Alors que les économies avancées commencent à émerger de la pandémie, de plus en plus d’entreprises se déclarent ouvertes aux affaires. Cela implique les questions suivantes : les régulateurs sont-ils également ouverts aux affaires ? Ont-ils déjà disparu ?
Eh bien, comme beaucoup d’autres entreprises, les régulateurs et les chiens de garde sont allés à distance et ont ajusté leurs protocoles, mais ils n’ont pas disparu.
Peut-être une meilleure question à poser, au milieu des bouleversements de la COVID-19 et des défis qu’elle pose aux entreprises : les régulateurs ont-ils assoupli certaines règles pour donner aux entreprises de l’espace dans la pandémie ?
Prenez le Règlement général sur la protection des données de l’Union européenne, qui est entré en vigueur il y a trois ans. La loi, conçue pour traiter le transfert de données personnelles en dehors de l’UE et de l’Espace économique européen et donner aux personnes le contrôle sur leurs propres informations, a apporté un changement sismique à toute entreprise gérant les informations des personnes et faisant des affaires avec le bloc de 27 pays.
La législation a ouvert la voie aux pays de l’UE pour imposer des amendes aux entreprises représentant jusqu’à 4 % des ventes annuelles pour les violations de données.
Poussées par la menace de sanctions stupéfiantes, les organisations ont fait baisser les niveaux de ressources en conformité avant la promulgation du RGPD. Près de huit entreprises américaines sur 10 ont pris des mesures pour se préparer aux règles, 27 % dépensant plus d’un demi-million de dollars pour se conformer, selon LegalJobs, une plateforme de recrutement pour les professionnels du droit.
Bouton Hot
Alors que la pandémie s’est produite l’année dernière, selon Omer Tene, vice-président et directeur des connaissances de l’International Association of Privacy Professionals (IAPP), les régulateurs ont reconnu les circonstances uniques que les entreprises ont rencontrées alors que les lignes d’approvisionnement étaient perturbées, que les relations commerciales étaient bouleversées et que l’ensemble du personnel passait au télétravail. Mais à mesure que les entreprises reprennent leurs activités normales, il faut s’attendre à ce que les autorités de protection des données « changent de cap et accélèrent les procédures d’application, y compris dans des domaines tels que les technologies publicitaires et les transferts de données mondiaux », déclare M. Tene.
« Nous suivons les amendes, et nous avons vu une tendance à l’augmentation des sanctions. »Hilary Wandall, vice-présidente principale des renseignements sur la confidentialité et directrice juridique chez TrustArc
Bien sûr, aucun régulateur ne va admettre que les règles et la conformité ont été assouplies pendant la pandémie. De son côté, le Bureau du commissaire à l’information du Royaume-Uni a déclaré qu’il serait « flexible » dans son approche et qu’il se concentrerait sur les « risques les plus graves et les plus grandes menaces pour le public » dans son approche réglementaire publiée le 4 juin 2021. Le mois dernier, Dominic Cummings, ancien conseiller controversé du Premier ministre Boris Johnson, a déclaré lors d’une audience parlementaire qu’il avait dit aux agences d’ignorer les lois de l’UE sur la protection des données afin d’aider à coordonner la réponse de la Grande-Bretagne au pandemic.pa
Hilary Wandall, vice-présidente principale des renseignements sur la confidentialité et directrice juridique chez TrustArc, conseillère en gouvernance de l’information et en sécurité des données, déclare que même s’il peut y avoir une perception que la mise en œuvre du RGPD a ralenti dans un sens général, davantage de sanctions sont en fait prononcées.
« Nous suivons les amendes, et nous avons vu une tendance à l’augmentation des sanctions », déclare M. Wandall.
Elle souligne l’ amende de 6 millions d’euros remise à CaixaBank par l’Autorité espagnole de protection des données (AEPD) plus tôt cette année pour ne pas avoir traité les données personnelles légalement et ne pas avoir fourni aux clients des informations adéquates sur les politiques de confidentialité. Le mois précédent, en décembre 2020, AEPD a condamné une autre banque espagnole, BBVA, à une amende de 5 millions d’euros pour violation du RGPD.
Malgré la pandémie, les entreprises doivent être vigilantes et se préparer à un examen plus approfondi et à des sanctions potentiellement sévères, déclare Rene Bentvelzen, responsable mondial de la protection des données chez Unit4, basé aux Pays-Bas, qui fournit des applications d’entreprise pour les services professionnels et qui a lancé une initiative de conformité et de sensibilisation lorsque le RGPD est entré en vigueur.
Il dit également que le RGPD ne se limite pas à éviter les amendes paralysantes et que la conformité est « simplement une bonne pratique commerciale et une bonne image de réputation ».
Colère du régulateur
Il existe un certain nombre de mesures que les entreprises peuvent prendre pour se conformer au RGPD afin d’éviter la colère des régulateurs. Un bon début consiste à décider quelles réglementations s’appliquent, déclare M. Wandall. Les entreprises doivent réfléchir à la manière dont les réglementations se rapportent les unes aux autres, puis élaborer une approche programmatique.
Wandall recommande d’utiliser une structure de cadre pour soutenir la gouvernance. « Vous avez besoin de personnes qui comprennent les exigences légales, mais également les ingénieurs qui développent les solutions logicielles doivent savoir comment renforcer la confidentialité », dit-il. « Il s’agit de la manière dont vous gérez les données pour une valeur optimale et dont vous gérez les risques. »
« Il s’agit de la manière dont vous gérez les données pour une valeur optimale et dont vous gérez les risques. »
Brian Spanswick, directeur de la sécurité de l’information et responsable informatique chez Cohesity, consultant en données, souligne qu’il n’y a rien de nouveau sous le soleil lorsqu’il s’agit de se conformer au RGPD. Les entreprises peuvent améliorer la confidentialité et la visibilité en chiffrant les données confidentielles en transit et au repos, en limitant ou en éliminant les options qui permettent aux utilisateurs de télécharger des données confidentielles sur des machines personnelles et en utilisant des réseaux sécurisés avec des réseaux privés virtuels lors de l’accès aux données confidentielles.
« Les gens doivent se rappeler que ces protections de la vie privée gagnent du terrain pour une raison, et qu’il ne s’agit pas seulement de la conformité aux réglementations », déclare Spanswick. « Il s’agit également d’être de bons gestionnaires des données de nos clients et partenaires. »
Pour ce faire, les entreprises doivent garder une longueur d’avance sur les méchants, qui cherchent à exploiter les vulnérabilités et les mauvaises configurations des endpoints et des réseaux. L’utilisation d’une plateforme appropriée pour la gestion des configurations de sécurité, qui offre des données en temps réel et des outils de remédiation, peut aider les RSSI et les responsables des opérations informatiques non seulement à améliorer l’hygiène informatique, mais également à obtenir une visibilité quasi instantanée sur des dizaines de milliers d’endpoints sur leurs réseaux.
« Il ne s’agit pas seulement de la conformité aux réglementations. Il s’agit également d’être de bons gestionnaires des données de nos clients et partenaires. »Brian Spanswick, directeur de la sécurité de l’information et responsable informatique chez Cohesity
Ces plateformes offrent également des mesures pour les rapports clés et les audits de conformité en temps réel, ce qui renforce la sécurité et la productivité, car les travailleurs n’ont pas à gérer les données de plusieurs outils à la main. Cela simplifie le workflow, élimine la prolifération des outils et met les données de conformité en un seul endroit.
De nombreux commentateurs s’accordent à dire qu’à mesure que nous émergeons de la COVID-19, les entreprises seront tentées d’ignorer le RGPD et d’autres réglementations sur la protection de la vie privée, et il incombe à leurs aides juridiques et de sécurité d’impressionner sur elles les risques de le faire.
« Il est très possible que la conformité au RGPD soit devenue moins une priorité pour certaines organisations », déclare Oliver Cronk, architecte en chef pour la région EMEA chez Tanium. « Je pense que certaines supervisions pourraient se produire, ce qui entraînera d’importantes amendes au titre du RGPD au cours de l’année ou des deux prochaines. »
