opportunit\u00e9s<\/strong><\/h3>\n

Si le RGPD est souvent vu comme une contrainte suppl\u00e9mentaire, les opportunit\u00e9s sont bien r\u00e9elles. La d\u00e9marche de mise en conformit\u00e9 RGPD est l\u2019occasion unique pour les entreprises de rationaliser la gestion de leurs donn\u00e9es<\/strong>, un r\u00e9flexe encore loin d\u2019\u00eatre syst\u00e9matique dans les organisations.<\/p>\n

Les \u00e9tapes que pr\u00e9suppose le RGPD, tels que disposer d\u2019une cartographie de ses donn\u00e9es, avoir des processus et responsables clairement d\u00e9finis<\/strong> reviennent de facto \u00e0 mettre en place une gouvernance de la donn\u00e9e efficace<\/strong>.<\/p>\n

Nettoyer sa base commerciale<\/strong> pour se mettre en conformit\u00e9 permet de se recentrer sur les prospects les plus prometteurs en adoptant une approche plus qualitative que quantitative. D\u2019autre part, des pratiques respectueuses de la vie priv\u00e9e valorisent l\u2019organisme aupr\u00e8s de ses clients et partenaires. L\u2019entreprise Cdiscount a par exemple soulign\u00e9 qu\u2019elle \u00e9tait le premier acteur de l\u2019e-commerce \u00e0 recevoir le label \u00ab\u00a0Proc\u00e9dure de gouvernance\u00a0\u00bb RGPD de la CNIL. A terme, la d\u00e9marche peut ainsi devenir un v\u00e9ritable atout \u00e9conomique et concurrentiel<\/strong>.<\/p>\n

 <\/p>\n

Une meilleure prise en compte de la s\u00e9curit\u00e9<\/strong><\/h3>\n

De nombreuses mesures d\u2019une politique de s\u00e9curit\u00e9 contribuent \u00e0 la protection des donn\u00e9es. Par exemple, le chiffrement de surface des postes de travail et le contr\u00f4le des supports amovibles<\/strong> permettent de pr\u00e9venir les fuites de donn\u00e9es. Ces d\u00e9marches sont ainsi valoris\u00e9es dans le cadre de la mise en conformit\u00e9.<\/p>\n

Les pr\u00e9requis du RGPD en mati\u00e8re de mesures de protection renforcent \u00ab\u00a0par rebond\u00a0\u00bb la voix des RSSI en interne<\/strong>, qui font face \u00e0 un terrain plus favorable gr\u00e2ce \u00e0 des utilisateurs davantage sensibilis\u00e9s. D\u2019apr\u00e8s un sondage IFOP, 70% des fran\u00e7ais se disent aujourd\u2019hui plus sensibles \u00e0 la probl\u00e9matique de la protection des donn\u00e9es personnelles<\/strong>. Les exigences en mati\u00e8re de protection des donn\u00e9es et de s\u00e9curit\u00e9 du SI se diffusent jusque dans les PME\/PMI. Nous observons clairement que beaucoup d\u2019entreprises ouvrent des chantiers de s\u00e9curit\u00e9 et gagnent en maturit\u00e9 \u00e0 l\u2019occasion de nos missions d\u2019accompagnement RGPD.<\/p>\n

 <\/p>\n

Quelles mesures de s\u00e9curit\u00e9\u00a0mettre en place ?<\/strong><\/h3>\n

Le RGPD ne liste pas un catalogue de mesures de s\u00e9curit\u00e9 \u00e0 mettre en place, m\u00eame s\u2019il cite la pseudonymisation et le chiffrement. Il engage les responsables de traitement et sous-traitants \u00e0 mettre en \u0153uvre des mesures techniques et organisationnelles appropri\u00e9es<\/strong>. Il s\u2019agit d\u2019adapter le niveau de s\u00e9curit\u00e9 au risque<\/strong>, non pas pour l\u2019organisme, mais pour les personnes concern\u00e9es.<\/p>\n

Le risque doit \u00eatre \u00e9valu\u00e9 au travers d\u2019une analyse d\u2019impact impliquant le DPO, les m\u00e9tiers et le RSSI pour l\u2019identification des mesures en place et \u00e0 consid\u00e9rer. Les consultants d\u2019Intrinsec accompagnent leurs clients dans leurs projets de mise en conformit\u00e9 RGPD et ISO 27001<\/strong>, en mettant en \u0153uvre des politiques et mesures de s\u00e9curit\u00e9 adapt\u00e9es \u00e0 leur contexte et r\u00e9pondant aux enjeux de protection de donn\u00e9es (d\u00e9couvrez nos offres Mise en conformit\u00e9<\/a><\/strong>).<\/p>\n

Le chiffrement se d\u00e9cline en chiffrement des flux (TLS), bases de donn\u00e9es, sauvegardes, fichiers et supports de stockage\u2026 Il peut s\u2019av\u00e9rer complexe \u00e0 mettre en place et ne r\u00e9pond pas \u00e0 tous les enjeux. En effet, un chiffrement \u00ab\u00a0transparent\u00a0\u00bb des donn\u00e9es fait reposer une bonne partie de la s\u00e9curit\u00e9 sur le contr\u00f4le d\u2019acc\u00e8s.<\/p>\n

Une gestion rigoureuse des droits d\u2019acc\u00e8s demeure essentielle<\/strong> pour s\u2019assurer que seules les personnes habilit\u00e9es ont acc\u00e8s aux donn\u00e9es \u00e0 caract\u00e8re personnel. Il faut s\u2019assurer que les moyens d\u2019authentification sont fiables, que la politique de mot de passe est conforme aux recommandations de la CNIL et assimil\u00e9e par les utilisateurs. Mais il faut aussi que les profils soient adapt\u00e9s aux besoins de la mission, et que les processus de gestion des entr\u00e9es et sorties, d\u2019attribution et de revue des habilitations soient en place. C\u2019est principalement pour un d\u00e9faut de gestion des droits que l\u2019h\u00f4pital public de Barreiro au Portugal a \u00e9t\u00e9 sanctionn\u00e9.<\/p>\n

 <\/p>\n

Contr\u00f4les et sanctions\u00a0: \u00e0 quoi faut-il s\u2019attendre\u00a0?<\/strong><\/h3>\n

Les autorit\u00e9s avaient frapp\u00e9 fort avec la d\u00e9cision de porter le montant maximum d\u2019une sanction pour non-conformit\u00e9 \u00e0 4% du chiffre d\u2019affaires mondial <\/strong>total de l’exercice pr\u00e9c\u00e9dent ou 20 millions d’euros<\/strong>. Qu\u2019en a-t-il \u00e9t\u00e9 concr\u00e8tement jusqu\u2019ici\u00a0?<\/p>\n

L’essentiel du montant des sanctions d\u00e9livr\u00e9es en un an de RGPD par la CNIL est constitu\u00e9 de l’amende inflig\u00e9e \u00e0 Google, les autres sanctions \u00e9tant ant\u00e9rieures au RGPD. Cette amende \u00e0 Google de 50 millions d’euros repr\u00e9sente d’ailleurs la quasi-int\u00e9gralit\u00e9 des sanctions d\u00e9livr\u00e9es \u00e0 l’\u00e9chelle europ\u00e9enne \u00e0 ce jour.<\/p>\n

En l\u2019absence jusqu\u2019ici d\u2019exemple marquant impliquant une entreprise priv\u00e9e europ\u00e9enne, il est parfois difficile pour les personnes charg\u00e9es des projets de mise en conformit\u00e9 et le DPO de faire entendre leur voix en interne, notamment aupr\u00e8s de la direction g\u00e9n\u00e9rale.<\/p>\n

Il faut cependant souligner que la CNIL a d\u00e9voil\u00e9 fin avril sa strat\u00e9gie pour l\u2019ann\u00e9e 2019<\/strong>. Si elle reste dans une d\u00e9marche d\u2019accompagnement, La CNIL explique qu\u2019\u00ab\u00a0en mati\u00e8re de contr\u00f4le et de politique r\u00e9pressive, l\u2019ann\u00e9e 2019 marque l\u2019ach\u00e8vement de la phase de transition entre l\u2019ancienne l\u00e9gislation et la nouvelle\u00a0\u00bb et que d\u00e9sormais elle \u00ab\u00a0v\u00e9rifiera pleinement le respect des nouvelles obligations et nouveaux droits issus du cadre europ\u00e9en<\/strong>\u00a0\u00bb.<\/p>\n

L\u2019id\u00e9al pour les entreprises reste d\u2019anticiper l\u2019audit en mettant en place des mesures de contr\u00f4le<\/strong>. Il faut alors disposer des comp\u00e9tences et outils permettant d\u2019\u00e9valuer le niveau de s\u00e9curit\u00e9 de votre syst\u00e8me d\u2019information\u00a0en l\u2019envisageant du point de vue d\u2019un attaquant, afin de corriger les failles avant qu\u2019elle ne soient exploit\u00e9es pour d\u00e9rober des donn\u00e9es personnelles (d\u00e9couvrez nos offres Evaluation<\/a><\/strong>).<\/p>\n

Se doter de mesures de r\u00e9action efficaces\u00a0permet de prendre rapidement toutes les mesures permettant d\u2019att\u00e9nuer l\u2019impact pour les personnes concern\u00e9es en cas de violation<\/strong>\u00a0:<\/p>\n