GDPR et Privacy Shield : des règles plus strictes pour les données

Ne parlons plus de Safe Harbor, il a été remplacé par le Privacy Shield validé le 12 juillet dernier par la commission européenne. Pour rappel, le Privacy Shield est destiné à sécuriser le transfert de données personnelles des citoyens européens vers les Etats-Unis. « Le Privacy Shield n’a pas grand intérêt, c’est juste une nouvelle version de Safe Harbor », tance Stéphanie Buscayret, responsable sécurité du système d'information pour le groupe d’aéronautique Latécoère. Ce nouveau cadre juridique est effectivement loin de faire l’unanimité. Le parlement européen, dans son ensemble, la CNIL et plusieurs associations pointent le manque de cadre juridique notamment sur l'accès des autorités publiques aux données transférées vers les Etats-Unis. En effet, selon les autorités nationales de protection des données (comme la CNIL en France), les garanties ne sont pas assez strictes concernant l'indépendance et les pouvoirs du médiateur américain (sera-t-il vraiment indépendant des services de renseignement ?) et le manque d’assurances concrètes sur la collection en masse et systématique de données personnelles.

Enfin, sur les aspects commerciaux, les associations regrettent le manque de règles spécifiques sur les décisions basées sur un traitement automatisé des données et l'absence d'un droit général d'opposition. Le Privacy Shield passera-t-il l’année 2017 ? Pas si sûr… Déjà, des recours ont été déposés auprès de la justice européenne en septembre 2016 par des groupes lobbyistes notamment par le Digital Right Ireland et quelques associations françaises soutenues par UFC-Que Choisir. Leur objectif est d’annuler ce texte comme l’avait fait la justice européenne pour le Safe Harbor l’autrichien suite à l’origine de la plainte de Max Schrems, un étudiant autrichien contre Facebook sur la détention de ses données personnelles.

Les BCR toujours opérationnels

Il faut bien comprendre que l’approche culturelle sur les données personnelles n’est pas la même entre l’Europe et les Etats-Unis. Si celle de l’Europe est de conserver une certaine liberté de l’individu par rapport à ses données, celle des Etats-Unis, à l’inverse, est bien de faire du business avec ces données. Ces dernières représentent une manne financière comme l’est le pétrole en quelque sorte. En attendant le résultat de ces poursuites judiciaires, pour transférer leurs données personnelles vers un pays tiers, les acteurs peuvent toujours recourir aux BCR (Binding Corporate Rules ou Règles Internes d'Entreprise) et aux clauses types (SCCs), dont l’utilisation n’a pas été remise en cause par le Privacy Shield. Bien sûr, ces BCR doivent être validées par la Commission Nationale de l’Informatique et des Libertés (CNIL) qui évalue leur contenu et s’assure qu’elles offrent un niveau de protection suffisant. « Chez Symantec, nous attendons effectivement de voir comment va évoluer le Privacy Shield et nous utilisons toujours les BCR », indique Laurent Heslault, directeur des stratégies de sécurité chez Symantec.

Privacy Shield ou pas, lors de nos matinées débats (www.it-tour.fr) avec les DSI et RSSI en région, nous avons pu constater que de nombreuses entreprises étaient déjà très attentives à la localisation de leurs données qu’elles soient personnelles ou professionnelles ; elles privilégient, en effet, les fournisseurs qui disposent de datacenters en France et en Europe. De plus, une certaine attention est apportée au contrat de service Cloud avec le fournisseur par les décideurs IT qui insistent, via une gouvernance (lorsqu’elle est présente), sur le fait que leurs contrats et leurs logiciels ne soient pas divulgués par des tiers hors d’Europe. D’ailleurs, les fournisseurs américains de services Cloud sont toujours plus nombreux à bâtir des datacenters en Europe à l’image de Box, d’IBM ou de Microsoft.

« Cela dit, si aujourd’hui, vous avez de nombreux fournisseurs qui construisent des datacenters en Europe, c’est d’abord pour contrer les problèmes juridiques liés à la localisation des données », conclut Candice Liebaert, directrice juridique chez Insight France.

« Pour la petite anecdote, nous avions pris un RDV avec un grand client pour discuter de GDPR (ou General Data Protection Regulation) et ils nous ont répondu : c’est votre nouveau produit ? », s’amuse à raconter Laurent Heslault, directeur des stratégies de sécurité chez Symantec. En effet, sur le terrain, lors de nos matinées débats auprès des décideurs IT en région, nous avons également pu constater que pour de très nombreuses entreprises, le GDPR, obligatoire dès 2018, n’est pas forcément connu ou pris en compte. Mais qu’est-ce que le GDPR ou RGPD en français (Règlement général sur la protection des données) ? C’est le nouveau texte européen, un de plus adopté en avril dernier par le parlement européen, qui fera office de référence en matière de protection des données à caractère personnel. Il faut dire que les français sont très inquiets sur leurs données personnelles. Selon une récente étude réalisée par le cabinet Wavestone et dévoilée lors du Forum International de la Cybercriminalité (FIC) 2017, 66% des français jugent n’avoir qu’un contrôle partiel sur leurs informations personnelles malgré les différentes lois en vigueur.

Des obligations à respecter

Revenons au GDPR qui comprend des dizaines d’articles entrainant plus d’obligations juridiques que techniques à suivre pour les entreprises comme la protection des données personnelles collectées, leur chiffrement, l’analyse d’impact pour identifier les traitements susceptibles de présenter des risques particuliers pour les droits et libertés des personnes concernées, sans oublier la tenue du registre des traitements ou encore la preuve du respect des exigences. Mais le GDPR devrait également imposer (voir interview de Candice Liebaert, directrice juridique chez Insight France) la désignation d’un DPO (Data Protection Officer) interne ou externe, un rôle qui peut être tenu, pourquoi pas, par un DSI, un RSSI après avoir été formé sur les aspects juridiques du texte et certifié via une formation labélisée par la CNIL. Le RSSI est potentiellement le mieux placé pour devenir un futur DPO puisqu’il est déjà sensibilisé sur le sujet de la conformité réglementaire.

« Le DPO est le garant de la conformité mais je ne pense pas qu’un DSI ou qu’un RSSI devienne un DPO, les rares DPO que nous avons rencontrés travaillent au service juridique. Je vois plus les DSI et les RSSI comme des compléments clés », souligne Laurent Heslault. Et d’ajouter : « Je tiens à rajouter que pour les petites et moyennes entreprises qui n’ont pas les moyens d’avoir un DPO interne, le texte autorise à faire appel à des DPO à temps partiel, un modèle similaire aux cabinets d’experts-comptables ». Il faut savoir qu’en cas de non-respect des règles du GDPR, des sanctions peuvent être infligées aux entreprises. « Toute entreprise qui enfreint cette réglementation s’expose à des amendes pouvant atteindre 4 % de son chiffre d’affaires mondial, jusqu’à un montant maximal de 20 millions d’euros, soit une ampleur de nature à l’acculer à la faillite. Il est donc vital pour les entreprises de commencer à se mettre en conformité dès à présent », précise Cheryl O’Neill, directrice marketing produits chez Imperva.

Des changements mineurs pour certains 

Toutes les entreprises sont concernées par ce nouveau règlement européen même celles qui n’ont pas forcément beaucoup de données personnelles à l’instar d’une société industrielle comme Latécoère spécialisée dans l’aéronautique. « L’impact du GDPR pour notre entreprise btob est quasiment nul, Latécoère gère cinq gros clients et, bien évidemment, les transactions ne s’effectuent pas par des RIB bancaires. Concernant les données personnelles de nos salariés qui candidatent à un poste en interne, l’effort est là aussi insignifiant puisque nous disposons déjà d’un dispositif de déclaration standardisé sous la forme d’un site sécurisé et hébergé. Notre dispositif répond déjà aux processus comme la collecte de données personnelles. Cela dit, depuis un mois, notre directeur juridique réalise un bilan afin de savoir ce que l’on doit changer. La note n’est pas encore sortie mais j’imagine que les changements seront mineurs », résume Stéphanie Buscayret, responsable sécurité du système d'information pour le groupe d’aéronautique Latécoère.

Pour d’autres entreprises, notamment dans le secteur du retail qui brasse énormément de données personnelles, le GDPR a un impact plus important. Toutefois, ces entreprises, pour la grande majorité, travaillent déjà avec la CNIL, via leur service juridique, sur la problématique des données personnelles afin d’être en conformité avec ces exigences. « Le juriste est le garant de cette conformité avec la CNIL, il fait ce travail de veille légale et en informe le DSI qui, de son côté, met ses processus et ses solutions technologiques en conformité pour respecter les obligations légales. Concernant le GDPR, je ne pense pas qu’il y a de gros changements à venir, du moins pour l’entreprise que je suis actuellement qui est déjà en conformité avec les obligations actuelles de la CNIL  », indique Olivier Cavrois, DSI à temps partagé chez Référence DSI, en poste chez un spécialiste de la vente à distance.

Les solutions technologies non impactées par le GDPR

Du côté des fournisseurs, Laurent Heslault, le porte-parole de chez Symantec, admet que les solutions et les technologies répondent déjà aux réglementations du GDPR. « Concrètement, le GDPR n’a pas d’impact sur les technologies des fournisseurs, ces dernières existent et sont matures. Chez Symantec, notre gamme de produits ne sera pas refondue avec l’arrivée du GDPR, nous allons éventuellement renommer notre outil de gestion de la conformité en GDPR. Il faut bien comprendre que la partie technologie répond pour un tiers lors de la mise en place d’un projet GDPR dans l’entreprise, le reste concerne la gouvernance, la conformité et les aspects juridiques. Le GDPR est un projet d’entreprise qui doit inclure tous les services. A ce titre, chez Symantec, nous travaillons sur une approche avec nos différents partenaires pour offrir, surtout aux PME, un guichet unique. De plus, nous avons créé un certain nombre de documents pour expliquer aux DSI le GDPR car chaque service voit ce texte sous un angle différent. Selon nous, la procédure à suivre se résume à quatre grandes étapes : l’inventaire des données personnelles, l’évaluation des conséquences, la mise en place d’une cyber résilience, la gestion des incidents et celle des conformités. »

Pour Cheryl O’Neill, l’une des premières actions à entreprendre pour les équipes informatiques est effectivement de réaliser un rapport d’audit des données. Cela nécessite de localiser toutes les données personnelles sensibles détenues par l’entreprise, ainsi que de documenter la façon dont elles sont collectées. Cette analyse détaillée doit être conservée à disposition pour les inspections réglementaires ou les audits de conformité. Or, l’un des principaux défis consiste à localiser ces données. Dans une grande entreprise, il ne suffit pas d’un simple appel au département informatique. C’est là un problème majeur posé par le GDPR et auquel toutes les entreprises doivent s’attaquer.

LMI : Constatez-vous une prise de conscience de la GDPR dans les entreprises ?

 Candice Liebaert : Nous constatons qu’il n’y a pas encore une vraie prise de conscience dans les entreprises, surtout par les PME car il n’existe pas de communication particulière. La GDPR est un texte juridique qui s’applique directement, il n’y a pas de loi de transposition immédiate. Dans la majorité des grands comptes qui dispose d’un service juridique, c’est déjà en ordre de marche. De plus, ces entreprises ont souvent les moyens de faire appel à des cabinets d’avocats pour comprendre le sujet. Les PME, pour celles qui possèdent d’un peu de budget, feront de même en se faisant accompagner par des cabinets de conseils et d’avocats.

La nomination d’un DPO est-elle obligatoire ?

S’il a bien été question lors des discussions du projet de règlement de rendre obligatoire la nomination d’un DPO, comme c’est actuellement le cas en Allemagne, le texte adopté dans sa version finale ne rend obligatoire la nomination d’un DPO que dans 3 cas spécifiques de l’article 37.1*. La nomination d’un DPO n’est donc pas, par essence, imposée à toutes les organisations. À moins qu'il ne soit évident qu'une organisation ne soit pas tenue de désigner un DPO, le G29 recommande aux entreprises de documenter l'analyse interne effectuée pour déterminer si un DPO doit être nommé, afin de pouvoir démontrer que les éléments pertinents ont été pris correctement en compte. Le G29 a par ailleurs précisé dans ses guidelines rendues en décembre dernier la portée de ces cas spécifiques (définition d’activités de base). Il ne faut toutefois pas omettre que le droit de l’Union Européenne ou des Etats membres pourra cependant exiger de nommer obligatoirement un DPO dans d’autre cas. En outre, il reste possible de nommer un DPO sur une base volontaire, ce qui confirmerait la bonne volonté de l’entreprise en la matière, et notamment en lien avec le principe d’« accountability ». Le G29 encourage bien sûr ces nominations volontaires.

Le GDPR ajoute-t-il un travail administratif supplémentaire pour les entreprises ?

Jusqu’à maintenant, pour tout ce qui concernait les données personnelles, les entreprises devaient faire une déclaration à la CNIL. Désormais, elles se doivent surtout de tenir des registres qui ne demandent pas forcément plus de processus.

Quel est et sera le rôle d’Insight par rapport au GDPR ?

Insight travaille depuis un an avec des cabinets d’avocats sur le GDPR. Notre rôle est déjà d’orienter nos clients vers ces cabinets d’avocats. Bien sûr, notre rôle est aussi d’expliquer ce qu’est le GDPR en adaptant notre discours aux différents décideurs. Nous éditons des newsletters, nous organisons des événements clients et nous dispensons des formations à nos commerciaux pour les sensibiliser au GDPR et bien sûr à la protection des données personnelles.

Quel est votre point de vue sur le Privacy Shield ?

Le Privacy Shield est un Safe Harbor amélioré qui n’apporte pas beaucoup de changements. Avec les différents recours en cours, je ne serai d’ailleurs pas surprise qu’il ne finisse pas par disparaître comme son prédécesseur. 

* Article 37 : Désignation du délégué à la protection des données

1. Le responsable du traitement et le sous-traitant désignent en tout état de cause un délégué à la protection des données lorsque :

C’est à l’été dernier que sont entrés en vigueur les critères d’exécution des mesures de cybersécurité proposés par l’Anssi et signés par le premier ministre pour les OIV (Opérateur d’importance vitale). L’Anssi avait donc publié le 23 juin dernier les premiers arrêtés qui contiennent des règles et qui concernent déjà 3 secteurs d’activités : produits de santé, gestion de l’eau et alimentation. L’entrée en vigueur de ces premiers arrêtés était effective au 1^er juillet 2016. A noter que les arrêtés manquants devraient être publiés d’ici au premier trimestre 2017. En France, plus de 200 opérateurs publics ou privés, dont les activités sont indispensables au bon fonctionnement du pays, sont classés OIV. Aucun nom d’entreprise ne peut être cité puisque l’OIV est par définition anonyme, toutefois les entreprises liées au secteur de l’énergie (eau, nucléaire, etc.), à certaines industries, à l’armée en passant par la santé et la finance sont et seront les premières concernées.

La mission de l’Anssi est donc d’accompagner ces opérateurs d’importance vitale dans la sécurisation de leurs systèmes d’information sensibles et d’éviter qu’une cyber attaque de grande ampleur, qu’a connu TV5 Monde en 2015, ne se reproduise, une attaque qui, rappelons-le, a coûté plusieurs millions d’euros.

Les OIV devront donc intégrer des logiciels ou matériels qualifiés et recommandés par l’Anssi, déclarer à l’Anssi leurs incidents de sécurité ainsi que leur liste de Systèmes d'Information d'Importance Vitale (SIIV), communiquer les coordonnées de leur service de permanence Systèmes de Sécurité Incendie (SSI) et être conformes aux 20 règles de sécurité concernant la gouvernance, la maîtrise des risques et des SI, la protection des systèmes et la gestion de crise en cas d'attaques informatiques majeures. En cas de non-respect de ces règles, les OIV peuvent être sanctionnés d’une amende pouvant atteindre les 150 000 €.

Des RSSI prudents

Même si leur entreprise n’est pas forcément certifiée OIV pour le moment, certains RSSI, que nous avons interviewés, regrettent déjà que l’Anssi s’impose comme un organisme régalien qui fait la loi. D’ailleurs, les discussions dans les groupes de travail ont souvent été animées, ce qui explique aussi le retard dans la publication des arrêtés. A la base, les décideurs, surtout des PME industrielles sensibles, ne remettent pas en cause l’idée de protéger le patrimoine mais ils s’estiment déjà suffisamment sensibilisés et n’ont pas attendu les décisions de l’Anssi pour le faire. De plus, les règles imposées par l’Anssi peuvent coûter très chères pour certaines PME qui n’ont pas les budgets de sécurité équivalents aux grands comptes qui peuvent anticiper sur ces nouvelles contraintes à venir. D’autre part, ces règles peuvent potentiellement créer un handicap économique concurrentiel lors d’appels d’offres par rapport à des acteurs étrangers non concernés par ces mesures de l’Anssi. Même si la volonté de l’Anssi est d’aller vers une Europe de la cybersécurité.

Pour toutes ces raisons, certains RSSI attendaient plus un dialogue et une méthode de travail basée sur l’audit, l’écoute et le partage des pratiques de sécurité que la loi, la sanction, sans oublier les contraintes administratives. Reste que l’entretien au Journal du Dimanche du ministre de la Défense Jean-Yves Le Drian, le 8 janvier dernier, conforte la position de l’Anssi. En effet, le ministre a indiqué qu’en 2016, 24 000 attaques externes ont été bloquées par les dispositifs de sécurité mis en place par le ministère de la Défense dont quelques centaines, plutôt élaborées, avaient de véritables intentions de nuire. Le risque sur les infrastructures civiles, étatiques et d'importance est bien réel.

Les prestataires des OIV seront aussi certifiés

Côté fournisseurs, ils approuvent ces décisions d’imposer des règles pour garantir, selon eux, un minimum de sécurité d’autant que les premiers arrêtés publiés laissent une certaine latitude aux OIV comme le choix des systèmes concernés par ces règles. Enfin, les prestataires des OIV respectent-ils les règles de l’Anssi ? Une chose est sûre, l’Anssi entame un long travail de certification de prestataires et publiera, au fur et à mesure, une liste de prestataires qualifiés sur son site web. De leur côté, les RSSI seront aussi très attentifs sur les produits recommandés par l’Anssi.