RGPD (GDPR)

Qu'est-ce que le RGPD ?

Le RGPD (Règlement général sur la protection des données), règlement (UE) 2016/679, est le règlement européen qui encadre le traitement des données à caractère personnel. Applicable depuis le 25 mai 2018, il s'impose à toute organisation traitant les données de personnes situées dans l'Union européenne, où que cette organisation soit elle-même établie. Il fixe des principes, des droits individuels et des obligations pour les responsables de traitement comme pour les sous-traitants.

Les obligations qui touchent directement l'identité et les accès

• Article 5(1)(f) : les données personnelles doivent être traitées avec une sécurité appropriée, y compris la protection contre l'accès non autorisé.
• Article 30 : responsables de traitement et sous-traitants tiennent un registre des activités de traitement, ce qui suppose de savoir quels systèmes traitent des données personnelles.
• Article 28 : un sous-traitant ne peut être engagé que par contrat, c'est le contrat de sous-traitance que tout éditeur SaaS doit fournir.
• Article 32 : mesures techniques et organisationnelles appropriées, appréciées au regard du risque, du coût et de l'état de l'art.
• Article 33 : notification d'une violation de données à l'autorité de contrôle dans les 72 heures.

On ne peut pas documenter ce qu'on n'a pas découvert

Le registre de l'article 30 suppose de lister les outils qui traitent des données personnelles. Chaque application achetée hors IT et jamais déclarée est un trou dans ce registre, et l'entreprise ignore que ce trou existe. C'est là que le shadow IT cesse d'être un agacement informatique pour devenir une exposition réglementaire : une autorité de contrôle qui réclame le registre reçoit un document sincère et incomplet.

Exemples et cas d'usage

Une entreprise tient un registre article 30 soigneux, couvrant 40 applications. La découverte en trouve 118 en usage actif, dont un outil de transcription qui traite des enregistrements d'appels clients et un assistant IA connecté au disque partagé, ni l'un ni l'autre n'apparaissant au registre. Rien n'a été dissimulé délibérément. Le registre a été construit à partir de ce que le délégué à la protection des données savait demander. Corma fournit la découverte continue qui maintient le registre aligné sur le parc réel plutôt que sur la mémoire.

Concepts associés

• Visibilité complète pour éviter le shadow IT
• Gouvernance et administration des identités
• Plateforme de gestion SaaS

FAQ

Le RGPD exige-t-il des revues d'accès ?

Pas nommément. L'article 32 exige des mesures de sécurité appropriées et l'article 5(1)(f) la protection contre l'accès non autorisé, et une revue d'accès documentée est la façon habituelle de démontrer les deux.

Qu'est-ce qu'un contrat de sous-traitance ?

Le contrat imposé par l'article 28 entre un responsable de traitement et un sous-traitant, qui définit l'objet, la durée, la finalité, les obligations et les règles relatives aux sous-traitants ultérieurs.

Le RGPD s'applique-t-il aux entreprises non européennes ?

Oui. Au titre de l'article 3, il s'applique dès lors qu'une organisation offre des biens ou services à des personnes dans l'Union ou suit leur comportement. L'établissement en Europe n'est pas le critère.

Quel est le montant maximal d'une amende RGPD ?

Jusqu'à 20 millions d'euros ou 4 pour cent du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. En France, c'est la CNIL qui prononce ces sanctions.

Demander une démo