L’un des principes fondamentaux de presque toutes les lois sur la protection des donn\u00e9es est l’obligation de prendre des \u00ab\u00a0mesures raisonnables\u00a0\u00bb pour prot\u00e9ger les donn\u00e9es personnelles lors de leur transmission, de leur traitement et de leur stockage. Pour y r\u00e9pondre, il faut \u00e0 la fois des politiques de protection des donn\u00e9es et les technologies qui permettent de les appliquer.<\/p>\n
Ce guide vous aide \u00e0 renforcer vos strat\u00e9gies de conformit\u00e9 au CCPA et au RGPD<\/strong> et recense les technologies et outils couramment d\u00e9ploy\u00e9s par les d\u00e9partements informatiques internes et les fournisseurs de services g\u00e9r\u00e9s (MSP)<\/a> du monde entier pour prot\u00e9ger les donn\u00e9es personnelles qu’ils traitent et se conformer aux lois sur la protection des donn\u00e9es, comme le California Consumer Privacy Act (CCPA) et le r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (RGPD).<\/p>\n Le CCPA<\/a> et le RGPD<\/a> sont deux lois distinctes qui prot\u00e8gent respectivement les informations personnelles des r\u00e9sidents de Californie et de l’Union europ\u00e9enne. Leur finalit\u00e9 est similaire, mais elles pr\u00e9sentent des diff\u00e9rences importantes. Elles partagent toutefois une m\u00eame exigence\u00a0: prendre certaines mesures pour prot\u00e9ger les donn\u00e9es personnelles, ou donn\u00e9es \u00e0 caract\u00e8re personnel (DCP)<\/a>, sous peine de sanctions s\u00e9v\u00e8res.<\/p>\n M\u00eame si votre entreprise n’est pas \u00e9tablie dans l’UE, en Californie ou dans une autre r\u00e9gion dot\u00e9e de ses propres lois sur la protection des donn\u00e9es, ou si elle n’atteint pas les seuils de chiffre d’affaires ou autres qui la soumettraient \u00e0 ces textes, s’y conformer reste souvent avantageux\u00a0: de nombreux cadres r\u00e9glementaires s’appliquent en fonction du lieu o\u00f9 se trouve la personne concern\u00e9e par les donn\u00e9es prot\u00e9g\u00e9es, et non du lieu o\u00f9 se trouve l’entreprise qui les traite. Ne pas respecter ces lois peut \u00e9galement limiter votre capacit\u00e9 \u00e0 travailler avec d’autres soci\u00e9t\u00e9s qui, elles, y sont soumises.<\/p>\n De plus, disposer des politiques, des processus et de l’infrastructure n\u00e9cessaires pour respecter les lois internationales sur la protection des donn\u00e9es comme le CCPA et le RGPD signifie que, le jour o\u00f9 vous serez<\/em> pr\u00eat \u00e0 vous d\u00e9velopper et \u00e0 passer \u00e0 l’\u00e9chelle, vous serez d\u00e9j\u00e0 pr\u00e9par\u00e9. N\u00e9gliger vos responsabilit\u00e9s en mati\u00e8re de protection des donn\u00e9es peut aussi entamer la confiance de vos clients.<\/p>\n \u00c9laborer les politiques qui aideront votre entreprise \u00e0 respecter les lois internationales sur la protection des donn\u00e9es suppose de bien conna\u00eetre chaque texte, l’environnement juridique dans lequel vous op\u00e9rez et la relation que vous entretenez avec vos utilisateurs (quelles donn\u00e9es vous traitez pour eux, et dans quelle mesure ils sont inform\u00e9s de leur utilisation et y consentent). En g\u00e9n\u00e9ral, ces politiques couvrent des aspects tels que la classification, la conservation et l’acc\u00e8s aux donn\u00e9es.<\/p>\n Une fois ces politiques \u00e9tablies en fonction des obligations l\u00e9gales applicables, les administrateurs informatiques et les fournisseurs de services g\u00e9r\u00e9s<\/a> sont les mieux plac\u00e9s pour les mettre en place et les faire respecter, car ce sont eux qui savent le mieux o\u00f9 et comment ces donn\u00e9es sont utilis\u00e9es. Cela implique de choisir des outils informatiques offrant des fonctionnalit\u00e9s qui facilitent la conformit\u00e9, de veiller \u00e0 ce que ces logiciels soient correctement configur\u00e9s, de sensibiliser le personnel \u00e0 ses responsabilit\u00e9s et de surveiller les \u00e9ventuelles violations de donn\u00e9es ou usages abusifs.<\/p>\n La cl\u00e9 de tout cela, c’est la visibilit\u00e9<\/em>\u00a0: vous devez savoir o\u00f9 se trouvent toutes les donn\u00e9es relatives \u00e0 une personne concern\u00e9e, qu’elles soient sur site, dans le cloud ou dans une sauvegarde, afin de pouvoir les r\u00e9cup\u00e9rer, les supprimer, les corriger ou les traiter conform\u00e9ment aux lois applicables dans sa r\u00e9gion.<\/p>\n Faire tout cela pour plusieurs juridictions et diff\u00e9rents types de donn\u00e9es personnelles (surtout lorsque des donn\u00e9es de sant\u00e9 sont concern\u00e9es) devient tr\u00e8s vite un d\u00e9fi technique complexe, en particulier pour les MSP dont les clients op\u00e8rent sur des march\u00e9s diff\u00e9rents et disposent eux-m\u00eames parfois d’une client\u00e8le internationale.<\/p>\n Les grandes cat\u00e9gories technologiques suivantes sont d\u00e9ploy\u00e9es pour r\u00e9pondre \u00e0 ces exigences en constante \u00e9volution\u00a0:<\/p>\n Il vous revient de rechercher et de d\u00e9ployer des outils qui r\u00e9pondent aux besoins de votre entreprise et \u00e0 vos obligations l\u00e9gales. Cela implique souvent de combiner des produits de diff\u00e9rents fournisseurs (apr\u00e8s avoir r\u00e9alis\u00e9 une \u00e9valuation des risques li\u00e9s aux fournisseurs<\/a> et mis en place les accords de protection des donn\u00e9es appropri\u00e9s) pour obtenir une solution sur mesure et \u00e9conomique, qui s’int\u00e8gre \u00e0 vos outils et processus m\u00e9tier existants.<\/p>\n Pour garantir la protection de toutes les donn\u00e9es priv\u00e9es et pouvoir retrouver toutes les copies des donn\u00e9es d’une personne lorsqu’elle demande \u00e0 y acc\u00e9der ou \u00e0 les mettre \u00e0 jour, ces donn\u00e9es doivent \u00eatre identifiables. Elles peuvent se trouver sur des partages r\u00e9seau, dans des e-mails, des bases de donn\u00e9es et sur des plateformes SaaS (comme des CRM ou des sites e-commerce).<\/p>\n En garder la ma\u00eetrise suppose \u00e0 la fois de documenter comment et o\u00f9 les donn\u00e9es sont utilis\u00e9es, et d’utiliser des outils de d\u00e9couverte et de classification capables de rechercher des identifiants (noms, adresses, num\u00e9ros d’identification officiels), d’\u00e9tiqueter et de classer les donn\u00e9es selon leur finalit\u00e9 et leur sensibilit\u00e9, et de s’int\u00e9grer aux outils de pr\u00e9vention des pertes de donn\u00e9es.<\/p>\n Parmi les outils d\u00e9di\u00e9s, on trouve Microsoft Purview, OneTrust, BigID et Varonis.<\/p>\n La minimisation des donn\u00e9es est une obligation du RGPD et une recommandation du CCPA\u00a0: ne conserver que le strict minimum de donn\u00e9es n\u00e9cessaires \u00e0 l’activit\u00e9 consentie r\u00e9duit le volume de donn\u00e9es \u00e0 prot\u00e9ger. L’anonymisation et la pseudonymisation permettent \u00e9galement de r\u00e9duire les risques li\u00e9s \u00e0 la sensibilit\u00e9 des donn\u00e9es.<\/p>\n La GIA couvre les m\u00e9canismes d’authentification (qui est la personne) et d’autorisation (ce qu’elle a le droit de voir ou de faire) pour l’acc\u00e8s \u00e0 votre infrastructure informatique et aux donn\u00e9es sensibles qu’elle contient. Elle doit s’int\u00e9grer \u00e0 votre cha\u00eene d’outils informatiques afin d’assurer le contr\u00f4le d’acc\u00e8s bas\u00e9 sur les r\u00f4les (RBAC)<\/a>, la MFA (authentification forte)<\/a> et la gestion du cycle de vie des utilisateurs (cr\u00e9ation et suppression des comptes au fil des arriv\u00e9es, des d\u00e9parts et des changements de poste) sur l’ensemble de votre infrastructure locale et cloud.<\/p>\n Les outils les plus r\u00e9pandus dans cette cat\u00e9gorie sont Microsoft Entra ID (anciennement Azure AD), Okta et Ping Identity.<\/p>\n Le zero trust<\/a> et le principe de moindre privil\u00e8ge (PMP) sont des notions importantes \u00e0 prendre en compte lors du choix et du d\u00e9ploiement de votre solution de GIA.<\/p>\n Les plateformes DLP emp\u00eachent les donn\u00e9es prot\u00e9g\u00e9es d’\u00e9chapper au contr\u00f4le de votre entreprise, en inspectant par exemple les e-mails sortants, les transferts de fichiers et l’activit\u00e9 cloud \u00e0 la recherche d’\u00e9ventuelles violations de donn\u00e9es. Si une fuite potentielle est d\u00e9tect\u00e9e, l’activit\u00e9 peut \u00eatre bloqu\u00e9e automatiquement et les parties prenantes alert\u00e9es afin que des mesures soient prises.<\/p>\n Microsoft Purview Data Loss Prevention, Forcepoint, Symantec DLP et Proofpoint figurent parmi les plateformes DLP les plus utilis\u00e9es.<\/p>\n Des calendriers de conservation des donn\u00e9es peuvent \u00eatre mis \u00e0 profit pour imposer une suppression automatique \u00e0 l’expiration du cycle de vie des donn\u00e9es, ce qui r\u00e9duit le volume de donn\u00e9es susceptibles de fuiter et devant \u00eatre surveill\u00e9es par la DLP.<\/p>\n Des donn\u00e9es correctement chiffr\u00e9es ne peuvent \u00eatre lues par personne sans la cl\u00e9<\/a>, ce qui en fait une n\u00e9cessit\u00e9 absolue pour toute forme efficace de protection des donn\u00e9es. C’est particuli\u00e8rement vrai pour les donn\u00e9es stock\u00e9es dans le cloud, puisque cela vous permet de garder la ma\u00eetrise de qui peut les lire.<\/p>\n Les lois sur la protection des donn\u00e9es imposent de fait que les donn\u00e9es soient chiffr\u00e9es au repos (c’est-\u00e0-dire lorsqu’elles sont stock\u00e9es sur un disque dur) et en transit (c’est-\u00e0-dire lorsqu’elles sont transmises d’un appareil \u00e0 un autre, par exemple de votre stockage sur site vers un stockage cloud). Cela suppose de respecter diverses exigences techniques, notamment le chiffrement TLS<\/a> et AES<\/a>, pris en charge par de nombreuses solutions de stockage et de r\u00e9seau.<\/p>\n Des donn\u00e9es chiffr\u00e9es ne sont jamais plus s\u00fbres que les secrets qui les prot\u00e8gent. Des outils comme AWS KMS, Azure Key Vault et Thales CipherTrust sont donc couramment d\u00e9ploy\u00e9s pour la gestion des cl\u00e9s.<\/p>\n Ces outils facilitent la rotation r\u00e9guli\u00e8re des cl\u00e9s sans interrompre le service, ce qui contribue \u00e0 pr\u00e9venir les fuites de donn\u00e9es.<\/p>\n Les utilisateurs doivent disposer d’un moyen de consentir \u00e0 la collecte et \u00e0 l’utilisation de leurs donn\u00e9es par votre entreprise, et ce consentement doit \u00eatre enregistr\u00e9 \u00e0 des fins de conformit\u00e9.<\/p>\n Cela passe g\u00e9n\u00e9ralement par une interface permettant d’accepter ou de refuser les activit\u00e9s de traitement des donn\u00e9es, et par des services back-end qui recueillent et consignent ce consentement. Concr\u00e8tement, cela prend la forme des bandeaux de cookies bien connus, des fen\u00eatres de consentement marketing et des param\u00e8tres de confidentialit\u00e9 dans les profils utilisateurs.<\/p>\n Cette fonctionnalit\u00e9 est souvent d\u00e9velopp\u00e9e en interne, mais des plateformes comme TrustArc, Cookiebot et OneTrust CMP la proposent sous forme de service, sans travail de d\u00e9veloppement important, et la maintiennent \u00e0 jour au fil des \u00e9volutions l\u00e9gislatives.<\/p>\n En vertu du RGPD et du CCPA, les utilisateurs ont le droit de savoir quelles donn\u00e9es vous d\u00e9tenez \u00e0 leur sujet et de demander leur mise \u00e0 jour ou leur suppression dans tous vos syst\u00e8mes (y compris lorsqu’elles sont stock\u00e9es \u00e0 plusieurs endroits et, dans certains cas, dans des sauvegardes anciennes).<\/p>\n L’automatisation des DSR\/SAR permet de rechercher dans l’ensemble des syst\u00e8mes les donn\u00e9es relatives \u00e0 une personne et de r\u00e9pondre dans les d\u00e9lais l\u00e9gaux (30 jours pour le RGPD, 45 jours pour le CCPA). Les demandes et leurs suites peuvent \u00eatre consign\u00e9es afin de prouver la conformit\u00e9 et d’auditer les r\u00e9ponses automatis\u00e9es.<\/p>\n DataGrail, OneTrust et Microsoft Purview Compliance Manager remplissent tous cette fonction.<\/p>\n Vous devez consigner votre conformit\u00e9 sous forme de documentation et de journaux d’audit, afin de prouver que les mesures techniques et organisationnelles requises pour s\u00e9curiser les donn\u00e9es ont bien \u00e9t\u00e9 mises en place. Vous devez \u00e9galement documenter toute violation potentielle et veiller \u00e0 ce que les utilisateurs demandant l’acc\u00e8s \u00e0 leurs donn\u00e9es ou leur rectification aient re\u00e7u une r\u00e9ponse appropri\u00e9e.<\/p>\n Les outils servant \u00e0 documenter cette activit\u00e9 doivent pouvoir suivre qui a acc\u00e9d\u00e9 aux donn\u00e9es prot\u00e9g\u00e9es, surveiller les modifications de configuration et g\u00e9n\u00e9rer des rapports sur les r\u00e9ponses aux DSR, les incidents DLP et le consentement des utilisateurs. Certaines donn\u00e9es (comme les e-mails) peuvent aussi devoir faire l’objet d’une mise en suspens juridique ou \u00eatre conserv\u00e9es pour des enqu\u00eates, si une notification en ce sens vous est adress\u00e9e.<\/p>\n Parmi les outils permettant d’assurer ces t\u00e2ches de reporting, on peut citer Splunk, Microsoft Defender for Cloud, Elastic SIEM et AuditBoard. De nombreuses plateformes et outils disposent en outre de leurs propres fonctions configurables de conservation et de journalisation des donn\u00e9es (par exemple, les conservations \u00e0 des fins de litige chez les fournisseurs de messagerie cloud, qui emp\u00eachent la suppression d\u00e9finitive des e-mails).<\/p>\n Le choix des outils est d\u00e9terminant, mais aucun outil pris isol\u00e9ment ne vous rendra imm\u00e9diatement conforme au CCPA, au RGPD ou \u00e0 une autre loi sur la protection des donn\u00e9es. Le mieux est de comparer les solutions et de retenir celles dont les fonctionnalit\u00e9s r\u00e9pondent directement aux besoins de vos utilisateurs et aux politiques que vous mettez en place pour y r\u00e9pondre.<\/p>\n Vous all\u00e9gerez ainsi la charge de vos \u00e9quipes informatiques et serez pr\u00eat pour une future expansion vers de nouveaux territoires ou l’entr\u00e9e en vigueur de nouvelles lois dans les r\u00e9gions o\u00f9 vous \u00eates d\u00e9j\u00e0 pr\u00e9sent.<\/p>\n NinjaOne propose une gamme d’outils de gestion informatique conformes au RGPD et au CCPA, au sein d’une plateforme MSP compl\u00e8te int\u00e9grant l’acc\u00e8s \u00e0 distance, la sauvegarde, la gestion des terminaux et des appareils mobiles, ainsi que des portails Helpdesk (service d’assistance). Nous sommes \u00e9galement conformes aux normes HIPAA et ISO 27001, \u00e0 la directive NIS 2 et \u00e0 d’autres cadres \u00e9mergents en mati\u00e8re de protection des donn\u00e9es et de s\u00e9curit\u00e9, et nous maintenons nos plateformes \u00e0 jour au fil des nouvelles exigences l\u00e9gales. Consultez ici notre pr\u00e9sentation compl\u00e8te en mati\u00e8re de conformit\u00e9 et de confiance<\/a>.<\/p>\nConformit\u00e9 au RGPD et au CCPA\u00a0: d\u00e9finition et enjeux<\/h2>\n
Ce qu’il faut pour garantir la conformit\u00e9 au RGPD et au CCPA<\/h2>\n
Les grandes cat\u00e9gories technologiques de la conformit\u00e9 en mati\u00e8re de protection des donn\u00e9es<\/h2>\n
\n
D\u00e9couverte et classification des donn\u00e9es<\/h2>\n
Gestion des identit\u00e9s et des acc\u00e8s (GIA)<\/h2>\n
Pr\u00e9vention des pertes de donn\u00e9es (DLP)<\/h2>\n
Chiffrement et gestion des cl\u00e9s<\/h2>\n
Gestion du consentement et des pr\u00e9f\u00e9rences<\/h2>\n
Automatisation des demandes d’exercice des droits (DSR\/SAR)<\/h2>\n
Journalisation, reporting et pistes d’audit<\/h2>\n
La conformit\u00e9 commence par vos outils de gestion informatique<\/h2>\n