Évaluer les fournisseurs de logiciels et de cloud : un glossaire en langage simple sur les données personnelles

01

Ce que signifie évaluer un fournisseur du point de vue des données personnelles

Lorsqu'une entreprise confie des données à un fournisseur de logiciels ou de cloud, elle doit d'abord comprendre ce que sont les données personnelles : toute information permettant d'identifier une personne, directement ou indirectement, comme le nom, l'e-mail, le code client ou l'historique de navigation (citation-0). Évaluer un fournisseur signifie vérifier qu'il protège l'intégrité, la disponibilité et la confidentialité de ces données, les trois éléments sur lesquels repose la sécurité selon le guide de l'EDPB (citation-2).

02

Pourquoi le risque doit être mesuré avant de choisir

• L'accès non autorisé aux données personnelles constitue une violation de la confidentialité, par exemple la divulgation des bulletins de salaire (citation-2).
• La modification non autorisée des données est une violation de l'intégrité, comme l'altération des journaux d'accès (citation-2).
• La perte d'accès aux données est une violation de la disponibilité, par exemple une documentation inaccessible (citation-2).
• Si le traitement comporte un risque élevé pour les personnes, le RGPD exige une analyse d'impact, l'AIPD (citation-3).

03

Le parcours pratique pour évaluer un fournisseur

Étapes

1. Identifier quelles données personnelles seront transmises au fournisseur et pourquoi elles sont traitées (citation-0).
2. Identifier les sources de risque, humaines et non humaines, internes et externes au fournisseur (citation-2).
3. Vérifier les mesures existantes ou prévues : contrôle des accès, sauvegardes, traçabilité, chiffrement (citation-3).
4. Estimer la gravité et la probabilité de chaque risque sur une échelle partagée (citation-3).
5. Planifier des contrôles périodiques avec un plan d'action surveillé aux plus hauts niveaux de l'organisation (citation-3).

04

Un cas hypothétique : choisir un fournisseur cloud pour la base clients

Hypothèse : une PME souhaite confier à un fournisseur cloud sa base clients, avec noms, e-mails et historique d'achats — des données permettant l'identification directe ou indirecte des personnes (citation-0). Avant la signature, l'entreprise liste les sources de risque possibles, de l'administrateur système externe à une cyberattaque non ciblée, et vérifie si le fournisseur propose les mesures déjà prévues pour les atténuer, comme l'exige le processus d'évaluation du risque (citation-2, citation-3). Ce n'est qu'après cette vérification qu'elle attribue un niveau de priorité à la décision.

05

Éléments à demander ou à vérifier auprès du fournisseur

• Formation régulière des gestionnaires de données sur les risques liés à la vie privée (citation-1).
• Une politique interne contraignante sur la protection des données et la sécurité (citation-1).
• Protection des données dès la conception et par défaut (citation-1).
• Minimisation des données : ne traiter que ce qui est adéquat et nécessaire (citation-1).
• Verrouillage automatique des sessions, pare-feu, antivirus à jour et sauvegardes (citation-1).

06

Comment organiser l'évaluation avec le soutien du logiciel de gestion

Une entreprise peut choisir de configurer, avec son partenaire logiciel, un registre des fournisseurs qui liste quelles données personnelles circulent vers chaque système, qui est chargé de les évaluer et quand la dernière vérification des risques a été effectuée (citation-3). Il s'agit d'un choix opérationnel suggéré, et non d'une obligation découlant du logiciel : l'entreprise reste responsable de définir les rôles, la traçabilité et la fréquence des révisions selon son propre plan de gestion des risques, en documentant clairement les procédures pour chaque catégorie de gestionnaire de données (citation-3, citation-4).

07

Clarifications rapides sur le glossaire

• Les données personnelles incluent aussi des identifiants indirects comme le code client ou la référence d'une réservation (citation-0).
• La sécurité des données s'évalue sur trois axes : confidentialité, intégrité et disponibilité (citation-2).
• Une AIPD est requise lorsque le traitement présente un risque élevé pour les personnes concernées (citation-3).

08

La prochaine étape

Avant de signer un contrat avec un fournisseur de logiciels ou de cloud, listez les données personnelles concernées, les sources de risque et les mesures déjà prévues, puis planifiez une vérification périodique avec un plan d'action surveillé (citation-3).