Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia - 237

de la base légale, et donc de
l'information des personnes
concernées ou du recueil de leur
consentement ;
■	 le prestataire fournit son assistance en cas de demandes des
personnes dont les données sont
traitées ou en cas de faille de
sécurité engendrant une perte,
corruption ou indisponibilité
des données, et met en œuvre
des mesures palliatives.
Le recours aux applications de
visioconférence, en particulier,
pose question. Très prisées par
leur caractère convivial et pour
leurs
options
collaboratives,
certaines constituent de vraies
menaces sur la protection des
données personnelles.  L'Anssi a
certifié l'une d'elles3. Certaines
sont proposées par des fournisseurs reconnus et largement
sensibilisés au RGPD, sans que
cela dispense pour autant l'entreprise des vérifications rappelées
ci-avant. Mais d'autres applications, simples d'installation (sans
inscription préalable), ont posé
de graves problèmes de sécurité.
Or, c'est justement leur simplicité
qui a poussé un grand nombre
d'entreprises à y recourir en
urgence dès le début du confinement. L'application Zoom4 a connu
un succès massif et immédiat,
puis un retour de flamme dû à des
défauts dénoncés par des experts
en sécurité (serveur web insuffisamment sécurisé et facilement
piraté, data leaks du fait du « social
login  » Facebook qui en profite
pour implanter son SDK et collecter des données, porosité aux
malwares, absence de chiffrement
de bout en bout, injection automatisée des carnets d'adresses,
croisement de données avec les
profils sociaux des utilisateurs
sans leur consentement, etc.).
Ce n'est ici qu'un exemple des
dangers encourus si l'on utilise des
outils de travail distant sans mettre
en œuvre les précautions exigées
par le RGPD. Certes, la sécurité
peut nuire à la fluidité mais
justement  : les obligations légales

de l'entreprise lui interdisent de
confondre vitesse et précipitation.
Si l'urgence empêche l'entreprise
de procéder aux vérifications qui
s'imposent, elle doit renoncer aux
outils vendus à grand renfort de
slogans chocs et de boniment
marketing, et résister au solutionnisme ambiant. Dans de nombreux
cas qui n'impliquent pas de
partager des documents, une
conférence téléphonique permet
tout aussi bien d'organiser une
réunion de travail qu'une application sur tablette...
Les employeurs doivent également
déployer des plans de continuité
d'activité (PCA) et de reprise
d'activité (PRA). Ces plans se
concentrent généralement sur
les modalités de sécurisation des
outils et connexions distantes,
mais
ils
doivent
également
comporter des mesures organisationnelles,
et
l'information
nécessaire à la protection des
données personnelles. Or, trop peu
de PCA l'évoquent. Pourtant, rien
ne vient exonérer les responsables
de traitement de leur obligation
d'information
des
personnes
concernées lorsqu'ils déclenchent
le PCA.
A toutes ces précautions d'ordre
technique et contractuel, s'ajoute
la nécessaire sensibilisation des
salariés. La sécurité n'est pas
qu'une question de technologies,
mais aussi de comportement. Ce
que la technique ne permet pas de
faire, la formation doit y suppléer.

La sensibilisation
et l'information des équipes
La protection des données personnelles ne comprend pas que les
mesures techniques à déployer par
la DSI, tant bien que mal, sur des
outils qu'elle ne maîtrise pas  : elle
repose aussi sur la vigilance du
personnel. Le recours au télétravail implique une sensibilisation
spécifique. Si la charte informatique de l'entreprise ne prévoyait
pas déjà un chapitre afférent,
l'entreprise doit y remédier au plus
EXPERTISES Juin 2020

tôt et, dans l'immédiat, diffuser
des notes d'information, quitte à
actualiser les chartes internes dans
un second temps via la validation
par les instances représentatives
du personnel.
L'entreprise doit rappeler les
précautions à observer quand on
travaille de chez soi, y compris
sur ses outils personnels, car les
données manipulées sont celles
de l'entreprise (dont les données
personnelles des clients, fournisseurs, partenaires, prospects) qu'il
incombe à chacun de protéger
dans ce contexte exceptionnel. Le salarié doit surveiller les
outils utilisés et s'abstenir de tout
comportement à risque. En clair,
on ne télécharge pas un film piraté
sur l'ordinateur qu'on utilise pour
les visioconférences du lundi...
La Cnil a émis une liste de bonnes
pratiques à adopter par le salarié
lui-même5  : vérifier les dispositifs
de sécurité de son PC, renouveler
ses mots de passe, sauvegarder
souvent son travail. Certains
conseils
sont
spécifiquement
tournés vers le télétravail6 dont
l'émission de règles minimales de
confidentialité à respecter, contrôle
des accès distants, etc.
Le salarié doit aussi signaler toute
fuite de données qu'il constaterait,
ou dont il serait malheureusement
à l'origine par erreur de manipulation. L'utilisation de ressources
personnelles court-circuite souvent
les mesures automatisées du réseau
d'entreprise. Il suffit d'un serveur
distant indisponible, d'une panne
d'un PC personnel ou de la destruction accidentelle d'une sauvegarde
pour créer une violation de
données.
Or, l'employeur est tenu de signaler
toute violation de données conformément à l'article 33 du RGPD7. Et
pour ne rien arranger, le piratage
informatique profite bien entendu
de la situation pour tromper
la vigilance des équipes  : on a
constaté une forte recrudescence
de tentatives de phishing à l'occasion du confinement.

237
Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia
