Le RGPD vous aide à sécuriser vos données parce qu’il vous oblige à savoir lesquelles vous détenez, où elles se trouvent, qui y accède et comment elles sont protégées. Ce règlement européen, applicable depuis le 25 mai 2018, concerne toute structure qui traite des données personnelles : entreprise, mairie, association. Faire le travail de conformité, c’est aussi faire l’inventaire de vos points faibles.
L’essentiel
- Le RGPD s’applique à toute structure qui traite des données personnelles, quelle que soit sa taille.
- Le registre des traitements oblige à savoir quelles données vous avez et où elles sont stockées.
- Le règlement impose de protéger ces données, d’informer les personnes et de respecter leurs droits.
Le RGPD, c’est quoi et qui est concerné ?
Le RGPD, ou Règlement général sur la protection des données, encadre l’utilisation des données personnelles dans l’Union européenne. Une donnée personnelle, c’est toute information qui permet d’identifier une personne : un nom, une adresse e-mail, un numéro de téléphone, une adresse IP.
Vendre des fichiers clients n’est pas une condition. Le fichier des adhérents d’une association, la liste des clients d’un artisan, les dossiers du personnel ou les demandes reçues par le formulaire du site sont tous concernés. En France, la CNIL accompagne les organismes et contrôle l’application du règlement.
Quelques principes guident le tout : collecter les données pour un objectif précis, ne garder que celles qui servent, et ne pas les conserver indéfiniment.
Savoir quelles données vous avez et où elles sont
C’est le premier apport du RGPD en matière de sécurité. Difficile de protéger ce que vous ne connaissez pas.
Le registre des activités de traitement sert à ça. Pour chaque usage (facturation, paie, gestion des adhérents, lettre d’information), il décrit les données collectées, leur objectif, les personnes qui y ont accès, la durée de conservation et les mesures de protection. La CNIL propose un modèle de registre sur son site.
En le remplissant, les surprises apparaissent vite : le tableur des adhérents sur une clé USB qui passe de main en main, les CV reçus il y a des années et jamais supprimés, la boîte mail partagée dont tout le monde connaît le mot de passe. Chaque surprise est un risque identifié, donc un risque que vous pouvez traiter.
La sécurité des données, une obligation du règlement
Le RGPD demande de mettre en place des mesures techniques et organisationnelles adaptées au risque. Il ne fixe pas une liste unique, mais les bases sont connues :
- des comptes personnels et des mots de passe solides, plutôt qu’un identifiant partagé
- des droits d’accès limités à ce dont chacun a besoin
- des postes et des logiciels à jour, avec un antivirus (voir à quoi sert un antivirus)
- des sauvegardes régulières, stockées à part
- le chiffrement des ordinateurs portables, qui finissent parfois oubliés dans un train
- la sensibilisation des personnes qui manipulent les données
Le règlement prévoit aussi la gestion des violations de données : une fuite, un vol ou une perte doit être documentée, et notifiée à la CNIL lorsqu’elle présente un risque pour les personnes. Mieux vaut savoir à l’avance qui fait quoi. Pour faire le point sur l’ensemble, voyez comment s’assurer que votre entreprise est bien protégée.
Informer les personnes et respecter leurs droits
Les personnes dont vous traitez les données doivent savoir ce que vous en faites. Concrètement, cela passe par des mentions claires sur vos formulaires, une politique de confidentialité sur votre site et, pour les cookies qui ne sont pas indispensables au fonctionnement du site, un recueil du consentement.
Le RGPD donne aussi des droits à ces personnes :
- le droit d’accès à leurs données
- le droit de rectification
- le droit à l’effacement
- le droit d’opposition
- le droit à la limitation du traitement
- le droit à la portabilité
Pour y répondre, il faut retrouver les données d’une personne rapidement. Là encore, une organisation claire de vos fichiers sert autant la conformité que la sécurité.
Par où commencer ?
Pas besoin de tout régler en une semaine. Voici un ordre raisonnable :
- Lister vos traitements et remplir le registre.
- Supprimer les données dont vous n’avez plus besoin.
- Vérifier les accès, les mots de passe, les sauvegardes et les mises à jour.
- Mettre à jour les mentions d’information de vos formulaires et de votre site.
- Prévoir la marche à suivre en cas de violation de données.
Et chez InfoRéso ?
Nous ne remplaçons pas un juriste ni un délégué à la protection des données. Notre rôle porte sur la partie technique, dans le cadre de nos contrats de maintenance pour les entreprises et les communes : postes, accès, sauvegardes, mises à jour. Pour un regard d’ensemble sur votre organisation informatique, voyez notre page conseil informatique.
