Qu'est-ce que la conformité des données ?

Qu'est-ce que la conformité des données ?

La conformité des données désigne le fait de respecter les lois et normes du secteur pour le stockage, le traitement ou le traitement des informations personnelles ou des données sensibles. Afin de protéger la confidentialité, il existe aujourd'hui de nombreux types de réglementations différentes concernant les données personnelles et les données sensibles. Les actions des organisations qui ne respectent pas ces réglementations peuvent constituer une violation de données personnelles et, par conséquent, donner lieu à des pénalités ou autres sanctions par les organismes dirigeants compétents.

Les personnes ont différents droits concernant leurs données personnelles en vertu de ces cadres réglementaires. Les droits et la manière dont ces droits sont décrits peuvent varier d'une juridiction à l'autre ; il n'existe pas d'ensemble de normes universelles. Toutefois, l'adoption de bonnes pratiques en matière de traitement des données personnelles (par exemple, les pratiques équitables en matière d'information) peut permettre à une entreprise de démarrer sur la bonne voie en matière de conformité.

Pourquoi la conformité des données est-elle importante ?

Protection de la confidentialité individuelle :

La conformité aux réglementations sur la confidentialité des données, comme l'expression l'indique, permet de préserver la confidentialité des données personnelles. De nombreux ensembles de lois sur la confidentialité garantissent aux consommateurs le contrôle de leurs données, leur permettant de les modifier ou, dans certains cas, de les supprimer, et exigent que les organisations qui collectent des données permettent aux consommateurs de savoir qui peut voir leurs données et comment celles-ci seront utilisées.

Cloudflare, à l'instar de nombreuses organisations, considère la confidentialité comme un objectif souhaitable en soi. Toutefois, quelle que soit l'importance qu'elles accordent à la confidentialité, les organisations qui respectent la confidentialité des consommateurs s'attireront plus facilement la confiance des utilisateurs et des clients.

Éviter les amendes et autres sanctions :

Les organisations qui souhaitent continuer à exercer leurs activités dans différentes régions et éviter les conséquences négatives telles que les amendes doivent faire de la conformité des données une priorité. De nombreux cadres réglementaires confèrent aux tribunaux locaux le pouvoir d'imposer des amendes, des sanctions et d'autres pénalités en cas d'infraction.

Par exemple, les amendes prévues par le règlement général sur la protection des données (RGPD) sont les suivantes :

• Les violations de premier niveau entraînent une amende maximale de 10 millions d'euros ou de 2 % du revenu annuel mondial de l'entreprise, le montant le plus élevé étant retenu.
• Les violations de deuxième niveau entraînent une amende maximale de 20 millions d'euros ou de 4 % du revenu annuel mondial de l'entreprise, le montant le plus élevé étant retenu.
• En plus de ces amendes, les particuliers peuvent demander des dommages et intérêts lorsqu'une entreprise viole ses droits à l'égard du RGPD

Éviter les violations de données :

Bien que la conformité des données et la sécurité des données soient des notions différentes, les contrôles requis par la plupart des cadres de confidentialité des données ont généralement pour effet de renforcer la sécurité des données et la probabilité d'une violation de données s'en trouve réduite.

La conformité des données est-elle identique à la sécurité des données ?

Pas tout à fait, même si, d'une certaine manière la conformité et la sécurité interagissent. Par exemple, une partie de la conformité des données consiste à mettre en place des contrôles pour empêcher que les personnes non autorisées ne consultent les données, ce qui renforce également la sécurité.

La conformité et la sécurité font toutefois appel à des efforts différents qui, en réalité, sont parfois contradictoires. Ainsi, si un outil anti-logiciels malveillants tiers analyse tous les fichiers du personnel, cette opération peut renforcer la sécurité. Il peut également mettre l'organisation en défaut de conformité si l'outil tiers ne respecte pas scrupuleusement les normes réglementaires applicables.

Il est important que les équipes chargées de la sécurité et de la confidentialité d'une entreprise collaborent étroitement afin d'éviter tout conflit entre ces deux initiatives, la conformité et la sécurité.

Quelles sont les principales normes de conformité des données à respecter ?

Chaque région a généralement ses propres réglementations en matière de données, et les organes législatifs en adoptent de nouvelles en permanence. Voici quelques-uns des dispositions règlementaires qui s'appliquent probablement à toutes les entreprises dont les activités sont internationales :

• Règlement général sur la protection des données (RGPD) : il s'agit d'un texte règlementaire sur la confidentialité des données qui établit un cadre pour la collecte, le traitement, le stockage et le transfert des données personnelles. Le RGPD s'applique à toutes les organisations qui proposent des biens et des services aux personnes de l'UE.
• Loi HIPAA (Health Insurance Portability and Accountability Act) : il s'agit d'une loi fédérale américaine qui régit la manière dont les informations médicales sont traitées. Les États-Unis ne disposent actuellement pas d'un cadre global de confidentialité des données, mais disposent de réglementations spécifiques à un secteur comme l'HIPAA.
• PCI DSS (Payment Card Industry Data Security Standard) : ce cadre est géré et appliqué par le Conseil des normes de sécurité PCI (PCI SSC), un groupe privé fondé par un certain nombre de sociétés de cartes de crédit. La norme PCI DSS s'applique aux entreprises qui traitent des transactions par carte de crédit ou de débit.

Il existe également la loi californienne sur la protection de la vie privée des consommateurs (CCPA), la directive sur la protection de la vie privée, la loi CAN-SPAM (Controlling the Assault of Non-Solicited Pornography and Marketing) et la loi Sarbanes-Oxley (SOX).

Les mesures à prendre pour la conformité des données

La conformité des données exige un effort constant, qui ne garantit toutefois jamais qu'une organisation est pleinement conforme. Cependant, certaines pratiques améliorent la probabilité de conformité des données.

• Inventaire des données : une entreprise doit savoir de quelles données elle dispose et où elles se trouvent. C'est à ce niveau qu'une stratégie globale de gouvernance des données peut s'avérer utile.
• Contrôle d'accès : ce contrôle limite la disponibilité des données aux seuls utilisateurs et services qui en ont besoin afin de réduire l'exposition des données, d'empêcher les mouvements latéraux des acteurs malveillants et de préserver la sécurité des données. Une personne malveillante qui consulte les données personnelles peut, dans certains cas, mettre une organisation en défaut de conformité. Le contrôle des accès est donc d'une importance capitale.
• Chiffrer les données au repos et en transit : le chiffrement brouille les données afin que seuls les personnes ou les services ayant la capacité de les déchiffrer puissent les consulter ou les modifier.
• Former les collaborateurs et les sous-traitants : la formation et l'éducation sont extrêmement importantes pour prévenir les violations accidentelles de données et de conformité.
• Journaliser l'utilisation des données et réaliser des audits : la journalisation permet aux organisations d'apporter la preuve de leur conformité aux autorités extérieures et de confirmer que les politiques de données appropriées sont bien suivies.
• Connaître et étudier les réglementations qui s'appliquent : différents cadres réglementaires en matière de données peuvent s'appliquer, en fonction de l'endroit où une entreprise opère, de l'endroit où ses clients se trouvent et de son secteur d'activité. Les organisations doivent employer des personnes possédant l'expertise des réglementations applicables et capables de les aider en matière de gouvernance des données et de conformité. Il s'agit, en réalité, d'une exigence imposée par certaines réglementations : le RGPD impose aux entreprises d'une certaine envergure d'engager un « responsable de la protection des données ».

La conformité fait partie intégrante des activités de Cloudflare, l'entreprise est conçue pour offrir aux organisations les fonctionnalités et les solutions dont elles ont besoin pour rester conformes. Le cloud de connectivité de Cloudflare simplifie la conformité en proposant des mesures de contrôle composables regroupées sur une plateforme unique. Découvrez comment Cloudflare simplifie la conformité des données.