Pour toutes organisations, petites ou grandes, sécuriser ses données est capital. Cela se justifie facilement par plusieurs dispositions en droit commercial et droit du travail. Exemple : l’article L123-22* du Code du commerce impose de garder toutes documents comptables pendant 10 ans en cas de litiges. Cette obligation est depuis, confortée par l’article 121 de la Loi Informatique et libertés** puis, par l’article 32 du RGPD***.
Ainsi, toutes organisations doivent assurer la sécurité des données personnelles qu’elle collecte (données de clients, de fournisseurs, d’employés, etc.). De plus, pour garantir un niveau de sécurité adapté au risque, de nombreuses mesures techniques et organisationnelles sont nécessaires.
Force est de constater que certaines TPE, PME ou commerçants sauvegardent leurs données uniquement sur les disques durs internes de leur ordinateur. Éventuellement, elles effectuent une sauvegarde sur un disque dur externe… Que penser face à une telle inconscience ?
Sécuriser les données de votre organisation est certes capital et face aux cybers menaces qui concernent toutes organisations. En conséquence, mieux vaut les sécuriser avec les moyens adéquats.
1. Pourquoi sécuriser les données de votre organisation ?
Les données personnelles représentent une valeur stratégique pour les entreprises. Des acteurs malveillants le savent et cherchent à se les accaparer. Les violations de données, qu’elles résultent de cyberattaques, d’erreurs humaines ou de failles techniques, peuvent causer des dommages irréparables pour les personnes concernées : vol d’identité, fraude, ou encore atteinte à la vie privée. De plus, une violation des données peut affecter sérieusement la réputation d’une entreprise et entraîner des sanctions financières sévères.
De plus à terme, quand on observe l’évolution de notre société, des organisations pourraient subir une triple peine. D’une part, il faut remettre le système informatique en état et renforcer sa sécurité. Le tout en continuant l’activité. Si une organisation ne prévoit de plan de continuation d’activité ou de reprise d’activité, cela risque d’être compliqué.
D’autre part, le responsable de traitement doit informer la CNIL et les personnes concernées de la violation de données. La CNIL peut faire une enquête et sanctionner en cas d’insuffisance prouvée en matière de cybersécurité. Enfin, il ne serait pas surprenant dans le futur de voir émerger des actions de groupes contre le responsable de traitement. Elles pourront également concerner les sous-traitants impactés. Le but étant de réparer le préjudice subi. Il ne faut pas oublier que nous sommes dans une société en quête d’argent à tous les niveaux…
2. Comment sécuriser les données de votre organisation
Le RGPD impose une approche proactive et basée sur le risque, exigeant des mesures de sécurité proportionnées à la sensibilité des données traitées. Voici les grands principes définis par le règlement :
- Minimisation des données : Les entreprises doivent collecter uniquement les informations personnelles strictement nécessaires à leur activité. Cela réduit non seulement le volume de données à sécuriser, mais limite également les risques en cas de fuite.
- Confidentialité, intégrité et disponibilité des données. Les entreprises doivent garantir l’accès aux données personnelles à quelques personnes, une disponibilité constante et un état actualisé de ces données.
- Mesures techniques et organisationnelles. Le RGPD demande aux entreprises de mettre en place des outils de protection adaptés tels que le chiffrement, la pseudonymisation. A cela il convient d’ajouter des procédures internes pour minimiser les risques d’accès non autorisé ou de perte de données.
Que l’on soit une petite, une moyenne ou une grande organisation, la sécurisation des données concerne tout le monde. Aujourd’hui un disque externe ne suffit pas. D’ailleurs, il serait judicieux de le crypter. Il existe des logiciels tel que AX CRYPT pour le faire. Néanmoins, nous recommandons d’utiliser des solutions de back up sur le cloud et des serveurs internes. Un back up sera plus efficace pour sécuriser les données de votre organisation.
3. Les mesures de sécurité concrètes exigées par le RGPD
Bien que le RGPD ne donne pas une liste exhaustive de mesures à appliquer, il encourage l’utilisation de plusieurs pratiques reconnues pour garantir un niveau élevé de sécurité :
- Chiffrement des données : C’est l’un des moyens les plus efficaces pour protéger les informations sensibles. En cas de vol, les données chiffrées restent illisibles pour des tiers non autorisés.
- Pseudonymisation : Cette technique consiste à transformer les données personnelles de manière pour les attribuer à une personne sans informations supplémentaires.
- Prévoir un plan de sauvegarde et un plan de reprise d’activité avec des sauvegardes régulières. Un plan de reprise d’activité en cas de cyberattaque ou de catastrophe est également indispensable.
- Contrôle d’accès et gestion des mots de passe : Les organisations doivent restreindre l’accès aux données aux seules personnes autorisées et veiller à la sécurité des mots de passe (authentification à plusieurs facteurs, gestion centralisée des identités).
- Audit régulier de la sécurité : faire des tests réguliers pour identifier les vulnérabilités et s’assurer que les dispositifs de sécurité sont à jour face aux menaces émergentes.
Bien entendu, chacun a son niveau peut faire ce qu’il estime nécessaire. D’un point de vue financier, il faut voir les dépenses engagées comme un investissement pour la sauvegarde et la pérennité de votre organisation.
Plusieurs experts recommandent d’utiliser la méthode 3-2-1 (Trois sauvegardes de données ; deux types de sauvegardes différents, une sauvegarde hors site).
4. Le rôle du DPO (Délégué à la Protection des Données)
Le RGPD impose aux entreprises traitant des données à grande échelle de nommer un Délégué à la Protection des Données (DPO). Ce dernier joue un rôle clé dans la conformité au RGPD, notamment en matière de sécurité des données. Il conseille l’entreprise sur les meilleures pratiques en matière de protection des données. Également, il sensibilise les employés, et de veiller au respect des règles de confidentialité.
Un DPO externe peut aussi intervenir pour des petites structures.
D’ailleurs, d’un point de vue économique, je conseille à plusieurs entreprises de se regrouper et se structurer pour financer les honoraires du DPO. De plus, cela permet de mutualiser d’autres services en matière de cybersécurité…
5. Sanctions en cas de non-conformité
Le non-respect des obligations de sécurité peut entraîner de lourdes sanctions pour les entreprises. Le RGPD prévoit des amendes allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’entreprise. Le montant le plus élevé étant retenu. Outre les amendes, une violation de données peut gravement nuire à la réputation de l’entreprise. Ce qui peut provoquer une perte de confiance de la part des clients et des partenaires.
Depuis 2023, la CNIL a mis en place la procédure simplifiée. C’est une procédure écrite mise en place pour les affaire ne présentant pas de difficultés particulières. Dans la pratique, sa mise en œuvre concerne des TPE, des PME. Cela concerne souvent des manquements au RGPD qui ont une jurisprudence établie.
A l’issue de cette procédure, la CNIL peut prononcer l’une ou plusieurs des trois mesures suivantes :
- rappel à l’ordre ;
- injonction de mettre le traitement en conformité, y compris sous astreinte d’un montant maximal de 100 € par jour de retard ;
- amende administrative d’un montant maximal de 20 000 €.
Bien entendu, le Trésor Public recouvrent les amendes de la CNIL et les affectent au budget de l’État… Autant préserver votre trésorerie en étant en conformité et en faisant le nécessaire pour sécuriser les données de votre organisation!
6. Cas concrets et implications
En France, la CNIL est particulièrement vigilante. Elle a sanctionné des entreprises pour des manquements en matière de sécurité des données. Ces exemples montrent l’importance de se conformer aux exigences du RGPD et de mettre en place des mesures de protection adéquates.
Exemples en France en 2024 :
24/01/2024 la CNIL sanctionne d’une amende administrative de 20000 € dans le cadre d’une procédure simplifiée une société qui vend des produits pharmaceutiques en gros pour défaut
- De sécurité des données
- De coopération avec la CNIL
- De Registre des activités de traitement
- D’Obligation de recourir à des sous-traitants présentant des garanties suffisantes recrutés après autorisation du responsable de traitement
Le 30 janvier 2024 la CNIL sanctionne l’éditeur du site web pap.fr à une amende de 100 000 € pour plusieurs manquements au RGPD dont des défauts de sécurité (légèreté des mots de passe demandés et la conservation des données en base active. Pour en savoir plus : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000049128617
Conclusions
L’obligation de sécuriser les données de votre organisation selon le RGPD n’est pas qu’une contrainte réglementaire, C’est désormais nécessité pour protéger les individus et garantir la pérennité des entreprises. Une approche proactive, basée sur l’évaluation des risques et la mise en œuvre de mesures techniques et organisationnelles appropriées, permet de se conformer au RGPD. De plus, elle renforce la confiance des clients et de prévenir des dommages potentiels.
Face à l’évolution constante des cybermenaces, les entreprises doivent continuer d’adapter leurs pratiques de sécurité pour rester conformes et protégées.
Il convient de prendre en considération le financement de ces obligations comme des investissements pour l’avenir et non des charges.
SYSGUARD vous accompagne dans la mise en conformité quant au RGPD et la sécurisation de vos données. Nous vous proposons en fonction de votre organisation des mesures adéquates à un budget raisonnable pour la pérennité de votre organisation de votre commerce etc.
Besoin de se mettre en conformité quant au RGPD et ou de sécuriser votre informatique et vos données parlons en !
Annexes :
* Article L123-22 du Code du commerce (https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006219327/) : Les documents comptables sont établis en euros et en langue française.
Les documents comptables et les pièces justificatives sont conservés pendant dix ans.
Les documents comptables relatifs à l’enregistrement des opérations et à l’inventaire sont établis et tenus sans blanc ni altération d’aucune sorte, dans des conditions fixées par décret en Conseil d’Etat.
** Article 121 du loi informatique et liberté (https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037817729) : « Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. »
*** Article 32 du RGPD (https://www.privacy-regulation.eu/fr/32.htm) « Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque […]