Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia - 313

En troisième lieu, une fois
que la méthode de chiffrement a été validée entre
les équipes «  sécurité  » des
parties, il ne faut pas oublier de
s'interroger sur la façon dont
seront sécurisées les clés de
chiffrement. Tout peut avoir
été minutieusement prévu
dans les moindres détails que
ce soit en interne ou dans la
relation avec le sous-traitant, si
l'analyse de la sécurité des clés
utilisées pour le chiffrement
(transfert et stockage) n'a pas
été prévu, les efforts peuvent
être réduits à néant. Car qui dit
prise de connaissance de la clé,
dis déchiffrement de toutes les
bases de données sans même
pouvoir détecter (du moins
facilement) ce détournement.

une entreprise  : définir l'organisation la plus appropriée,
celle qui fonctionnera en toute
hypothèse, définir les inputs et
outputs, les livrables, sensibiliser les employés afin qu'ils
reconnaissent une violation de
données personnelles, etc.

COMMENT CADRER
LE TRAITEMENT
DES VIOLATIONS
DE DONNÉES
PERSONNELLES AVEC
LES SOUS-TRAITANTS ?

Il est primordial de savoir
quelles personnes composeront l'équipe d'investigation
(juridique, sécurité, équipe
impactée) et l'équipe de
décision (le DPO, le directeur
du périmètre concerné, etc.).
Etre juge et parti n'est jamais
véritablement
recommandé
lorsqu'il s'agit de résoudre une
crise, d'où l'option de créer une
double équipe.

Formaliser une organisation
dédiée à la gestion des violations
de données personnelles n'est
pas une option, surtout compte
tenu des enjeux associés. Si
une violation de données
personnelles est remontée,
chaque acteur permanent de
la cellule qui va intervenir doit
connaître ses missions.
Pour bien gérer les besoins en
termes de remontées d'information de la part de son
sous-traitant, il est nécessaire
que l'organisation interne de
l'entreprise du traitement d'une
violation de données personnelles soit stable et connue.
Organisation interne
Une nouvelle fois, de la
rédaction du RGPD, découle
un
travail
opérationnel
d'équipe avec le duo inséparable
juridique/technique.
Ce sujet est l'un des plus
intéressants à déployer dans

Il ressort de la pratique qu'une
organisation qui distingue
investigation d'un côté et
décision de l'autre fonctionne
bien. Concrètement, il faut
savoir faire simple et efficace.
72h, délai imparti par l'article
33 du RGPD pour notifier
une violation de données
personnelles à l'autorité de
contrôle, est un délai très court,
surtout si le point de départ
commence le vendredi à midi.

De même, dans chaque
équipe, prévoir une multitude
de remplaçants est essentiel.
Une bonne organisation ne
doit jamais dépendre d'une
seule personne. Il faut prévoir
des suppléants opérationnels
pour chacune des fonctions
concernées.
La réunion de lancement de
la cellule d'investigation est
surtout l'occasion pour le
juridique de poser les premières
questions et pour la sécurité
de demander à apporter les
premières preuves et donner
les premières instructions. Il
faut en tant que juriste intervenir au début pour dire à l'équipe
métier ce qu'elle doit chercher
pendant qu'elle procède aux
analyses techniques. L'idée
EXPERTISES Septembre 2020

n'est pas de les noyer de
demandes juridiques mais
qu'ils pensent juste à pouvoir
apporter les premiers éléments
de fait au juriste, qui commencera l'analyse pour pouvoir
procéder à la notification à
l'autorité compétente requise
dans l'article 33 du RGPD. Puis
des points réguliers devront
être fixés avec le métier tout
au long des 72 heures pour
pouvoir prendre une décision
dans le délai imparti.
Un outil très utile au juriste
et au DPO est également
une méthodologie d'analyse
d'impact pour la vie privée
des personnes concernées.
Le RGPD demeure très vague
en employant des notions
de «  risque  » et de «  risque
élevé  ». Certaines institutions3 ont cependant élaboré
des recommandations qui
permettent aux entreprises
d'avoir une idée de méthodologie. Bien que perfectible, un
outil de calcul sur la base d'un
certain nombre de critères
peut être une véritable aide à
la décision dans un contexte
pas forcément évident à
gérer (stress, urgence). Le
recours à une méthodologie
pré-établie
permet
aussi
d'apporter un critère d'objectivité vis-à-vis d'un métier
qui n'est pas nécessairement
sur la même longueur d'onde,
surtout lorsqu'il s'agit de
lui rappeler que la décision
porte sur l'impact pour les
personnes concernées et non
l'impact pour les systèmes de
l'entreprise.
Déclinaison à la relation
contractuelle avec le
sous-traitant
Une annexe sécurité doit
être incluse dans les contrats
avec les sous-traitants et
intègre nécessairement un
aspect relatif aux violations
de données personnelles, afin
d'être conforme au RPGD.

313
Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia
