Pour simplifier le Cloud et les Télécoms, nous avons aussi besoin de pouvoir les expliquer de façon claire et synthétique. Retrouvez la définition des termes les plus courants dans nos métiers.
Le RGPD, ou Règlement général sur la protection des données, est le règlement européen qui encadre la collecte et l'utilisation des données personnelles. Il s'applique depuis le 25 mai 2018 aux organisations qui traitent les données de personnes situées dans l'Union européenne, selon les conditions prévues par le règlement.
Il s'agit du règlement (UE) 2016/679 (en anglais, GDPR pour General Data Protection Regulation). En France, la CNIL veille à son respect.
Le RGPD en bref
Une donnée personnelle est toute information liée à une personne physique identifiable, directement ou non : un nom, une adresse électronique, un numéro de téléphone, une adresse IP. Certaines, les données sensibles (santé, opinions, origine), bénéficient d'une protection renforcée.
Le RGPD concerne les entreprises, associations, administrations et autres organismes qui traitent des données personnelles dans le cadre d'activités relevant de son champ d'application, quelle que soit leur taille. Une TPE qui tient un fichier clients peut donc être concernée au même titre qu'un grand groupe. Le règlement vise aussi certaines organisations établies hors de l'Union lorsqu'elles proposent des biens ou services à des personnes qui s'y trouvent ou suivent leur comportement.
Il distingue deux rôles. Le responsable du traitement décide pourquoi et comment les données sont utilisées, par exemple l'entreprise qui gère ses candidatures. Le sous-traitant les traite pour son compte, comme l'hébergeur.
Le RGPD cherche un équilibre : permettre aux organisations d'utiliser des données personnelles, tout en laissant aux personnes la maîtrise de ce qui en est fait. Il repose sur des principes, dont les suivants, qui changent la conception d'un traitement :
En retour, chaque personne peut accéder à ses données, les faire corriger ou effacer, s'opposer à certains usages, en faire geler l'utilisation le temps d'une vérification (droit à la limitation) ou les récupérer dans un format réutilisable (droit à la portabilité).
Le RGPD fixe le cadre commun, la loi française en précise l'application nationale.
Le RGPD et la loi Informatique et Libertés ne s'opposent donc pas : en France, ils s'articulent ensemble. La loi française complète et précise l'application du RGPD sur certains sujets.
Une entreprise peut notamment commencer par :
La sécurité n'est qu'un volet du RGPD, à côté de la gouvernance, des bases légales et des droits des personnes. Sur ce volet technique, la gamme Sewan Cyber protège postes, mobiles et serveurs avec l'appui d'un SOC, une équipe qui surveille les alertes 24 h/24 et 7 j/7, et repère les identifiants exposés sur le Web, qui peuvent servir à provoquer une fuite de données. Les offres Cloud hébergent les données en France, avec les certifications ISO/IEC 27001 et HDS (hébergement de données de santé).
La CNIL peut notamment prononcer un rappel à l'ordre, une mise en demeure ou une amende. L'amende peut atteindre 20 M€ ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves, le montant le plus élevé étant retenu. Son montant tient compte de la gravité et de la durée du manquement.
Le RGPD ne fixe pas de durée unique : elle dépend de l'objectif du traitement et des obligations légales. Les données de paie se gardent ainsi plus longtemps que celles d'un prospect inactif. La CNIL publie des référentiels par type de traitement.
Non. Le consentement est l'une des six bases légales : un contrat, une obligation légale ou un intérêt légitime peuvent suffire. Il reste requis, par exemple, pour la plupart des cookies publicitaires.
Oui. Paie, badges, messagerie ou vidéosurveillance suivent les mêmes règles, avec une information préalable des salariés et, pour certains dispositifs, des représentants du personnel.
En tant que sous-traitant, il doit sécuriser les données, n'agir que sur instruction de son client et l'alerter en cas de violation. Le contrat qui les lie précise ces engagements.
Cela dépend du besoin : un cabinet ou un DPO externalisé pour la gouvernance et les procédures, un prestataire technique pour l'hébergement et la sécurité. Pour ce second cas, vérifiez le lieu d'hébergement, les certifications, le contrat de sous-traitance et la réaction prévue en cas d'incident.
Renforcez la protection de vos données
Sécurisez les identités, les accès et les équipements qui participent au traitement de vos données professionnelles.
Sophia, la copilote des Partenaires et DSI