Protection des données en entreprise : comment organiser les contrôles quotidiens dans une PME

01

La protection des données est un travail quotidien, pas un projet isolé

Une PME organise la protection des données personnelles en combinant des mesures organisationnelles et techniques, appliquées de manière constante dans les activités quotidiennes. Le guide du CEPD pour les petites entreprises indique qu'il faut protéger le matériel, les logiciels, les canaux de communication, les documents papier et les locaux, et que la confiance dans la fiabilité des systèmes d'information est une question clé rendue obligatoire par le RGPD.

02

Pourquoi une approche par rôle est nécessaire

L'employeur reste responsable de la sécurité des données personnelles même lorsqu'elles sont traitées sur des appareils personnels (BYOD) sur lesquels il n'a pas de contrôle physique, s'il en a autorisé l'accès aux ressources informatiques de l'entreprise. Le niveau de sécurité requis par le RGPD doit être le même quel que soit l'équipement utilisé, ce qui rend nécessaire de définir des rôles et responsabilités clairs pour ceux qui traitent les données.

03

Un flux de travail en cinq étapes

Étapes

1. Définir une politique interne contraignante avec des règles de protection des données et de sécurité.
2. Sensibiliser régulièrement les gestionnaires de données aux risques et aux mesures adoptées.
3. Appliquer la protection des données dès la conception, en limitant les données traitées à ce qui est nécessaire.
4. Gérer les identifiants uniques, l'authentification et les autorisations, avec un réexamen périodique des accès.
5. Documenter les procédures opérationnelles et les maintenir à jour et accessibles aux gestionnaires de données.

04

Un cas hypothétique : le formulaire de commande en ligne

Exemple hypothétique basé sur le guide du CEPD : une librairie qui vend des livres en ligne rend obligatoires tous les champs d'un formulaire de commande, y compris la date de naissance, le numéro de téléphone et l'adresse. En appliquant la protection des données par défaut, le propriétaire devrait limiter les champs à ce qui est nécessaire à la finalité, par exemple ne pas exiger l'adresse pour un livre électronique téléchargeable directement.

05

Contrôles à vérifier régulièrement

• Les autorisations d'accès obsolètes ont été supprimées et réexaminées périodiquement.
• Verrouillage automatique des sessions, pare-feu et antivirus sont à jour sur chaque poste de travail.
• Les documents contenant des données sensibles portent une indication visible et explicite.
• Un accord ou une clause de confidentialité a été signé avec les employés et collaborateurs.
• Une feuille de gestion des risques a été établie et est mise à jour régulièrement.

06

Ce qu'une entreprise peut configurer avec le soutien de son partenaire logiciel

Une entreprise peut demander à son fournisseur de logiciel de soutenir des rôles distincts pour les gestionnaires de données, la traçabilité des autorisations accordées et révoquées, et des rappels périodiques pour la formation à la sécurité. Ce sont des choix opérationnels suggérés, non des fonctionnalités garanties : ils doivent être définis avec le fournisseur en fonction de la nature, du contexte et de la portée du traitement envisagé.

07

Questions fréquentes

Les réponses suivantes clarifient uniquement ce qui est déjà indiqué dans l'article, sans introduire de nouvelles informations.

08

Prochaine étape pratique

Étapes

1. Rédiger ou mettre à jour la politique interne contraignante sur la protection des données et la sécurité.
2. Programmer une session de sensibilisation avec les gestionnaires de données dans le prochain trimestre.
3. Vérifier avec votre fournisseur de logiciel quels rôles et autorisations peuvent être configurés.