Guide de conformité du stockage des données d’entreprise

Il peut être difficile pour les entreprises de se conformer aux lois et réglementations relatives au stockage, à la gestion et à la protection des données, car celles-ci évoluent constamment au gré de nouvelles règles et exigences. En considérant la conformité comme une opportunité plutôt que comme un frein à l’innovation, elles peuvent au contraire y voir une étape vers une meilleure expérience client fondée sur une gouvernance intégrée des données et une utilisation fiable des données. 

Voici ce que les dirigeants informatiques doivent savoir sur la conformité du stockage des données d’entreprise.

Comprendre la conformité du stockage des données

La conformité des données désigne le respect, par une organisation, des lois, réglementations et normes sectorielles relatives au stockage des données afin de garantir leur sécurité, leur confidentialité et leur intégrité tout en réduisant les risques. Elle aide l’organisation à respecter les réglementations sur la confidentialité et à maintenir des processus appropriés de conservation et de suppression des données.

Mais la conformité des données peut être difficile à assurer. Les lois sur la protection des données évoluent constamment, et les organisations doivent suivre ces changements pour rester en conformité. La situation est encore plus complexe pour les organisations opérant à l’international, car elles doivent respecter les lois propres à chaque juridiction en matière de protection et de stockage des données.

Pourquoi avons-nous besoin de réglementations sur la conformité du stockage des données ?

Il existe plusieurs raisons de respecter les réglementations relatives au stockage des données. Voici quelques-unes des plus importantes.

Exigences légales et réglementaires

Le non-respect des lois sur la protection des données et la confidentialité est puni par la loi. Pour les organisations, il ne s’agit pas seulement d’éviter de lourdes amendes et sanctions, mais aussi de préserver leur bonne réputation dans leur secteur.

Sécurité des données

La conformité des données implique de protéger les informations réglementées contre les utilisations abusives afin de mieux sécuriser les actifs de valeur et de réduire les risques de violation de données. Pour éviter les sanctions liées aux violations, les entreprises doivent impérativement veiller à ce que leurs priorités en matière de sécurité et de stockage des données soient alignées.

Confiance des consommateurs et confidentialité

Les consommateurs sont plus conscients que jamais de leurs données personnelles et de leurs droits en la matière. Le respect des réglementations sur la protection des données les rassure quant à l’importance que votre organisation accorde à leur confidentialité et à la gestion rigoureuse des données.

Avantage concurrentiel

Les organisations qui prennent des mesures proactives pour garantir la conformité des données se distinguent de leurs concurrents par leur engagement en faveur de la sécurité et de la confidentialité des données. Cet engagement inspire également la fidélité des clients qui accordent de la valeur à une gestion responsable des données.

Efficacité opérationnelle

Des politiques et protocoles clairement définis contribuent à rationaliser la gestion des données et à faciliter une gestion efficace des risques. Les entreprises peuvent ainsi fonctionner plus efficacement et offrir une meilleure expérience à leurs clients et à leurs collaborateurs.

Normes et réglementations en matière de conformité

Règlement général sur la protection des données (RGPD)

Le RGPD a été conçu en plaçant le contrôle des personnes et leurs droits sur les données au cœur de ses préoccupations. Il vise également à réglementer les politiques de données des entreprises internationales au moyen d’une législation unique et simple. Selon le RGPD, cette législation s’applique à toute entreprise qui traite les données personnelles de citoyens ou de résidents de l’UE, quel que soit le lieu de son siège. Le règlement établit également des règles pour le traitement et la libre circulation des données personnelles.

Les sanctions en cas de violation du RGPD sont très lourdes. Deux types d’amendes peuvent être appliqués : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé. Les personnes dont les données personnelles ont été compromises peuvent demander une indemnisation supplémentaire pour les préjudices subis. 

Le Règlement général sur la protection des données a posé les fondations des lois mondiales sur la confidentialité des données qui consacrent le droit fondamental de chacun au respect de sa vie privée. Plus de 100 pays ont suivi son exemple et adopté leurs propres réglementations sur la confidentialité des données.

Loi Sarbanes-Oxley

La loi Sarbanes-Oxley, souvent abrégée en SOX ou Sarbox, est une loi fédérale américaine qui impose aux cabinets d’expertise comptable de conserver les documents relatifs aux audits pendant sept ans. Les entreprises cotées doivent conserver les documents de paie pendant sept ans et les bons de commande pendant cinq ans. Le non-respect de ces obligations peut entraîner des amendes, une peine d’emprisonnement, ou les deux.

La loi Sarbanes-Oxley a été adoptée par le Congrès américain en 2002, à la suite des scandales comptables d’Enron et de WorldCom. S’appliquant aux cabinets d’expertise comptable et aux entreprises cotées, la SOX vise à protéger les investisseurs et à garantir que les informations financières et autres communications d’une entreprise reflètent fidèlement son fonctionnement.

Les entreprises privées doivent elles aussi tenir compte des exigences de conformité à la SOX. Les dispositions relatives à la falsification ou à la destruction intentionnelle de documents visant à entraver une enquête fédérale s’appliquent également aux entreprises privées.

Health Insurance Portability and Accountability Act de 1996 (HIPAA)

La Health Insurance Portability and Accountability Act de 1996 (HIPAA) est une loi fédérale américaine qui interdit aux entités couvertes, notamment les prestataires de soins et les compagnies d’assurance maladie, de divulguer les informations de santé des patients sans leur consentement ou à leur insu. Adoptée par le Congrès en 1996, la HIPAA traite de nombreuses questions, notamment la protection de la couverture santé des travailleurs lorsque leur situation professionnelle change. Elle comprend également des dispositions strictes en matière de confidentialité et de sécurité visant à protéger les informations des patients.

La HIPAA encadre strictement la gestion et le partage des informations de santé protégées (PHI), sous toutes leurs formes. La violation des règles de confidentialité de la HIPAA peut entraîner des amendes comprises entre 127 et 250 000 dollars par violation, selon la nature de la violation de la HIPAA. La divulgation intentionnelle de PHI peut également entraîner une peine d’emprisonnement pouvant aller jusqu’à 10 ans.

La règle de confidentialité de la HIPAA encadre l’utilisation et la divulgation des informations de santé protégées, ou PHI, des personnes et des organisations, également appelées « entités couvertes ». Elle définit les droits des personnes à contrôler l’utilisation de leurs informations sensibles. Son objectif principal est de faciliter la circulation des informations de santé nécessaires à la fourniture de soins de qualité, tout en protégeant les informations de santé des personnes. 

Payment Card Industry Security Standards Council (PCI SSC)

Fondé par American Express, Discover Financial Services, JCB International, MasterCard et Visa, le PCI Security Standards Council définit les exigences mondiales relatives à la protection et à la gestion des données de cartes bancaires par les entreprises. La norme PCI DSS établit des exigences techniques et opérationnelles de base destinées à protéger les données des comptes.

Le PCI Security Standards Council a publié la norme PCI Data Security Standard 4.0 en mars 2022. La version 4.0 de la PCI DSS remplace la version 3.2.1, en intégrant les nouvelles menaces et les technologies permettant de les combattre. La version 3.2.1 de la PCI DSS restera active pendant une période de grâce de deux ans, jusqu’au 31 mars 2024.

La mise à jour porte sur les points suivants :

• Évolution des besoins de sécurité liés aux paiements
• Considérer la sécurité comme un processus continu
• Améliorer les méthodes et procédures de validation
• Accroître la flexibilité pour intégrer des méthodes de sécurité alternatives

Lois fédérales et lois des États américains

La commission de l’Énergie et du Commerce de la Chambre des représentants des États-Unis a tenu trois réunions programmées pour examiner une nouvelle version de l’American Data Privacy and Protection Act (ADPPA), la législation fédérale sur la confidentialité n’ayant pas encore été promulguée. Le projet de loi fédéral sur la conformité a été présenté pour la première fois à la Chambre en juin 2022.

Aux États-Unis, la protection et la confidentialité des données sont principalement régies par des lois étatiques telles que les textes suivants :

Le California Privacy Rights Act (CPRA), qui élargit le California Consumer Privacy Act (CCPA) de 2018 pour inclure le droit de restreindre l’utilisation des données personnelles, le droit de rectification, le droit d’accès et le droit de s’opposer. Il crée également une nouvelle autorité de contrôle, la California Privacy Protection Agency (CPPA), chargée de faire respecter les droits relatifs à la confidentialité des données en Californie.

• Le Virginia Consumer Data Protection Act (VCDPA), entré en vigueur le 1er janvier 2023, s’applique aux organisations gouvernementales comme non gouvernementales qui contrôlent et traitent des données personnelles.
• Le Colorado Privacy Act (CPA), entré en vigueur le 1er juillet 2023, donne aux résidents du Colorado le droit de refuser que leurs données privées soient utilisées ou vendues à des fins de publicité ciblée.
• La Connecticut Data Privacy Act (CTDPA), entrée en vigueur le 1er juillet 2023, donne aux résidents du Connecticut le contrôle des données personnelles collectées par les entreprises opérant dans l’État.
• La Utah Consumer Privacy Act (UCPA), dont l’entrée en vigueur était prévue le 31 décembre 2023, prévoit qu’aucune évaluation de la protection des données ne soit exigée pour certains types d’activités de traitement, notamment pour les entreprises dont le chiffre d’affaires annuel dépasse 25 millions de dollars US.

Principaux points à prendre en compte pour la conformité du stockage

Conservation des données

Les professionnels de l’informatique doivent conserver les données clients tout en veillant à ce qu’elles n’aient pas été modifiées. Cela implique souvent d’utiliser des solutions conformes au modèle WORM (Write Once, Read Many), ainsi que d’autres méthodes garantissant que les informations stockées dans des archives et des référentiels de données à long terme restent inchangées et accessibles si l’organisation fait l’objet d’un contrôle réglementaire.

Les différents types de données sont soumis à des durées de conservation différentes, et les entreprises collectent aujourd’hui plus d’informations sur leurs clients que jamais auparavant. 

La conformité des données a un coût, mais les organisations doivent appliquer des politiques de conservation des données dans le cadre de leur stratégie globale de stockage des données.

Le chevauchement entre stockage et sécurité des données

L’un des aspects les plus lourds de conséquences de la conformité des données réside dans la façon dont la sécurité s’immisce dans le processus.

De nombreux cadres réglementaires comprennent des règles de notification des violations, qui obligent les entreprises à alerter leurs clients en cas de fuite de leurs données et à s’exposer à des sanctions en cas de mauvaise gestion. Pour éviter ce type de sanction, les entreprises doivent impérativement veiller à ce que leurs priorités en matière de sécurité et de stockage des données soient alignées.

La conformité des données implique de protéger les informations réglementées contre les utilisations abusives, ce qui oblige souvent les baies et autres systèmes de stockage à prendre en charge des mécanismes cryptographiques tout en continuant à offrir des niveaux de performance élevés.

Bonnes pratiques en matière de conformité des données

1. Créez une politique de conformité des données. Cette politique doit présenter l’approche de votre organisation en matière de protection des données, de confidentialité et de conformité. Elle doit inclure des directives concernant la collecte, le traitement, le stockage, le partage, la conservation et la suppression des données.
2. Mettez en œuvre des mesures rigoureuses de sécurité des données. Cela comprend l’utilisation du chiffrement, de contrôles d’accès, de pare-feu et d’autres technologies de sécurité pour protéger les données sensibles contre tout accès, toute divulgation, toute modification ou toute destruction non autorisés.
3. Réalisez des audits réguliers. Cela vous aidera à vous assurer que votre organisation respecte ses politiques de conformité des données et maintient la sécurité des données.
4. Surveillez les tiers. Si vous externalisez certaines activités de traitement de vos données, vous devez vous assurer que les prestataires tiers respectent eux aussi les réglementations sur la protection des données.
5. Élaborez un plan de réponse aux violations de données. Ce plan doit prévoir les mesures à prendre pour contenir la violation, informer les personnes concernées et enquêter sur l’incident.

La conformité des données : une étape essentielle pour la sécurité et la confiance des clients

La conformité des données peut être difficile à gérer et coûteuse en cas d’erreur. Vous devez prendre toutes les précautions nécessaires pour contrôler la manière dont les données sont stockées et accessibles. Une documentation appropriée peut résoudre de nombreux problèmes de conformité et fournir des moyens de gérer les incidents indésirables, tels que les violations de données. Mais au-delà de la documentation, votre infrastructure de stockage et vos données doivent faire l’objet d’une surveillance étroite, avec des tests et des audits réguliers.

Le respect des exigences de conformité et des réglementations en matière de données inspire la confiance et la fidélité des clients. Bien que la conformité du stockage des données puisse être difficile à gérer, elle est à la fois nécessaire et utile lorsqu’il s’agit de traiter correctement les énormes volumes de données générés chaque jour.

À lire ensuite : 7 éléments essentiels des réglementations sur la conformité du stockage des données