Dossier Sécurité Juridique Par Frédéric Forster, Alain Bensoussan Avocats Lexing 1 LA SÉCURITÉ EUROPÉENNE N’EST PAS NÉGOCIABLE Cinq mois après l’entrée en application du Règlement général européen sur la protection des données, quel bilan tirer en matière de mise en conformité des entreprises sur le terrain de la sécurité, et quelles actions prioriser ? Le règlement européen 2016/679 telles les informations médicales relatif à la protection des données ou biométriques. Plus question à caractère personnel (RGPD) de laisser celles-ci circuler est entré en application le 25 mai librement, de réseau en réseau, 2018. Il renforce les droits des d’ordinateur à ordinateur, sans que personnes dont les données leur sécurité et leur protection sont collectées et traitées ; il met soient garanties. en place un système de conformité que le responsable de traitement Défis techniques, juridiques doit documenter. Si les droits et organisationnels des personnes sont ainsi renforcés, Cela suppose de lancer des chantiers les obligations corrélatives techniques (implémentation d’outils des entités, privées ou publiques, logiciels, renforcement des mesures sont considérablement étoffées, d’accès physique, mise en œuvre créant des programmes de mise des mesures pour la suppression en conformité au règlement des risques révélés par une PIA, un chantier inévitable. Sur le plan d’entreprises n’ont pas attendu etc.), juridiques (renforcement technique, le RGPD focalise toute le 25 mai 2018 pour mettre des clauses avec les sous-traitants) sa puissance sur, d’une part, en place des logiques de sécurité, et organisationnels (déploiement la protection de la confidentialité le plus souvent pilotées par le RSSI et systémique, des risques de PIA, cellules de veille interne, des données personnelles et, ou le DSI. Mais, pour un nombre que pourraient subir les données procédures d’alerte vers la Cnil d’autre part, la sécurité : fiabilité significatif d’entre elles, il est grand personnelles détenues par les et les personnes physiques, de la collecte, des traitements temps de se pencher sur ce sujet. organisations, et des mesures afin désignation de data protection réalisés, des échanges de données, Et plus généralement, toutes d’amoindrir voire de supprimer officers). Il n’est pas peu dire sûreté contre les intrusions et les doivent intégrer dans leur roadmap les risques identifiés. Rappelons que les organisations ne doivent vols ou la corruption d’information, de la conformité les principes issus que le RGPD prévoit (art. 35) sous-estimer ni la charge de etc. Ces enjeux ne sont pas inédits du RGPD. la conduite d’une telle analyse travail associée au volet sécurité car la loi Informatique et Libertés d’impact lorsqu’un traitement de leur conformité ni la rupture les incluait déjà. Néanmoins, L’analyse d’impact pour de données personnelles est que le RGPD a marquée dans le RGPD en augmente l’importance prendreconscience des risques susceptible d’engendrer un risque la sensibilisation des personnes dans le dispositif global de Citons d’abord l’analyse d’impact élevé pour les droits et libertés des aux questions de protection conformité des organisations, relative à la protection des données personnes concernées. Par ailleurs, de leurs données. Ainsi, quelques et accroît considérablement (privacy impact assessment ou PIA), le RGPD rend obligatoire, dans la mois seulement après l’entrée le montant des sanctions. Sur conçue comme un outil de prise quasi-totalité des cas, la révélation, en application du RGPD, la Cnil le plan de la conformité, beaucoup de conscience, objectivée non seulement à la Cnil mais aussi vient d’annoncer que le nombre aux personnes physiques touchées, de plaintes qu’elle a reçues de failles de données, c’est-à-dire a bondi de 56 %. ■ « Ne pas sous-estimer le travail associéd’atteintes à la sécurité ayant¹ Avocat à la Cour d’appel de Paris, Frédéric Forster au volet sécurité de la conformité, et laentraîné – ou pouvant entraîner –dirige le pôle Télécoms du cabinet Alain Bensoussan une altération des données Avocats Lexing depuis 2006. Il était précédemment rupture que le RGPD a marquée dans directeur juridique du groupe SFR. Il est également à caractère personnel. Enfin, vice-président du réseau international d’avocats Lexing. la sensibilisation des personnes » les données personnelles collectées, stockées et échangées peuvent être d’une particulière sensibilité, Suite du dossier p. 114 112 E.D.I N°83 | novembre 2018