Alors que les économies développées commencent à sortir de la pandémie, de plus en plus d'entreprises annoncent la reprise de leurs activités. Cela soulève les questions suivantes : les autorités de régulation sont-elles elles aussi prêtes à agir ? Sont-ils jamais partis ?
Eh bien, tout comme de nombreuses autres entreprises, les autorités de régulation et de surveillance ont adopté le télétravail et adapté leurs procédures, mais elles n'ont pas disparu pour autant.
Au milieu des bouleversements liés à la COVID-19 et des défis qu’elle a posés aux entreprises, la question qu’il convient peut-être davantage de se poser est la suivante : les autorités de régulation ont-elles assoupli certaines règles afin de donner un peu de répit aux entreprises pendant la pandémie ?
Prenons l’exemple du règlement général sur la protection des données de l’Union européenne (RGPD), qui est entré en vigueur il y a trois ans. Cette loi, destinée à encadrer le transfert de données à caractère personnel en dehors de l'Union européenne et de l'Espace économique européen et à permettre aux personnes physiques de contrôler leurs propres données, a entraîné un bouleversement majeur pour toutes les entreprises qui gèrent les données des personnes physiques et exercent leurs activités au sein de ce bloc composé de 27 États membres.
Cette législation a ouvert la voie à l'imposition, par les pays de l'UE, d'amendes pouvant atteindre 4 % du chiffre d'affaires annuel des entreprises en cas de violation de données.
Effrayées par la menace de sanctions colossales, les entreprises ont consacré des ressources faramineuses à la mise en conformité avant l'entrée en vigueur du RGPD. Près de huit entreprises américaines sur 10 ont pris des mesures pour se préparer à ces nouvelles règles, et 27 % d'entre elles ont dépensé plus d'un demi-million de dollars pour se mettre en conformité, selon LegalJobs, , une plateforme de recrutement destinée aux professionnels du droit.
Sujet brûlant
Lorsque la pandémie s’est propagée l’année dernière, selon Omer Tene , vice-président et directeur de la gestion des connaissances à l’Association internationale des professionnels de la protection de la vie privée (IAPP), tel que rapporté par , les autorités de régulation ont pris conscience des circonstances exceptionnelles auxquelles les entreprises ont été confrontées : chaînes d’approvisionnement perturbées, relations commerciales bouleversées et personnel tout entier passé au télétravail. Mais à mesure que les entreprises reprennent leurs activités normales, il faut s’attendre à ce que les autorités chargées de la protection des données « changent de cap et accélèrent les procédures de contrôle, notamment dans des domaines sensibles tels que les technologies publicitaires et les transferts internationaux de données », explique M. Tene.
«Nous suivons l’évolution des amendes et avons effectivement constaté une tendance à l’alourdissement des sanctions. »Hilary Wandall, vice-présidente senior chargée de l'intelligence en matière de protection de la vie privée et directrice juridique chez TrustArc
Bien sûr, aucun organisme de régulation ne va admettre que les règles et les obligations de conformité ont été assouplies pendant la pandémie. De son côté, le Bureau du commissaire à l’information du Royaume-Uni ( ) a déclaré qu’il ferait preuve de « souplesse » dans son approche et qu’il se concentrerait sur « les risques les plus graves et les menaces les plus importantes pour le public » dans son approche réglementaire publiée sur 4 juin 2021. Le mois dernier, Dominic Cummings, l'ancien conseiller principal très controversé du Premier ministre Boris Johnson, a déclaré lors d'une audition parlementaire de la commission de l' qu'il avait demandé aux agences de ne pas tenir compte des lois européennes sur la protection des données afin de faciliter la coordination de la réponse britannique à la pandémie.pa
Hilary Wandall, vice-présidente senior chargée de l'intelligence en matière de protection de la vie privée et directrice juridique chez TrustArc, un cabinet de conseil spécialisé dans la gouvernance de l'information et la sécurité des données, affirme que, même si l'on peut avoir l'impression que l'application du RGPD a globalement ralenti, le nombre de sanctions prononcées est en réalité en hausse.
« Nous suivons l'évolution des amendes, et nous avons effectivement constaté une tendance à l'alourdissement des sanctions », explique M. Wandall.
Elle met en avant l'amende de 6 millions d'euros infligée à CaixaBank par l'Autorité espagnole de protection des données (AEPD) en début d'année pour ne pas avoir traité les données à caractère personnel conformément à la loi et pour ne pas avoir fourni à ses clients des informations adéquates concernant ses politiques de confidentialité. Le mois précédent, dans l'affaire « décembre 2020 », l'AEPD avait infligé une amende de 5 millions d'euros à une autre banque espagnole, BBVA, pour des infractions au RGPD.
Malgré la pandémie, les entreprises doivent rester vigilantes et se préparer à faire l'objet d'une surveillance accrue et à des sanctions potentiellement sévères, déclare René Bentvelzen, responsable mondial de la protection des données chez Unit4, une société basée aux Pays-Bas qui fournit des applications d'entreprise destinées aux services professionnels et qui a lancé une initiative de mise en conformité et de sensibilisation lors de l'entrée en vigueur du RGPD.
Il ajoute que le RGPD ne se résume pas à éviter des amendes exorbitantes et que le respect de cette réglementation constitue « tout simplement une bonne pratique commerciale et est bénéfique pour l'image de marque ».
La colère des autorités de régulation
Les entreprises peuvent prendre un certain nombre de mesures pour se mettre en conformité avec le RGPD et éviter ainsi les sanctions des autorités de contrôle. « Une bonne première étape consiste à déterminer quelles sont les réglementations applicables », explique M. Wandall. Les entreprises doivent examiner les liens entre les différentes réglementations, puis élaborer une approche programmatique.
Wandall recommande d'utiliser une structure-cadre pour étayer la gouvernance. « Il faut des personnes qui comprennent les exigences légales, mais les ingénieurs chargés de développer les solutions logicielles doivent également savoir comment intégrer la protection de la vie privée dès la conception », explique-t-il. « Tout repose sur la manière dont vous gérez les données afin d’en tirer le meilleur parti, ainsi que sur la manière dont vous gérez les risques. »
«Tout repose sur la manière dont vous gérez les données pour en tirer le meilleur parti et sur la manière dont vous gérez les risques. »
Brian Spanswick, responsable de la sécurité des systèmes d'information et directeur des technologies de l'information chez Cohesity, un cabinet de conseil en gestion des données, souligne qu’il n’y a rien de nouveau sous le soleil en matière de conformité au RGPD. Les entreprises peuvent renforcer la confidentialité et la visibilité en chiffrant les données confidentielles tant en transit qu'au repos ; en limitant ou en supprimant les options permettant aux utilisateurs de télécharger des données confidentielles sur leurs ordinateurs personnels ; et en utilisant des réseaux sécurisés, notamment des réseaux privés virtuels (VPN), lors de l'accès aux données confidentielles.
« Il faut garder à l’esprit que ces mesures de protection de la vie privée gagnent du terrain pour une bonne raison, et que cela ne se résume pas à une simple mise en conformité avec la réglementation », explique M. Spanswick. « Il s'agit également de gérer de manière responsable les données de nos clients et de nos partenaires. »
Pour ce faire, les entreprises doivent garder une longueur d'avance sur les cybercriminels, qui cherchent à exploiter les vulnérabilités et les erreurs de configuration au niveau des terminaux et sur l'ensemble des réseaux. L'utilisation d'une plateforme adaptée à la gestion de la configuration de la sécurité d' , offrant des données en temps réel et des outils de correction, peut aider les RSSI et les responsables des opérations informatiques non seulement à améliorer l'hygiène informatique, mais aussi à bénéficier d'une visibilité quasi instantanée sur des dizaines de milliers de terminaux au sein de leurs réseaux.
«Il ne s’agit pas seulement de se conformer à la réglementation. » Il s’agit également de gérer de manière responsable les données de nos clients et de nos partenaires. »Brian Spanswick, responsable de la sécurité des systèmes d'information et directeur des technologies de l'information chez Cohesity
Ces plateformes fournissent également en temps réel des indicateurs essentiels pour les rapports et les audits de conformité, ce qui renforce la sécurité et la productivité, car les collaborateurs n'ont plus besoin de rassembler manuellement des données provenant de plusieurs outils. Cela simplifie le flux de travail, élimine la multiplication des outils d' et centralise les données de conformité en un seul endroit.
De nombreux observateurs s'accordent à dire qu'à mesure que nous sortirons de la crise du COVID-19, les entreprises seront tentées de faire fi du RGPD et d'autres réglementations en matière de protection de la vie privée, et il incombe à leurs conseillers juridiques et de sécurité de leur faire prendre conscience des risques que cela comporte.
« Il est fort probable que la conformité au RGPD soit devenue une priorité moindre pour certaines organisations », déclare Oliver Cronk, architecte en chef pour la région EMEA chez Tanium. « Je pense que certaines négligences pourraient se produire et entraîner des amendes importantes au titre du RGPD au cours des une ou deux prochaines années. »
