TECHNIQUE  
New Security Magazine 145 – février 2018

La nouvelle loi sur le respect de la vie privée dans la pratique de la sécurité

Il peut arriver que les données personnelles de clients ou autres relations d’affaires risquent de tomber entre de mauvaises mains. En soi, c’est déjà extrêmement contrariant. Surtout s’il s’agit d’informations sensibles, par exemple des dossiers d’une agence de détectives ou de la base de données utilisateurs d’une installation de sécurité. Le risque que ce type de fuite donne lieu à des amendes très élevées va encore augmenter prochainement, suite à l’adoption du règlement général sur la protection des données (RGPD) par les autorités européennes. Qu’est-ce que cela implique en pratique pour la sécurité ?

Commençons par régler leur compte à quelques malentendus tenaces. Tout d’abord, le 25 mai 2018 n’est pas la date d’entrée en vigueur de ce règlement, puisqu’il est d’application depuis 2016. Il prévoyait à l’époque un délai de deux ans pour permettre aux organisations de se préparer à la nouvelle situation. Cette période de transition se termine le 25 mai. À partir de cette date, il sera également possible que la perte de données personnelles soit sanctionnée par des amendes qui pourront s’élever à 20 millions d’euros ou 4 pour cent du chiffre d’affaires mondial.

Exception importante

Bien que certains affirment que le règlement n’est destiné qu’aux grandes entreprises comme Google ou Yahoo, il s’applique à toutes les organisations qui gèrent des données personnelles. La différence est qu’une entreprise employant moins de 250 personnes n’est pas tenue de désigner un « Data Protection Officer » (DPO) ni de conserver un registre des données personnelles qu’elle gère. Il y a cependant d’importantes exceptions. Si les données sont véritablement sensibles, ce qui doit être constaté par une analyse d’impact sur la vie privée, le registre est obligatoire. Il peut s’agir de données à caractère médical ou pénal, mais aussi de données dont l’utilisation abusive pourrait nuire à la sécurité d’une ou de plusieurs personnes, comme un plan de sécurité ou des images vidéo. Un délégué à la protection des données indépendant et un registre sont également obligatoires lorsque le traitement des données personnelles a lieu systématiquement ou sur la base d’observations, ce qui sera le cas dans de nombreuses entreprises de sécurité. Les petites organisations peuvent aussi engager un Fonctionnaire délégué à la protection des données.

Troisième malentendu : la nouvelle législation ne concerne que les données numériques, qui seraient par exemple volées par un hacker. Mais la perte d’un classeur contenant des données de clients constitue également une fuite de données, tout comme une divulgation orale par un collaborateur malveillant ou peu consciencieux.

Par ailleurs, il n’est pas raisonnable de considérer le règlement comme une loi non contraignante. Les instances compétentes en matière de respect de la vie privée sont souvent considérées comme des tigres édentés qui menacent sans jamais sanctionner. Ce préjugé n’est pas fondé, et il le sera encore moins après le 25 mai 2018 car les autorités estiment que la protection des citoyens contre l’utilisation abusive des big data sont plus importantes que jamais. Ceux qui ne se sont jamais préoccupés du RGPD, ou qui pensent que les choses n’en arriveront pas là, ont tout intérêt à examiner les conséquences potentielles.

Très important

La sécurité absolue n’existe pas, et c’est pourquoi les amendes ne seront pas infligées sans autre forme de procès. Pour les éviter, il est très important que la qualité de la protection des données personnelles soit démontrable, et que les accès internes à ces données fassent l’objet d’une gestion minutieuse. Et cela ne se limite pas aux noms des personnes, car la loi considère que toute donnée permettant de remonter jusqu’à une identité est personnelle. Il peut donc aussi s’agir d’une plaque minéralogique, d’un numéro de compte en banque ou d’une adresse IP. En cas de fuite malgré une bonne protection des données, les autorités s’en tiendront généralement à un avertissement ou à un blâme, à moins qu’elles n’exigent qu’il soit mis fin au traitement des données. Les amendes constituent donc un ultime recours pour rappeler à l’ordre l’organisme qui traite les données.

Si des données personnelles se retrouvent entre de mauvaises mains en dépit d’une protection valable, il faudra que la fuite soit détectée sans délai et signalée dans les 72 heures à la Commission de la protection de la vie privée. Il faudra aussi informer au plus vite les personnes concernées si la fuite de données implique un risque pour elles. Elles pourront alors prendre les mesures nécessaires pour empêcher tout usage abusif de leurs données, par exemple en modifiant leurs mots de passe ou en bloquant leur carte de crédit. Si tout ce qui est possible a été fait pour éviter la perte de données personnelles et que le gestionnaire est à même de le prouver, il est peu probable qu’il reçoive une amende. Par contre, ceux qui préfèrent garder le secret, par exemple pour éviter de nuire à leur réputation, peuvent s’attendre aux sanctions les plus lourdes s’ils sont découverts, sans compter le risque de préjudicier des tiers, par exemple des clients, ce qui est à peu près la pire chose qui puisse arriver à une réputation.

Obligations et interdictions

Le règlement oblige donc le gestionnaire à informer ses relations d’affaires en cas de fuite. Celles-ci ont par ailleurs le droit de savoir quelles données étaient consignées, et le gestionnaire doit en tenir compte. Imaginons qu’une personne découvre, à côté de la porte d’une maison, un autocollant de Sécurité XYZ et voie que la famille Peters y habite. Il pourrait se faire passer pour M. Peters et demander à Sécurité XYZ quelles données elle détient à son sujet. Il s’agit donc d’être paré face à cette forme d’abus du RGPD. Demandez au préalable à vos clients de quelle manière ils souhaitent exercer leurs droits au respect de la vie privée.

Autre nouvelle obligation : la portabilité des données. Ce concept implique qu’un client qui souhaite changer de fournisseur doit pouvoir emporter avec lui les données qui le concernent. Sous le régime du RGPD, les personnes ont aussi droit à l’amélioration et à l’oubli. Ils disposent déjà du droit de consulter les données personnelles qui les concernent, mais peuvent également exiger que le gestionnaire les modifie ou les détruise. Ici encore, il est très important que règne une certitude absolue quant à l’identité du demandeur. Le principe de la minimalisation des données et le droit d’objection s’appliquent également. Le premier concerne les données qui ne sont pas pertinentes vis-à-vis de la finalité. Par exemple, il n’est généralement pas nécessaire que le fournisseur dispose d’informations sur les convictions religieuses ou politiques d’un client qui commande simplement un produit. Toute personne peut s’opposer à ce qu’une entreprise traite certaines données, par exemple parce qu’elle estime que le partage de ces données n’est pas pertinent pour le service offert, ou qu’elle ne souhaite pas être « profilée ».

Informer au préalable

Il est important d’informer au préalable ses interlocuteurs que leurs données personnelles vont être enregistrées, afin qu’ils aient le choix. Cela passe généralement par une déclaration relative à la vie privée. En vertu du RGPD, il faut que cette déclaration soit compréhensible. Le législateur entend ainsi mettre un terme aux situations dans lesquelles le citoyen doit assimiler quarante pages de texte juridique pour savoir à quoi il s’engage. De plus, les données enregistrées ne peuvent dépasser le strict cadre de la finalité, ni être conservées pendant plus longtemps que nécessaire. Le délégué à la protection des données doit vérifier comment les données personnelles sont gérées.

Il est de plus en plus fréquent que cette gestion fasse l’objet d’une collaboration avec des prestataires externes, qu’il s’agisse d’un logiciel administratif dans le cloud contenant des données personnelles ou de clients, ou d’une base de données personnelles sur un site hébergé en externe. Dans ces cas de figure, il est important de conclure avec le tiers externe une « convention de traitement » par laquelle celui-ci s’engage à gérer avec un soin démontrable les données personnelles concernées.

La santé, l’origine ethnique, l’orientation sexuelle et les convictions philosophiques, entre autres, font également l’objet d’une attention particulière. Il peut aussi s’agir d’une image vidéo d’une femme portant le voile, ou de personnes participant à une manifestation politique. Quoi qu’il en soit, ce type de données, ainsi que les données biométriques, ne peuvent être collectées que si la finalité le justifie, et elles font l’objet des conditions de sécurité les plus strictes.

Privacy by Design

Pour les entreprises de sécurité, il existe quelques autres aspects pour lesquels une attention particulière est requise. Lorsqu’un système de sécurité est livré à un client, il doit pratiquement toujours être conforme au RGPD. Prenons l’exemple d’un système d’accès dans lequel les données des collaborateurs sont stockées. Ce système doit être bien protégé, notamment par cryptage. Mais il faut aussi conclure avec le client une convention de traitement dans laquelle il se porte garant d’une gestion minutieuse. En effet, aussi bien protégé le système soit-il, si le client donne des droits d’accès à tout le monde, il y aura de fortes chances qu’une fuite se produise. Il faut aussi prendre des accords solides concernant l’usage qui est fait du système de sécurité. Les systèmes vidéo, surtout, sont de plus en plus dotés de facultés d’auto-apprentissage qui leur permettent de collecter automatiquement de plus en plus de données au sujet de certaines personnes. Même chose pour les systèmes d’accès. Ici aussi, tant le fournisseur que l’utilisateur du système de sécurité doivent faire preuve d’une prudence extrême, qui doit par ailleurs être imposée. C’est le principe de « Privacy by Design » prévu par la loi afin d’éviter que les données personnelles tombent en de mauvaises mains par incompétence.

Sachant que le monde est de plus en plus interconnecté et que la cybercriminalité ne cesse de se perfectionner, le risque de fuite des données personnelles augmente. Par le biais du RGPD, les autorités encouragent les organisations à accorder une attention professionnelle à cette question. Il ne reste pas beaucoup de temps à ceux qui ne l’ont pas encore fait, et s’ils négligent de faire le nécessaire, ils seront tôt ou tard mis au pied du mur.

Illustrations : Dreamstime.com