Pourquoi le RGPD est l’opportunité de mettre en place une vraie gouvernance de l’information

Par Marlène Cailleau

Les organisations sont encore nombreuses à exposer (laisser en accès libre en interne) leurs données sensibles (informations personnelles, données de santé, bancaires, identités, etc.). Et ce, alors que le RGPD fait foi depuis mai 2018, que les cybermenaces sont en constante augmentation et que la Cnil a annoncé que le temps de la tolérance touchait à sa fin et qu’elle allait désormais se montrer beaucoup plus stricte vis-à-vis des organisations qui tardent à se mettre en conformité.

Dans une récente étude, Varonis* rappelle justement qu’en moyenne, 22% des fichiers d’une organisation sont accessibles à l’ensemble des collaborateurs, et que dans plus de la moitié des entreprises, ce sont au moins 1 000 fichiers contenant des données sensibles qui sont laissés en accès libre à tous les collaborateurs.

Contrôle et destruction obligatoires

L’absence de contrôle et de purge exposent clairement ces fichiers sensibles. Toujours selon cette même étude, 87 % des organisations auraient même plus de 1 000 dossiers contenant des données sensibles dont elles n’ont plus l’utilité et 40 % compteraient plus de 1 000 utilisateurs autorisés à accéder au réseau, mais inactifs. Les habitudes en matière de protection des informations sensibles doivent donc changer. Et pour cela une prise de conscience est nécessaire. À moins qu’il ne faille un contrôle et une amende pour qu’enfin certaines organisations ne s’emparent du problème.

Des plaintes en hausse

Depuis mai 2018, les organisations sont pourtant sensibilisées à la protection des données à caractère personnel. D’ailleurs, la Cnil dans son rapport annuel indique que les plaintes qu’on lui a adressées ont considérablement augmenté (11 077 au total, +32% par rapport à 2017), tout comme les demandes d’information. Ces plaintes portent principalement sur la diffusion des données sur Internet et concernent le secteur marketing/commerce notamment la prospection par SMS et la publicité par e-mail. Non seulement les professionnels ont pris conscience de leurs obligations, mais surtout les particuliers ont exercé leurs droits.

Triple effet

Le RGPD est entré en vigueur 2018, à un moment où l’on assistait de manière concomitante à la montée en puissance de l’automatisation au sein des organisations (robotisation, processus dématérialisée et en temps réel, etc.), à la croissance du volume des données (liée à l’essor de la mobilité et de l’accès instantané à l’information) et à l’importance prise par la confidentialité de ces mêmes données (cybercriminalité oblige). Ce nouvel environnement impose une adaptation de la gestion de l’information.

Changement de paradigme

D’autant que les méthodes de travail aussi évoluent. Aujourd’hui, les organisations se recentrent sur leur coeur de métier. Elles ont de moins en moins de scrupules à externaliser toutes les opérations qui ne sont pas stratégiques et à automatiser certains processus métiers pour gagner en agilité et faciliter les prises de décision. Mais pour cela, il convient de définir et d’appliquer une politique de gouvernance globale. D’où l’importance de cartographier et de maîtriser les informations qui circulent dans l’organisation et de tout mettre en oeuvre pour les protéger, limiter leur exposition et éviter les failles de sécurité.

Le RGPD : une opportunité pour mieux gérer le cycle de vie des documents

Le RGPD peut donc être vu comme une opportunité. C’est d’ailleurs la recommandation d’Iron Mountain à ses clients, l’idée étant de s’appuyer sur ce règlement pour pousser les entreprises, dès l’intégration d’un document (ou dès sa réception, s’il n’est pas produit en interne), à associer à ce document une durée de vie et ensuite à l’éliminer pour ne pas que les serveurs soient submergés d’informations et de documents que l’entreprise ne serait plus dans l’obligation de conserver (voire, l’obligation de détruire).

L’e-mail, un sujet de plus en plus difficile à maîtriser

L’e-mail est justement dans le collimateur de cette nouvelle gestion de l’information et pose un vrai problème de maîtrise. D’une part, parce que les utilisateurs font face à un immense vrac numérique, et d’autre part, parce qu’ils ne maîtrisent pas les données incluses dans ces e-mails qui circulent à une vitesse vertigineuse. Les e-mails sont donc le plus souvent mal référencés, alors qu’ils exigent une analyse de chaque document et d’être rattachés à un dossier. Ils sont finalement mis de côté, mais conservés malgré tout et ce, alors qu’ils sont susceptibles de contenir énormément de données personnelles. Dans les organisations françaises, dans le doute on s’abstient et on conserve tout. Et c’est là, le problème.

De l’eau au moulin des archivistes

Il est important de comprendre qu’à partir du moment où l’on dispose d’un environnement, d’un logiciel, d’une solution ou d’une application qui embarque de la donnée personnelle, on est concerné par le RGPD. Sans compter qu’il n’y a pas que le RGPD qui fait foi. Derrière lui, il y a aussi la loi française, les lois européennes, les lois propres à chaque pays et tout un environnement réglementaire (par exemple le code des assurances) qui reste applicables. En échangeant avec Sonia Lieutier, responsable Documentation & Veille juridique chez Gecina, elle a confirmé que “Le RGPD n’est donc pas le seul dogme. Il ne fait d’ailleurs que s’appuyer la démarche initiée depuis longtemps par les archivistes, mais a largement contribué à la légitimer auprès des directions et des collaborateurs pour les sensibiliser aux documents (et aux données) qu’ils manipulent “.

Rappel des obligations

Le RGPD rend obligatoire, dans certains cas, la désignation d’un DPO qui peut être interne ou externe. La présence d’un “gardien du temple” est nécessaire pour répondre à toutes les questions de mise en conformité et de privacy-by-design par exemple. Il y a ensuite l’obligation de documenter procédures et liens contractuels, mais aussi de sécuriser la partie hébergement des données, d’être plus transparent à son sujet et de cartographier les données. Sachez également que dès que des données sortent du territoire européen, l’organisation est dans l’obligation de le déclarer. L’objectif étant, ensuite, de mettre tous les pare-feux autour de ces données pour sécuriser les flux.

Pas de privée sans sécurité

Je ne peux qu’insister sur le fait que, dès qu’une organisation collecte une donnée sur la vie privée d’une personne, que ce soit ses données de santé, ses données bancaires ou autres, elle entre dans le cadre du RGPD. L’organisation est du moins tenue de préserver la confidentialité de ces données. Or, il lui est impossible de sécuriser ces données si elle ne sait pas où elles sont. Sans maîtrise de la localisation, des lieux, des systèmes d’hébergement et des applicatifs (s’ils sont multiples), impossible d’assurer cette sécurité.