GDPR : nouveau bug de l’an 2000 ou stratégie IT pour générer du business ?

Aujourd’hui nous avons GDPR, le Règlement général de l'UE sur la protection des données, qui entre en vigueur le 25 mai 2018 – dans 12 mois seulement. Et une fois de plus, il y a une forte médiatisation autour de la réglementation et du montant des amendes. Mais si vous vous penchez attentivement sur GDPR, vous constaterez que cet engouement est justifié : la réglementation est très complète et détaillée, et ces amendes - estimées à 20 millions d'euros ou 4% des revenus annuels mondiaux - plutôt sévères ! Ce qui m'étonne, c'est que, contrairement au bug de l’an 2000, je n’ai pas le sentiment que les entreprises se mobilisent de la même manière pour s'assurer qu'elles ont atténué le risque de non-conformité. En réalité, les recherches que nous avons menées montrent que 54% des organisations n'ont même pas encore commencé à se préparer pour GDPR. De son côté, Gartner prédit que les choses n’iront pas en s’arrangeant une fois la réglementation en vigueur : 50% des entreprises concernées par GDPR ne seront pas pleinement conformes d'ici la fin 2018.

Alors, pourquoi ce manque d’initiative ? Deux raisons me viennent à l’esprit :
Tout d'abord, alors que l'arrivée du 1er janvier 2000 était certaine, la manière dont les régulateurs de l'UE appliqueront la nouvelle réglementation est, elle, beaucoup moins assurée. Quand les pénalités peuvent être lourdes sur le papier, le risque en pratique est, lui, encore inconnu.
Deuxièmement, les organisations semblent avoir du mal à comprendre la réglementation et à déterminer les actions concrètes qu'elles doivent entreprendre pour être en conformité.

Sur la base de l'analyse de Veritas sur les critères du règlement GDPR, il y a cinq points clés à garder à l’esprit :

1. Peu importe où votre entreprise est située et où les données sont conservées, si vous manipulez ou stockez des informations personnelles sur les citoyens de l'UE ou résidant dans l'UE, vous devez être conforme à GDPR.

2. Vous êtes responsable des données personnelles que vous détenez et vous devez être en mesure de démontrer que vous avez les bonnes méthodes de gouvernance en place pour respecter le règlement.

3. Les individus ont ce qu’on appelle le « droit à l’oubli » - Autrement dit la possibilité de demander la suppression ou le retrait de données personnelles lorsqu'il n'y a aucune raison particulière de les conserver. Et pour se conformer à cela, vous devez être en mesure de trouver toutes les informations en lien avec ces données sur simple demande, afin que vous puissiez soit les supprimer, soit prouver qu'il existe une raison probante de les conserver.

4. Limiter l’accumulation de données - les données personnelles ne peuvent être conservées plus longtemps que ce pour quoi elles ont été recueillies.

5. Si vous avez une faille de sécurité qui entraîne la perte de données personnelles, vous devez la signaler à l'autorité de protection des données compétente (la CNIL en France) dans les 72 heures qui suivent l’incident.

Voilà les principaux fondements de la réglementation. Mais que doivent faire les organisations pour devenir conformes ? Veritas a identifié 5 étapes clés que vous devez vous assurer de mettre en place :

1. Localiser - la première étape critique dans le respect de GDPR est une compréhension globale de l'emplacement de toutes les données personnelles détenues par votre entreprise. La mise en place d’une cartographie situant l'emplacement des données, de leur accès, de la durée de leur stockage et de leur déplacement, est essentielle pour comprendre comment votre entreprise traite et gère les données personnelles.

2. Rechercher - Les résidents de l'UE peuvent maintenant avoir de la visibilité sur l'ensemble de leurs données personnelles en demandant un droit d'accès. Ils peuvent également exiger que les données soient corrigées (si elles sont inexactes), exportées (à un format d'exportation approprié) ou supprimées. S'assurer que votre organisation peut traiter ces demandes en temps voulu est capital pour éviter les pénalités.

3. Réduire - La minimisation des données, l'un des principaux fondements de GDPR, est conçue pour garantir une réduction du nombre total de données personnelles stockées par les entreprises. L’objectif est de garder uniquement les données personnelles le temps nécessaire pour lequel elles ont été recueillies. Le déploiement et l'application des politiques de conservation amenant automatiquement les données à expiration au fil du temps constituent la clé de voûte d’une stratégie GDPR réussie.

4. Protéger - Avec GDPR, les organisations ont l'obligation de mettre en place des mesures techniques et organisationnelles pour montrer qu'elles ont bien considéré et intégré la protection des données dans toutes les activités de collecte et de traitement.

5. Monitorer - GDPR impose aux entreprises de signaler certains types de violations de données à l'autorité de surveillance concernée et, dans certains cas, aux personnes concernées. Les organisations doivent disposer des fonctionnalités permettant de surveiller les éventuelles failles de sécurité - telles que des modèles d'accès à des fichiers inattendus ou inhabituels - et de déclencher rapidement les procédures d’alerte.


Si toutes les organisations concernées par GDPR s’assurent d’avoir bien appliqué ces 5 étapes clés au sein de leurs environnements informatiques, nous pouvons être sûrs que le 25 mai 2018 aura aussi peu d'impact que le bug de l’an 2000 n’en a eu il y a de nombreuses années.

Et vous, que pensez-vous de GDPR ? Etes-vous prêts ?