Source: https://www.lexology.com/library/detail.aspx?g=3cdbe2d4-455b-4c00-ae9a-90d46f54eb12
Timestamp: 2019-05-19 20:40:06+00:00
Document Index: 234738139

Matched Legal Cases: ["l'article 34", "l'article 5", "l'article 34", "l'article 32", 'in fine', 'art. 24', 'art. 83']

Securiser les donnees en 5 leçons - Lexology
Securiser les donnees en 5 leçons
Paris, le 29 avril 2019 - Entre 2017 et 2018, environ 70% des décisions publiques rendues par la CNIL ont sanctionné pécuniairement le manquement aux obligations de sécurité et de confidentialité du responsable de traitement.
L'obligation d'assurer la scurit est un des principes clefs du traitement des donnes caractre personnel dans la loi du 6 janvier 1978 relative l'informatique, aux fichiers et aux liberts. Le Rglement (UE) 2016/679 du Parlement europen et du Conseil du 27 avril 2016 relatif la protection des personnes physiques l'gard du traitement des donnes caractre personnel et la libre circulation de ces donnes, vient renforcer ce principe. La scurit des donnes est donc un enjeu majeur prendre en compte dans la gouvernance des outils et systmes informatiques.
Qui ? Garant de la scurit des donnes, le responsable de traitement [le cas chant, le sous-traitant1] doit prendre toutes prcautions utiles pour prserver la scurit des donnes et, notamment, empcher qu'elles soient dformes, endommages, ou que des tiers non autoriss y aient accs. C'est le principe que posent l'article 34 de la loi Informatique et Liberts et l'article 5 du RGPD. Quoi ? L'obligation de scurit concerne toutes les donnes caractre personnel et pas seulement les donnes dites sensibles 2. En effet, la qualification de
1 Article 32 du Rglement (UE) 2016/679 du Parlement europen et du conseil du 27 avril 2016 2 Dlibrations nSAN-2018-009 du 6 septembre 2018, n SAN-2018-012 du 26 dcembre 2018, ...
donnes sensibles est sans influence sur la caractrisation du manquement l'obligation d'assurer la scurit des donnes traites.
Comment ? Par des des moyens propres et des mesures techniques et organisationnelles appropries pour assurer la scurit des donnes et garantir un niveau de scurit adapt au risque. Ni l'article 34 de la loi Informatique et Liberts, ni l'article 32 du RGPD ne sont prescriptifs quant aux mesures dployer par le responsable de traitement, tant que l'obligation de garantir la scurit est, in fine, respecte.
Quelles sanctions ? En fonction de la catgorie de l'infraction, l'autorit de contrle (en France, la CNIL) peut imposer des sanctions d'un montant entre 10 ou 20 millions d'euros, ou, de 2% jusqu' 4% du chiffre d'affaires annuel mondial de la socit.
Avant mme l'entre en application du RGPD, la CNIL a eu l'occasion de sanctionner des manquements aux obligations de scurit et de confidentialit des donnes, notamment dans ses dcisions rcentes Dailymotion (amende de 50.000 euros), l'ADEF (75.000 euros), Optical Center (250.000 euros), HERTZ (40.000 euros), DARTY (100.000 euros), l'Association Alliance Franaise Paris le de France (30.000 euros), Bouygues Telecom (250.000 euros) ou encore Uber France SAS (400.000 euros).
Ces dcisions permettent de dresser des leons pour adopter les bonnes pratiques afin d'assurer la scurit des donnes.
LECON 1 : METTRE EN PLACE DES MESURES ELEMENTAIRES DE SECURITE
Dans les diffrentes espces soumises la CNIL, on peut recenser notamment : - L'absence de mise en place de dispositif permettant d'viter la prvisibilit des
URL ; - L'absence de procdure d'identification ou d'authentification des utilisateurs
(par exemple, un site internet qui n'intgre pas de fonctionnalit permettant de vrifier qu'un client s'est bien authentifi son espace personnel avant d'accder aux documents) ;
- L'absence de test de vulnrabilit des sites internet en amont (en vrifiant par exemple, que leur mise en production avait t prcde d'un protocole complet de test).
Le RGPD instaure une logique de protection des donnes ds la conception et par dfaut. Par consquent, ds la conception d'outils ou systmes informatiques, il est recommand de suivre les dmarches lmentaires suivantes : - Vrifier les rgles de filtrage des URL (par exemple, la modification d'un mot
prsent dans l'URL) ; - En cas de connexion distance au rseau informatique interne d'une entreprise,
a minima, mettre en place des mesures de filtrage des adresses IP pour autoriser seulement des adresses IP identifies et autorises, ou alors utiliser un VPN. - Envisager de mettre en place une procdure d'identification ou d'authentification des utilisateurs du site web pour protger les informations enregistres (par exemple, tlversement de document) ; - En cas d'authentification par un utilisateur, les identifications ne doivent pas tre divulgues ni stockes dans un fichier non protg ; - Pour les mots de passe, suivre scrupuleusement la dlibration n2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe de la CNIL (identifiant unique par utilisateur, mot de passe complexe, changements de mot de passe rguliers, verrouillage du compte aprs plusieurs checs, ...) ; - Pour les accs aux postes de travail, paramtrer le verrouillage automatique en cas d'inactivit ; installer un pare-feu , utiliser des antivirus rgulirement mis jour (...) ; - En cas de recours des prestataires, vrifier les caractristiques des produits, outils et systmes informatiques - (...).
LECON 2 : CONTROLER REGULIEREMENT LA SECURITE DE VOS OUTILS ET SYSTEMES INFORMATIQUES
Dans la plupart des dcisions rendue par la CNIL, l'autorit souligne l'importance d'effectuer des vrifications rgulires des mesures de scurit mises en place par le responsable de traitement.
Concrtement, ces vrifications doivent tre effectues en amont, lors de la mise en production et aprs le dploiement des outils et/ou systmes ou sites internet. Finalement, il s'agit pour les responsables de traitement de tester les mesures mises en place tout au long du processus. D'o le terme de vrifications rgulires . La CNIL a pu prciser dans la dcision BOUYGUES TELECOM que des tests raliss chaque anne (pendant plus de 2 annes) n'taient pas suffisants pour empcher une ventuelle violation des donnes.
Par ailleurs, les vrifications de scurit doivent tre proportionnes au regard des moyens humains et techniques la disposition du responsable de traitement. La CNIL a eu l'occasion de prciser cet indice : le responsable de traitement disposait ds l'origine d'un dispositif permettant d'assurer la scurit des donnes des utilisateurs, le recours cette solution de scurisation ne prsentait pas un effort disproportionn et tait peu coteux ds lors qu'elle tait disponible dans l'outil utilis pour la conception de ses sites internet .
Par ailleurs, dans sa dcision HERTZ, la CNIL relve que le fait pour la socit de prendre l'initiative de procder un audit de scurit de son sous-traitant quelques semaines seulement aprs la survenance de la violation de donnes est un bon indice de ce contrle rgulier.
LECON 3 : SURVEILLER LES ACTIONS DE VOS SOUS-TRAITANTS
Lorsque des oprations de traitement de donnes sont confies des sous-traitants, cela ne dcharge pas le responsable de traitement de la responsabilit qui lui incombe de prserver la scurit des donnes traites pour son compte3. En effet,
3 CE 11 mars 2015, St Total Raffinage Marketing et socit X, n368748
le responsable de traitement doit s'assurer et vrifier que toutes les composantes et options de l'outil ou du systme par le prestataire rpondent des mesures de scurit conformes au RGPD.
Avant la violation des donnes
Il est de la responsabilit du responsable de traitement de procder aux vrifications des caractristiques du produit (standard) retenu auprs de son prestataire. Dans la dcision DARTY, ces vrifications auraient permis d'identifier le risque rsultant de l'existence d'un accs aux donnes des clients contenues dans l'outil de gestion et d'empcher le risque de violation des donnes .
Dans la dcision HERTZ, la violation de donnes rsulte d'une erreur commise par le prestataire lors d'une opration de changement de serveur du fait d'une suppression accidentelle d'une ligne de code. La CNIL a constat une ngligence de HERTZ dans la surveillance des actions de son prestataire. La ngligence semble se caractriser dans les faits par l'absence de cahier des charges lis au dveloppement du site internet et de protocole complet de tests lors du changement de serveur.
Aprs la violation des donnes
Dans la dcision DARTY, aux vus des lments du dossier, la CNIL a estim que le responsable de traitement n'avait pas procd un suivi rgulier des actions de son sous-traitant et a fait preuve de ngligence dans la surveillance de son sous-traitant lors de la rsolution de la violation de donnes. DARTY n'a fait qu'une seule demande de prcisions auprs du sous-traitant sur les mesures correctives mises en place pour rsoudre la faille de scurit.
Dans ses relations avec des sous-traitants, il est recommand au responsable de traitement de jouer un rle actif et d'tre en mesure de justifier les demandes relatives aux mesures correctives auprs de son sous-traitant. Ces demandes doivent tre quotidiennes et exister avant et tout au long de la faille.
LECON 4 : DOCUMENTER POUR PROUVER La logique d'accountability du RGPD4 impose au responsable de traitement de documenter pour dmontrer la conformit. Pour contrler la scurit des outils et systmes informatiques, la CNIL invite procder des protocoles complets de tests et des audits. Ces tests (par exemple, d'intrusions ou d'audits) doivent bien
videmment tre adapts. A titre d'exemple, propos de ligne qui compose un code informatique d'un site web, une attention particulire doit tre porte au mcanisme d'authentification et ncessite alors une revue manuelle du code . D'autres documents peuvent galement aider contrler la scurit des outils tels que le registre des traitements, les analyses d'impact, les divers contrats et avenants avec vos prestataires. Plus largement, le RGPD prvoit des outils mthodologiques tels que les certifications, labels ou codes de bonne conduite5 dont l'application (...) peut servir d'lment pour dmontrer le respect des obligations incombant au responsable du traitement (art. 24.3) et qui pourront galement tre pris en compte par l'autorit de contrle en cas de procdure contentieuse (art. 83).
LECON 5 : NE PAS ATTENDRE POUR AGIR Scuriser et protger les donnes traites, et plus gnralement le processus de mise en conformit au RGPD semble complexe. Complexe mais pas insurmontable, n'hsitez pas agir !
4 Article 24 du Rglement (UE) 2016/679 du Parlement europen et du conseil du 27 avril 2016 5 Articles 40 et 41 du RGPD
Toutes les quipes REGIMBEAU sont l pour vous accompagner et vous conseiller pour mettre en place des solutions techniques et juridiques afin de protger et scuriser vos traitements de donnes conformment aux nouvelles rgles issues du RGPD.
Aleksandra THLOT (thelot@regimbeau.eu) Juriste en Proprit Intellectuelle
REGIMBEAU, Conseil en Proprit Industrielle, accompagne depuis plus de 80 ans les entreprises et les porteurs de projets des secteurs privs et publics, pour la protection, la valorisation et la dfense de leurs innovations (brevets, marques, dessins et modles). Douze associs animent une quipe de 200 personnes, dont les comptences s'exercent dans tous les aspects stratgiques de la proprit industrielle: veille technologique, contrats de licence, audit de portefeuilles de PI, ngociations dans le cadre de partenariat, acquisition des droits, contentieux. L'expertise de REGIMBEAU (prsent Paris, Rennes, Lyon, Grenoble, Montpellier, Toulouse, Caen et Munich) permet de rpondre des logiques stratgiques internationales, tout en prservant des relations personnalises de trs haute qualit avec ses clients.
Signification du RGPD pour la branche fiduciaire *
Risques numériques et cybersécurité : tendances à garder à l’œil * - Canada