L’entreprise doit protéger les données personnelles

L’Union européenne applique une poli­tique de pro­tec­tion des don­nées des plus rigoureuses

Nous sommes à tout moment amenés à fournir des don­nées per­son­nelles, par­fois con­fi­den­tielles, que ce soit volon­taire­ment ou non. Or, l’actualité présente de plus en plus de cas de sociétés con­fron­tées à des pertes de don­nées, ou encore à des trans­ferts d’informations per­son­nelles mal con­trôlés ; par ailleurs, des réseaux soci­aux invi­tent leurs abon­nés à fournir des don­nées sans néces­saire­ment leur don­ner les moyens de les retir­er ou, au min­i­mum, de les suiv­re. Face à cette sit­u­a­tion, quelle est la bonne réponse indi­vidu­elle et col­lec­tive ? Faut-il adopter la posi­tion du « laiss­er faire » pour la plus grande sat­is­fac­tion d’un Big Broth­er ? Faut-il être sus­picieux à la lim­ite de la para­noïa et ne rien fournir ? Dans cette chaîne de respon­s­abil­ités, qui doit faire quoi, quelles sont les respon­s­abil­ités respec­tives de l’individu et de l’entreprise ?

REPÈRES
La régle­men­ta­tion pro­tégeant les don­nées per­son­nelles se met en place et se ren­force dans de nom­breux pays. Les autorités de con­trôle et notam­ment la CNIL (Com­mis­sion nationale Infor­ma­tique et Lib­ertés) en France se mon­trent de plus en plus actives et les par­ti­c­uliers font davan­tage val­oir leurs droits. Dans ce paysage, l’entreprise joue un rôle essentiel.

Une situation contrastée

Le paysage inter­na­tion­al est pour le moins contrasté.

Un arse­nal complexe
La Direc­tive européenne 95/46/CE con­stitue le cadre juridique de la pro­tec­tion des don­nées per­son­nelles et lim­ite forte­ment l’accès à ces don­nées en dehors du périmètre de l’Union européenne, en inter­dis­ant les trans­ferts de ces don­nées hors de l’Union. Les évo­lu­tions pressen­ties de ce texte visent à encadr­er plus stricte­ment le traite­ment de don­nées per­son­nelles : oblig­a­tion de désig­na­tion d’un cor­re­spon­dant Infor­ma­tique et Lib­ertés, alour­disse­ment des sanc­tions, etc.

L’Union européenne applique une poli­tique de pro­tec­tion des don­nées con­sid­érée comme une des plus rigoureuses, or les entre­pris­es, notam­ment les multi­na­tionales, vivent con­stam­ment des sit­u­a­tions incom­pat­i­bles avec ces oblig­a­tions régle­men­taires : com­ment accéder, à par­tir des États-Unis, à un annu­aire élec­tron­ique de per­son­nes d’un groupe d’origine alle­mande dans le respect de ces oblig­a­tions ? Aus­si existe-t-il un sys­tème déroga­toire admis par les autorités de con­trôle si un arse­nal juridique ad hoc est instau­ré au sein de l’entreprise : les Bind­ing Cor­po­rate Rules pour l’Union européenne, le Safe Har­bor pour les États-Unis. La régle­men­ta­tion inter­na­tionale évolue égale­ment avec des ini­tia­tives qui rap­prochent dif­férentes zones géo­graphiques de la posi­tion européenne.

Cloud computing et dématérialisation

Si les don­nées sont soumis­es à la régle­men­ta­tion en vigueur sur le lieu et le pays d’hébergement, le cloud com­put­ing vient brouiller les cartes en don­nant peu ou pas d’indications sur la local­i­sa­tion de l’hébergement des don­nées et, qui plus est, sur la nature de l’hébergement : s’agit-il d’un héberge­ment per­ma­nent ou pro­vi­soire ? Sommes-nous dans une sit­u­a­tion où il n’existe qu’une seule source de pro­duc­tion de la don­née, avec un seul héberge­ment ? Quel est le statut des don­nées de sauve­g­arde ? Mais le cloud non maîtrisé n’est pas une fatal­ité : les entre­pris­es peu­vent con­tin­uer à inter­nalis­er leurs ressources d’hébergement de don­nées sen­si­bles, quitte à met­tre en place un envi­ron­nement de cloud com­put­ing privé.

Règles inter­na­tionales
Les Bind­ing Cor­po­rate Rules (BCR) con­stituent un code de con­duite définis­sant la poli­tique d’une entre­prise en matière de trans­ferts de don­nées. Elles offrent une pro­tec­tion adéquate aux don­nées trans­férées depuis l’Union européenne vers des pays tiers à l’Union européenne au sein d’une même entre­prise ou d’un même groupe. Le Safe Har­bor est un ensem­ble de principes de pro­tec­tion des don­nées per­son­nelles, négo­ciés entre les autorités améri­caines et la Com­mis­sion européenne en 2001. Les entre­pris­es établies aux États- Unis adhèrent à ces principes auprès du Départe­ment du Com­merce améri­cain. Cette adhé­sion les autorise à recevoir des don­nées en prove­nance de l’Union européenne.

L’entreprise, acteur clé

Nous sommes encore loin d’un accord mon­di­al pour la ges­tion et la cir­cu­la­tion des don­nées per­son­nelles ; d’autre part, l’individu ne peut pas éter­nelle­ment faire de la résis­tance quant à la four­ni­ture de ses don­nées. L’entreprise a donc un rôle majeur à jouer car ses activ­ités impliquent le traite­ment de don­nées per­son­nelles de col­lab­o­ra­teurs, de clients, de four­nisseurs et autres tiers. Son rôle se révèle déter­mi­nant pour dif­férentes raisons. Elle col­lecte et gère des don­nées per­son­nelles, elle peut être à même de trans­fér­er ces don­nées au-delà des fron­tières ; elle doit donc présen­ter toutes les garanties de con­for­mité à la régle­men­ta­tion du pays. Elle doit aus­si maîtris­er la chaîne de traite­ment des don­nées per­son­nelles : s’assurer de la final­ité des don­nées, garan­tir l’usage prévu sans détourne­ment, gér­er la sécu­rité des don­nées per­son­nelles avec les règles de con­fi­den­tial­ité appro­priées, ain­si que leur durée de con­ser­va­tion. Enfin, elle doit assur­er la meilleure trans­parence en infor­mant les per­son­nes, en leur pro­posant des droits d’accès, de mod­i­fi­ca­tion, voire d’opposition sur les infor­ma­tions per­son­nelles communiquées.

Impact large

Opac­ité
Si l’entreprise garde la maîtrise de ses don­nées, en revanche l’individu a de moins en moins le choix : une sit­u­a­tion de recherche d’emploi l’invite à fournir sans réserve des don­nées privées ; les e‑services et téléprocé­dures vien­nent l’encourager à for­muler ses deman­des bien fournies en don­nées per­son­nelles via Inter­net par­fois sans indi­ca­tion sur la local­i­sa­tion ni le sort de ces informations.

Un pro­gramme de pro­tec­tion des don­nées per­son­nelles a un impact sur un large ensem­ble de proces­sus de l’entreprise : les ressources humaines, le juridique, mais aus­si les achats, la sûreté, les sys­tèmes d’informations, etc. Son appli­ca­tion peut pren­dre divers­es formes. D’abord, assur­er des for­ma­tions, des actions de sen­si­bil­i­sa­tion auprès des col­lab­o­ra­teurs amenés à traiter régulière­ment des don­nées per­son­nelles. Ensuite, définir des claus­es et des men­tions types con­cer­nant la pro­tec­tion des don­nées per­son­nelles à inté­gr­er dans les con­trats. Enfin, définir un cadre méthodologique pour la con­cep­tion des proces­sus et appli­ca­tions d’entreprise, avec l’application de règles pour le respect de la vie privée dès la phase de con­cep­tion des proces­sus et appli­ca­tions d’entreprise.

Is Big Brother still watching you¹ ?

Certes, ce type de pro­gramme, mis en place par de plus en plus d’entreprises, per­met de don­ner une réponse aux enjeux régle­men­taires de la pro­tec­tion des don­nées per­son­nelles, mais il con­stitue aus­si une oppor­tu­nité intéres­sante pour l’analyse du sys­tème d’information exis­tant et de ses don­nées. Il offre égale­ment un cadre méthodologique de ges­tion de la traça­bil­ité, en per­me­t­tant de répon­dre au mieux aux ques­tions posées sur le stock­age et l’historique des don­nées per­son­nelles. Il per­met enfin une poli­tique de com­mu­ni­ca­tion interne et externe axée sur la trans­parence et la confiance.

L’in­di­vidu ne peut pas éter­nelle­ment refuser de fournir ses données

Ain­si, avec ce type de pro­gramme, l’entreprise assure pleine­ment son rôle dans cette chaîne de respon­s­abil­ités, dans un con­texte où les autorités de con­trôle mon­tent en puis­sance et où les régle­men­ta­tions se durcissent.

Si Big Broth­er nous regarde, peut-être com­mencera- t‑il cepen­dant à crain­dre ces dis­posi­tifs de suivi et de mar­quage des don­nées qui appor­tent une meilleure traçabilité.

1. « Big Broth­er vous regarde-t-il toujours ?»

---

Articles similaires :

Smart Grids : le logi­ciel au cœur des sys­tèmes électriques Nomadisme infor­ma­tique, nomadisme des identités ? Nou­veaux modes de paiement : qua­tre prévi­sions pour 2012 Straté­gies pour l‘innovation Logis­tique et livrai­son, clés du e‑commerce Open savoir-faire, une inno­va­tion rad­i­cale inspirée de l’open source