RGPD : Réduisez vos risques, protégez vos clients

Conformité    | 14 septembre 2017

Vous avez respecté le RGPD, mais vous risquez toujours d’être victime d’une violation et les amendes sont très élevées. Comment pouvez-vous minimiser le risque ?

D’ici le 25 mai 2018, les entreprises qui font des affaires avec des résidents de l’UE devront respecter les normes du Règlement général sur la protection des données (RGPD) sous peine d’amendes pouvant atteindre 20 millions d’euros ou 4 % de leurs bénéfices annuels mondiaux. Mais même si votre entreprise respecte le règlement, les pirates informatiques continueront d’essayer d’accéder à vos données et, s’ils y parviennent, vous pourriez faire face à des recours collectifs et à la destruction de la confiance durement gagnée des consommateurs.

Et vous pourriez toujours être confronté à des amendes du RGPD.

L’actualité regorge de bonnes raisons de se méfier des consommateurs, comme la violation d’Equifax en 2017, au cours de laquelle 143 millions de dossiers ont été volés, y compris les numéros de sécurité sociale qui y étaient liés. Mais si vous pouvez démontrer que vous avez pris toutes les mesures possibles pour protéger les personnes qui comptent sur vous, les tribunaux et vos clients seront plus susceptibles de vous accorder le bénéfice du doute.

Le chiffrement est une étape évidente

Le chiffrement fait partie du RGPD. En vertu du règlement, vous devez donc convertir vos données dans un format codé, difficile à déverrouiller, qui préserve l’authentification, l’intégrité et la non-répudiation. Mais vous devez également mettre en œuvre la minimisation et la dépersonnalisation des données.

En termes simples, la minimisation des données signifie que vous ne demandez ni ne conservez pas plus que ce dont vous avez besoin, tandis que la dépersonnalisation supprime temporairement les liens entre les points de données et les personnes qu’ils décrivent.

Minimisation des données

Avec autant de données personnelles disponibles, il peut être tentant de collecter et de recouper de nouvelles informations pour en savoir plus sur vos clients. Mais les consommateurs n’apprécient pas cette pratique et sont de plus en plus méfiants à l’idée de partager leurs informations. Ainsi, même si le nom et le numéro de téléphone d’un proche sur un compte de services financiers peuvent aider à vérifier l’identité de la famille en cas de décès du titulaire du compte, demander les données professionnelles du proche peut être une mesure excessive. Et vous franchissez certainement la ligne si vous utilisez des données à des fins non acceptées par le client.

Le RGPD stipule explicitement que vous devez limiter la quantité de données que vous collectez, ainsi que la manière dont vous les utilisez. Elle stipule également que vous ne pouvez utiliser les données qu’à des fins légales et spécifiées, et souligne l’importance d’avoir un plan pour détruire les informations une fois l’utilisation convenue terminée.

Et franchement, moins de données signifie moins de données à voler.

Désidentification

Votre institution peut avoir besoin de lier directement certaines données aux noms des personnes dans certains cas, par exemple en conservant les noms, les numéros de compte et les adresses ensemble pour la génération de relevés de compte. Cependant, d’autres groupes de travail n’auront pas besoin d’informations d’identification, mais devront peut-être pouvoir les relier ultérieurement.

La désidentification est différente de l’anonymisation ; les informations sont toujours liées, mais des mesures sont prises pour les masquer. Cela peut inclure l’attribution de pseudonymes aux personnes, ainsi que la « k-anonymisation », qui masque ou remplace des détails susceptibles de révéler une identité, comme une date de naissance.

Dans le cadre du chiffrement, la dépersonnalisation rend l’utilisation des informations volées beaucoup plus difficile pour les pirates informatiques.

Les avantages de la minimisation des risques

Bien qu’il s’agisse d’une loi européenne, le respect du RGPD a de la valeur, quel que soit le lieu où votre entreprise exerce ses activités. Le respect de ces normes, la minimisation de votre collecte de données et la garantie de la dépersonnalisation vous aideront à protéger votre réputation, à donner à vos clients des raisons de vous faire confiance et à réduire votre risque global.