Guide du règlement général sur la protection des données
La vie privée et la protection des données sont revenues sur le devant de la scène au cours de l’année écoulée, dans un contexte technologique de plus en plus complexe. Au sein de l’Union européenne, des discussions ont eu lieu sur la nécessité d’un « RGPD 2.0 », alors que le cloud et l’intelligence artificielle posent leurs propres défis en matière de vie privée, allant des modèles de responsabilité partagée au traitement des données biométriques en passant par l’utilisation de la reconnaissance faciale.
Qu’est-ce donc que le RGPD, ou Règlement général sur la protection des données ? Quel est son champ d’application, et peut-il apporter des réponses aux défis actuels, 12 ans après sa rédaction initiale ? Examinons l’objectif et les conditions à remplir pour garantir la conformité de cette législation, ainsi que la manière dont vous pouvez garantir sa conformité grâce à votre stratégie de protection des données.
Qu’est-ce que le RGPD ?
Le Règlement général sur la protection des données (RGPD) est une loi sur la protection des données qui régit la manière dont les organisations collectent, stockent, traitent et partagent les données à caractère personnel des citoyens de l’Union européenne. Le RGPD est entré en vigueur le 25 mai 2018. Il s’appuie sur l’article 8 de la Charte des droits fondamentaux de l’Union européenne relatif à la protection des données à caractère personnel et repose sur le « consentement librement donné » comme base juridique pour le traitement des données à caractère personnel.
Ce règlement vise à harmoniser les réglementations en matière de protection des données dans toute l’Union européenne et à protéger les droits à la vie privée des citoyens de l’UE, quel que soit l’emplacement géographique de l’organisation traitant les données à caractère personnel.
Les grands principes du RGPD
Le Règlement général sur la protection des données s’articule autour de sept principes clés qui régissent le traitement licite des données à caractère personnel. Ces principes ne sont pas de simples lignes directrices : ils sont juridiquement contraignants et essentiels au respect du RGPD. Ils exigent des organisations qu’elles prennent en compte la protection de la vie privée à chaque étape du traitement des données, depuis la collecte initiale jusqu’à leur suppression ou leur destruction définitive.
- Légalité, loyauté et transparence. Le traitement des données à caractère personnel doit reposer sur une base légale, ne doit pas induire en erreur ni porter préjudice aux personnes concernées, et doit être clair et transparent vis-à-vis de ces dernières quant à la manière dont leurs données sont utilisées et traitées.
- Limitation de la finalité . Les données doivent être collectées pour des raisons spécifiques, claires, explicites et licites, et leur utilisation ne peut être incompatible avec la finalité initiale.
- Minimisation des données . Les données collectées et traitées doivent se limiter à ce qui est indispensable à la finalité prévue.
- Exactitude . Les données à caractère personnel doivent être exactes et, si nécessaire, tenues à jour. Les données inexactes doivent être rectifiées ou effacées sans retard.
- Limitation du stockage . Les données à caractère personnel ne doivent être conservées que sous une forme permettant d’identifier les personnes concernées, et ce pendant la durée nécessaire à la réalisation de la finalité prévue.
- Intégrité et confidentialité (sécurité). Le traitement des données à caractère personnel doit s’accompagner de mesures de sécurité appropriées afin de les protéger contre tout traitement non autorisé ou illicite et contre toute atteinte.
- Responsabilité . Les organisations doivent être en mesure d’appliquer les politiques et procédures nécessaires pour se conformer au RGPD et de démontrer qu’elles l’ont effectivement fait lorsqu’on le leur demande.
Définitions et terminologie du RGPD
Vous trouverez ci-dessous un bref glossaire reprenant les termes clés et les définitions du RGPD : Les données à caractère personnel désignent toute information se rapportant à une personne physique, c’est-à-dire une personne concernée , qui peut être identifiée directement ou indirectement, par exemple au moyen de son nom, d’un numéro d’identification, de sa localisation ou d’autres identifiants liés à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
Le consentement est toute indication « libre, spécifique, éclairée et univoque » par laquelle la personne concernée donne son accord au traitement de ses données à caractère personnel aux fins indiquées.
Le responsable du traitement est une personne physique ou une organisation chargée de veiller au respect des principes du RGPD et qui détermine les finalités et les moyens du traitement des données à caractère personnel. Il s’agit de la partie que les personnes concernées souhaitant exercer leurs droits doivent contacter. Toutefois, le traitement effectif des données peut être délégué à une autre personne physique ou organisation, c’est-à-dire au sous-traitant .
Le sous-traitant est une personne physique ou une organisation qui traite des données à caractère personnel pour le compte du responsable du traitement . Cette partie est soumise aux instructions du responsable du traitement .
La personne concernée est une personne physique qui consent au traitement de ses données à caractère personnel par un responsable du traitement ou un sous-traitant .
Le traitement désigne toute opération effectuée sur des données à caractère personnel, telle que la collecte, l’enregistrement, la structuration, le stockage, la modification, la divulgation, la diffusion, l’effacement et la destruction, ainsi que d’autres opérations couvertes par le RGPD.
Le droit d’accès est le droit d’une personne concernée d’obtenir gratuitement du responsable du traitement , dans un délai d’un mois à compter de la réception d’une telle demande, des informations sur ses données à caractère personnel, la manière dont elles sont traitées, les finalités du traitement, etc.
Exigences et défis liés à la conformité au RGPD
Le RGPD a posé les fondements de normes solides en matière de protection des données. Toutefois, la nature évolutive de la technologie introduit des complexités et met de plus en plus à l’épreuve les principes fondamentaux qui sous-tendent la réglementation de l’UE en matière de protection de la vie privée.
Qui doit se conformer au RGPD ?
Dans l’UE. Toute organisation qui traite les données à caractère personnel de personnes dans l’UE est soumise au RGPD. Cela inclut les entreprises publiques et privées, les administrations, les organismes de bienfaisance et d’autres organisations à but non lucratif.
En dehors de l’UE. Le RGPD s’étend au-delà des frontières de l’UE à toute organisation qui fournit des biens ou des services à des citoyens de l’UE ou qui observe leur comportement au sein de l’UE. Cela signifie qu’une entreprise, où qu’elle soit implantée dans le monde, doit se conformer au RGPD si elle traite les données de résidents de l’UE.
Les entreprises mondiales du secteur de l’Internet et des technologies , y compris les plateformes de réseaux sociaux, qui comptent des utilisateurs dans l’UE sont tenues de se conformer au RGPD.
Fournisseurs de technologies et responsabilité partagée
Avec la prolifération des plateformes Saas, IaaS, Paas et autres fournissant des ressources et des services informatiques via Internet, le rôle des fournisseurs de technologies et des sous-traitants traitant des données à caractère personnel entre en jeu dans la conformité au RGPD. Si une organisation utilise des services ou des plateformes tiers pour traiter ou stocker des données à caractère personnel, ces fournisseurs doivent également se conformer au RGPD.
Il convient de noter que la plupart de ces services reposent sur un modèle de responsabilité partagée selon lequel :
- Les organisations sont responsables de leurs données en tant que propriétaires de celles-ci et, selon le type de service, peuvent être responsables des applications et/ou des systèmes d’exploitation
- Les fournisseurs sont responsables des serveurs, du stockage, des réseaux, des emplacements physiques, etc.
En vertu du RGPD, les organisations sont chargées d’obtenir le consentement et de veiller à ce que les données soient utilisées aux fins prévues. Elles doivent également s’assurer que les fournisseurs auxquels elles confient le traitement des données à caractère personnel le font dans le respect du règlement.
Certains des défis posés par le cloud computing en matière de données privées concernent :
- les fuites potentielles d’informations sensibles
- le contrôle des flux de données entre les juridictions
- la garantie que les fournisseurs tiers respectent les mêmes engagements en matière de confidentialité que ceux pris envers les personnes concernées
- la mise en œuvre efficace des politiques de conservation
- la gestion des violations de données à caractère personnel
- la gestion des risques en général
le RGPD et l’IA
La Loi de l’UE sur l’intelligence artificielle, première loi au monde réglementant l’IA, devrait entrer en vigueur en 2025 afin de répondre à certains des nouveaux défis liés aux droits à la vie privée des citoyens de l’UE. Il est toutefois important de comprendre dès aujourd’hui certains des défis auxquels sont confrontées les organisations qui s’appuient sur l’IA pour traiter des données à caractère personnel :
- Minimisation des données et limitation de la finalité. L’IA pose un défi aux responsables du traitement des données, qui doivent limiter la collecte de données au strict nécessaire et à une finalité spécifique.
- Transferts transfrontaliers de données. L’IA et les technologies basées sur les données opèrent souvent au-delà des frontières. Cela peut nécessiter la mise en place de contrôles plus stricts afin de garantir la conformité au RGPD.
- Prise de décision automatisée et profilage. L’IA comporte le risque que des décisions soient prises sans intervention humaine sur la base du traitement de données à caractère personnel, ce qui inclut le profilage. Cette utilisation des données à caractère personnel est très strictement encadrée par le RGPD.
Principales conditions à remplir pour la conformité au RGPD
Pour les organisations tenues de se conformer au RGPD, voici les conditions à remplir :
- Mesures de protection des données . Les organisations doivent mettre en œuvre des solutions et des mesures solides de protection des données, notamment le chiffrement des données, le stockage sécurisé des données et des audits de sécurité réguliers. Cela implique également de prendre en compte les implications du RGPD lors de l’adoption de nouvelles technologies telles que l’IA, le cloud computing et l’analyse du big data.
- Gestion du consentement . Les organisations doivent disposer d’une politique claire pour obtenir un consentement explicite, éclairé et librement donné avant de traiter des données à caractère personnel. Cela implique également de mettre en place des mécanismes clairs pour la gestion du cycle de vie des données à caractère personnel.
- Registres de traitement des données . Il est obligatoire de tenir des registres détaillés des activités de traitement des données, indiquant quelles données sont collectées, à quelles fins, et comment elles sont traitées et protégées.
- Délégué à la protection des données . Certains types d’organisations peuvent être amenées à nommer un délégué à la protection des données pour veiller au respect du RGPD, en particulier si elles traitent des données sensibles à grande échelle.
Comment se conformer aux conditions à remplir pour le RGPD
Se conformer aux conditions à remplir pour le RGPD n’est pas un effort ponctuel, mais un processus continu d’évaluation et de surveillance. Les organisations doivent mettre en œuvre un ensemble complet de mesures couvrant le traitement des données à caractère personnel, la protection des données et la récupération des données, ainsi que la sécurité :
- Comprendre et cartographier les données . Réalisez un audit approfondi pour comprendre quelles données à caractère personnel sont collectées, pourquoi elles le sont, comment elles sont traitées, où elles sont stockées et comment elles sont partagées. Créez une cartographie des flux de données pour suivre le parcours des données à caractère personnel au sein de l’organisation. Cela permet d’identifier les zones de risque.
- Garantir une base légale pour le traitement . Déterminez la base légale du traitement des données à caractère personnel, telle que le consentement, le contrat, l’obligation légale, les intérêts vitaux, la mission d’intérêt public ou les intérêts légitimes. Si vous vous appuyez sur le consentement, veillez à ce qu’il soit « librement donné, spécifique, éclairé et sans ambiguïté ». Les mécanismes de consentement doivent être faciles à comprendre et inclure la possibilité de retirer facilement son consentement.
- Mettre en œuvre des stratégies de protection des données . Élaborez ou mettez à jour les stratégies et procédures internes de protection des données afin de garantir la conformité au RGPD. Intégrez la protection des données par défaut et dès la conception dans tous les processus métier, systèmes et services impliquant des données à caractère personnel.
- Réduire au minimum le traitement des données. Veiller à ce que seules les données nécessaires à chaque finalité spécifique soient traitées et que l’accès aux données à caractère personnel soit limité aux personnes qui en ont besoin.
- Conservation des données. Le RGPD exige des organisations qu’elles évaluent de manière critique et gèrent la durée de conservation des données à caractère personnel, en veillant à ce que celles-ci ne soient pas conservées plus longtemps que nécessaire. Cela nécessite une approche proactive de la gestion des données, avec des politiques claires, des révisions régulières et des processus efficaces de suppression ou d’anonymisation des données, tout en conciliant la conformité au RGPD avec d’autres conditions à remplir en matière de conservation.
- Faciliter l’exercice des droits des personnes concernées . Mettre en place des procédures permettant de répondre aux droits des personnes concernées, notamment les demandes d’accès aux données, de rectification, d’effacement, de portabilité des données et d’opposition au traitement.
- Prévoir des mesures de réponse et de notification en cas de violation de données . Élaborer et mettre en œuvre un plan de réponse aux incidents solide, comprenant un plan de réponse aux violations de données. Soyez prêt à notifier l’autorité de contrôle compétente dans les 72 heures suivant la prise de connaissance d’une violation de données et, dans certains cas, à informer les personnes concernées.
- Vérifiez la conformité de la gestion des fournisseurs et des sous-traitants . Assurez-vous que tous les fournisseurs tiers ou sous-traitants qui traitent les données à caractère personnel de votre organisation respectent également le RGPD.
- Effectuez une évaluation continue . Réalisez régulièrement des audits des activités de traitement des données et revoyez vos politiques afin de garantir une conformité permanente au RGPD.
- Prêtez attention aux transferts internationaux . En cas de transfert de données en dehors de l’EEE, assurez-vous que des mesures de protection adéquates sont en place, notamment des clauses contractuelles types (SCC), ou que vous respectez une décision d’adéquation de la Commission européenne.
- Conservez les registres et la documentation . Tenir des registres complets des activités de traitement des données, y compris la finalité du traitement, les catégories de données et les destinataires des données.
RGPD et protection des données
En matière de sauvegarde des données et de reprise après sinistre, les organisations doivent mettre en œuvre des processus de sauvegarde sécurisés afin de protéger les données à caractère personnel et de garantir Conformité au RGPD. Cela implique notamment le déploiement de protection des données et de solutions de reprise après sinistre intégrant les fonctionnalités suivantes :
- Chiffrement des données sauvegardées dans le référentiel de stockage (au repos) et lors de leur transfert (en transit). Choisissez des solutions qui vous permettent de mettre en œuvre des normes de chiffrement robustes afin de rendre les données de sauvegarde illisibles pour les personnes non autorisées, même en cas de faille de sécurité en matière de sécurité.
- Contrôles d’accès et authentification . Configurez le Contrôle d’accès basé sur les rôles (RBAC) pour limiter l’accès aux données à caractère personnel, ainsi que l’authentification multifactorielle (MFA) pour renforcer la sécurité avant d’accorder l’accès.
- Minimisation des données et limitation du stockage . L’un des principes fondamentaux du Règlement général sur la protection des données est la limitation de la durée de conservation, qui a un impact direct sur les politiques de conservation des sauvegardes. Assurez-vous que les solutions de sauvegarde offrent suffisamment de flexibilité pour créer différents calendriers et politiques de conservation pour les différents niveaux de données.
- Emplacement des données de sauvegarde dans le cloud. Sachez où les données de sauvegarde sont stockées et choisissez les régions en fonction du type de données à caractère personnel traitées.
- Contrôles réguliers de l’intégrité des données de sauvegarde . Effectuez des sauvegardes régulières pour garantir l’intégrité des données à caractère personnel et mettez en œuvre des mesures pour tester la récupération des données.
- Gestion des fournisseurs et des tiers / conformité . Assurez-vous que les plateformes de stockage tierces et autres plateformes intégrées à votre solution de sauvegarde offrent l’éventail de fonctionnalités adéquat pour vous permettre de contrôler comment et où les données sont stockées.
Protection des données avec NAKIVO
NAKIVO Backup & Replication est une solution de protection des données offrant la combinaison idéale de fonctionnalités de sauvegarde, de reprise après sinistre et de sécurité, destinée aux organisations traitant des données à caractère personnel. Vous pouvez protéger vos applications et vos systèmes dans des environnements virtuels, physiques, cloud et Saas, tout en garantissant la conformité aux conditions à remplir pour le RGPD grâce à des fonctionnalités telles que le chiffrement au repos et en transit, la planification et l’automatisation des sauvegardes, des paramètres de conservation flexibles, la vérification des sauvegardes, etc.
