Catégorie : Examin

Cette semaine, l’équipe Examin vous propose un TOP 5 EXAMIN des meilleures newsletters compliance et numérique à suivre d’urgence pour être au courant des derniers potins de la conformité et de la tech, française et internationale.

Compliances

Compliances est un média tech et business de l’éthique des affaires et de la conformité qui vous envoie chaque semaine une newsletter croustillante avec son chiffre de la semaine, des actus brûlantes, mais aussi les dernières offres d’emploi et l’agenda détaillé des événements compliance. C’est le coup de cœur Examin ! Lien : compliances.fr

Bip Bip! News

Bip Bip! News est LA newsletter spécialisée en droit des affaires. Elle scanne les médias pour vous et vous présente les points forts de la semaine. Envoyée tous les vendredis à 17h00 ; petit conseil Examin : ouvrez-la le lundi matin pour bien commencer la semaine. Lien : bipbipnews.com

CaféTech

CaféTech est un média indépendant sur l’actualité des nouvelles technologies, lancé par un ancien correspondant du Monde à San Francisco. Chaque matin à 7h30 pile, un récap’ des dernières infos tech essentielles. Lien : cafetech.fr

Droit & Technologies

Le site Droit & Technologie, sous l’égide du cabinet franco-belge Ulys spécialisé dans le droit de la création et de l’innovation, vous envoie ses dernières parutions et actualités. On adore leurs articles pointus qui traitent un sujet dans son ensemble. Lien : droit-technologie.org

Concurrences

Concurrences est un éditeur juridique spécialisé en droit de la concurrence et de la régulation. Chaque semaine, sa newsletter E-Competitions vous envoie ses meilleures publications du moment. Véritable puits de science, Examin vous la recommande chaudement. Lien : concurrences.com

Super bonus : la newsletter Examin !

Chaque mois, l’équipe Examin vous concocte une newsletter aux petits oignons : une sélection des meilleurs articles du mois, toujours avec la compliance en fil conducteur. Belle, drôle et intéressante : c’est évidemment LA newsletter à suivre !

Nous sortons de deux jours d’intenses échanges lors du dernier Salon des Transformations du Droit. Nous avons pu échanger avec des entreprises de toute taille, des cabinets d’avocats, d’autres legaltechs, etc.

Ce qui nous a marqués, c’est le développement des services autour du droit — qu’ils soient issus des métiers du coaching ou du legal design — ainsi que la diversité de vos méthodes de travail et de vos organisations. Même si nous tentons de nous adapter à chacun, il peut y avoir des cas où notre solution peut sembler peu utile.

Pour permettre à nos clients d’expérimenter en grandeur nature notre solution, nous proposons dorénavant une formule « Expérimentation ». Elle permet de définir un périmètre réduit et de vérifier si la solution vous est vraiment utile, de mesurer l’impact sur votre fonctionnement, de définir ensemble une stratégie de mise en conformité, puis, le cas échéant, d’augmenter ce périmètre en fonction de vos souhaits et de vos avancées.

Avec une durée d’engagement réduite à quelques mois, un accompagnement sur les premières utilisations et un tarif adapté. Et si vous ne souhaitez pas poursuivre, toutes les données saisies ou générées sur notre plateforme vous sont remises dans un format exploitable. De quoi lever les dernières interrogations sur le passage à une conformité numérique.

Article rédigé par Frédéric Duflot, CEO d’Examin.

Le mois dernier, nous vous avons demandé de répondre à un questionnaire pour en savoir plus sur vos besoins de conformité. Plus de 43 personnes nous ont répondu — un grand merci à elles ! Nous sommes toujours en phase d’analyse des réponses, déjà riches d’enseignements. On notera ainsi que :

• les évaluateurs et leurs clients ne recherchent pas le même type de fonctionnalités (et c’est normal), mais ne sont pas tout à fait alignés sur les besoins finaux des clients (c’est plus problématique) ;
• les actions de mise en conformité sont majoritairement réalisées par besoin de protection et de réassurance interne, et non vis-à-vis de sollicitations externes (clients ou investisseurs) ;
• il y a une forte concentration des besoins sur la cybersécurité, les données personnelles et, dans une moindre mesure, la qualité ;
• si l’avocat ou le spécialiste métier sont plébiscités pour l’aide à la mise en conformité, personne ne pense à l’expert-comptable comme interlocuteur potentiel.

Les brèves de la protection des données et cybersécurité

#Cybersécurité — Le Campus Cyber inauguré ! Le Campus Cyber a été inauguré le 15 février dernier en présence du ministre de l’Économie. Ses promoteurs souhaitent en faire un lieu-totem de la cybersécurité française et envisagent de réunir, à terme, plus de 1 600 spécialistes issus des secteurs public et privé.

#Protection des données — Le CEPD publie ses lignes directrices sur la notification des violations. Le collectif des « CNIL » des différents États membres poursuit son œuvre de doctrine : les lignes directrices indiquent les mesures de remédiation adéquates et comment réagir face aux cas les plus fréquents (rançongiciel, exfiltration de données, perte de support informatique, etc.).

Zoom sur notre roadmap

Avec 43 répondants, nous avons largement de quoi réfléchir et vous proposer le mois prochain une feuille de route précise. En attendant, ce mois-ci nous avons opéré une migration importante et mis à jour de nombreux composants liés aux différents types de compte :

• vous pourrez désormais choisir entre une évaluation simple et une évaluation personnalisée : lors de la création d’un programme de conformité, l’interface vous demandera de définir le périmètre de votre évaluation par rapport aux différentes cibles proposées dans chaque référentiel (organisation, tiers, système d’information, établissement, etc.) ;
• vous pourrez inviter des affiliés à votre compte et assurer ainsi la conformité de vos filiales, franchisés ou adhérents ;
• la plupart des documents (rapports d’évaluation, fiches de traitement) sont désormais disponibles et éditables en version Word.

Le point de vue Examin : les risques de Google Analytics soulevés par la CNIL

La CNIL a mis en demeure, le 10 février 2022, un gestionnaire de sites internet, lui laissant un mois pour cesser d’utiliser Google Analytics dans les conditions alors en vigueur, sous peine d’une amende pouvant aller jusqu’à 4 % de son chiffre d’affaires annuel mondial.

Google Analytics attribue un identifiant unique à chaque visiteur pour mesurer la fréquentation des sites. Selon la CNIL, cet identifiant et les données associées constituent des données à caractère personnel transférées par Google aux États-Unis. Saisie par l’association NOYB (présidée par Maximilian Schrems), la CNIL a estimé que ces transferts pouvaient exposer les utilisateurs européens à des programmes de surveillance américains et n’étaient « pas suffisamment encadrés ».

Pour arriver à ces conclusions, la CNIL s’appuie sur l’arrêt « Schrems II » de juillet 2020, qui a invalidé le Privacy Shield. Depuis, les transferts vers les États-Unis doivent s’appuyer sur des clauses contractuelles types ; or la CNIL considère que celles conclues entre Google et les gestionnaires de sites n’apportent pas, en pratique, une protection effective et équivalente au RGPD. Elle rappelle que le Cloud Act (2018) autorise l’accès du gouvernement américain aux données hébergées par des sociétés américaines, quel que soit le lieu des serveurs, sur simple demande et sans information ni consentement des personnes concernées.

Comment faire ?

Plusieurs pistes existent : une (peu probable) évolution de la législation américaine, l’anonymisation effective des adresses IP sur le territoire de l’Union européenne avant tout transfert, ou le recours à des solutions de mesure d’audience européennes — dont certaines sont exonérées de recueil du consentement et disponibles en open source, avec hébergement maîtrisé. Au-delà du cas Google Analytics, cette décision révèle surtout notre difficulté à nous tourner vers des solutions indépendantes des leaders du marché, alors que, dans l’immense majorité des cas, seules les fonctionnalités les plus basiques sont réellement utilisées.

Comme au mois de septembre dernier, Examin sera présente au FIC en juin prochain. Le FIC 2021 a été l’occasion de présenter la v1 de notre plateforme ; la version 2022 nous permettra de vous révéler la version 2, qui prend en compte nos retours d’expérience et vos commentaires des derniers mois.

Nous aurons par ailleurs la chance de participer au SPRING 50 Paris-Saclay, le 12 mai à l’École Polytechnique, et au salon VivaTech sur le stand du Village by CA, du 15 au 18 juin. Les salons sont toujours aussi importants pour nous, nouvel acteur de la conformité numérique : ils nous permettent de nous faire connaître, de présenter notre approche et de recueillir les besoins des acteurs du marché. Profitons de ces occasions pour nous rencontrer et échanger sur vos pratiques de conformité !

Frédéric Duflot, CEO d’Examin.

Les brèves de la protection des données et cybersécurité

#Cybersécurité — Le Campus Cyber publie un livre blanc sur l’évolution de la cybersécurité. Un peu plus d’un mois après son inauguration, le Campus Cyber présentait son premier livre blanc, Horizon Cyber 2030, pour anticiper les évolutions de la cybersécurité sur cinq à dix ans : société ultra-connectée, interopérabilité, accélération des échanges de données, avec à la clé des évolutions sociétales profondes (vote en ligne, métavers) — autant de bénéfices que d’opportunités pour les attaquants.

#Protection des données — Accord de principe pour un nouveau Privacy Shield UE / États-Unis. Après près de deux ans d’insécurité juridique, Joe Biden et Ursula von der Leyen ont annoncé un texte censé « faciliter les flux de données entre l’UE et les États-Unis tout en préservant la vie privée et les libertés civiles ». L’ONG NOYB et Max Schrems restent prudents, faute d’évolution des lois américaines sur la surveillance, et promettent de contester l’accord si le texte final ne protège pas suffisamment les Européens.

La Belgique lance un « registre RGPD global ». Le portail mydata.belgium.be compile l’ensemble des pratiques liées aux données personnelles des administrations, alimenté par 839 institutions publiques fédérales. Il ne contient pas de données personnelles, mais des informations sur leur nature, leur responsable de traitement et les tiers impliqués.

Zoom sur notre roadmap

Ce mois-ci voit apparaître un tout nouveau centre de notifications dans votre tableau de bord, ainsi qu’un rôle plus limité pour les évaluateurs avec la possibilité de leur attribuer des clients. Conformément aux souhaits exprimés dans le dernier questionnaire, les prochains mois seront consacrés à l’amélioration du dispositif d’évaluation : journalisation au niveau du point de contrôle, ajout de constats d’audit « à la volée », et liaison des non-conformités à un dispositif léger de gestion des risques. Côté référentiel, la norme ISO/IEC 27701 est en bêta-test et sera proposée à la prochaine migration.

Le point de vue Examin : Google Analytics (suite)

Après l’annonce des irrégularités relevées par les autorités européennes de protection des données, Google recommande son outil le plus récent, « Google Analytics 4 », censé donner « la priorité à la vie privée des utilisateurs ». Cette solution, qui a remplacé « Universal Analytics » en 2023, pourrait changer le paradigme des transferts hors UE puisque les adresses IP ne seraient plus conservées par Google — mais son efficacité reste à confirmer auprès des autorités. D’autres outils existent sur le marché européen, comme le logiciel open source Matomo Analytics, considéré par la CNIL comme compatible avec la réglementation : le recours à des alternatives demeure une bonne pratique pour minimiser les risques sans renoncer à l’analyse d’audience.

Reste enfin la question du règlement ePrivacy : proposé en 2017 pour remplacer la directive 2002/58/CE sur la confidentialité des communications électroniques, le projet a longtemps été bloqué. S’il était adopté, il étendrait la protection de la vie privée aux nouveaux moyens de communication (VoIP, messagerie instantanée, webmail) et encadrerait le consentement, notamment pour les cookies via un paramétrage des navigateurs.