Le mois dernier, nous vous avons demandé de répondre à un questionnaire pour en savoir plus sur vos besoins de conformité. Plus de 43 personnes nous ont répondu — un grand merci à elles ! Nous sommes toujours en phase d’analyse des réponses, déjà riches d’enseignements. On notera ainsi que :
- les évaluateurs et leurs clients ne recherchent pas le même type de fonctionnalités (et c’est normal), mais ne sont pas tout à fait alignés sur les besoins finaux des clients (c’est plus problématique) ;
- les actions de mise en conformité sont majoritairement réalisées par besoin de protection et de réassurance interne, et non vis-à-vis de sollicitations externes (clients ou investisseurs) ;
- il y a une forte concentration des besoins sur la cybersécurité, les données personnelles et, dans une moindre mesure, la qualité ;
- si l’avocat ou le spécialiste métier sont plébiscités pour l’aide à la mise en conformité, personne ne pense à l’expert-comptable comme interlocuteur potentiel.
Les brèves de la protection des données et cybersécurité
#Cybersécurité — Le Campus Cyber inauguré ! Le Campus Cyber a été inauguré le 15 février dernier en présence du ministre de l’Économie. Ses promoteurs souhaitent en faire un lieu-totem de la cybersécurité française et envisagent de réunir, à terme, plus de 1 600 spécialistes issus des secteurs public et privé.
#Protection des données — Le CEPD publie ses lignes directrices sur la notification des violations. Le collectif des « CNIL » des différents États membres poursuit son œuvre de doctrine : les lignes directrices indiquent les mesures de remédiation adéquates et comment réagir face aux cas les plus fréquents (rançongiciel, exfiltration de données, perte de support informatique, etc.).
Zoom sur notre roadmap
Avec 43 répondants, nous avons largement de quoi réfléchir et vous proposer le mois prochain une feuille de route précise. En attendant, ce mois-ci nous avons opéré une migration importante et mis à jour de nombreux composants liés aux différents types de compte :
- vous pourrez désormais choisir entre une évaluation simple et une évaluation personnalisée : lors de la création d’un programme de conformité, l’interface vous demandera de définir le périmètre de votre évaluation par rapport aux différentes cibles proposées dans chaque référentiel (organisation, tiers, système d’information, établissement, etc.) ;
- vous pourrez inviter des affiliés à votre compte et assurer ainsi la conformité de vos filiales, franchisés ou adhérents ;
- la plupart des documents (rapports d’évaluation, fiches de traitement) sont désormais disponibles et éditables en version Word.
Le point de vue Examin : les risques de Google Analytics soulevés par la CNIL
La CNIL a mis en demeure, le 10 février 2022, un gestionnaire de sites internet, lui laissant un mois pour cesser d’utiliser Google Analytics dans les conditions alors en vigueur, sous peine d’une amende pouvant aller jusqu’à 4 % de son chiffre d’affaires annuel mondial.
Google Analytics attribue un identifiant unique à chaque visiteur pour mesurer la fréquentation des sites. Selon la CNIL, cet identifiant et les données associées constituent des données à caractère personnel transférées par Google aux États-Unis. Saisie par l’association NOYB (présidée par Maximilian Schrems), la CNIL a estimé que ces transferts pouvaient exposer les utilisateurs européens à des programmes de surveillance américains et n’étaient « pas suffisamment encadrés ».
Pour arriver à ces conclusions, la CNIL s’appuie sur l’arrêt « Schrems II » de juillet 2020, qui a invalidé le Privacy Shield. Depuis, les transferts vers les États-Unis doivent s’appuyer sur des clauses contractuelles types ; or la CNIL considère que celles conclues entre Google et les gestionnaires de sites n’apportent pas, en pratique, une protection effective et équivalente au RGPD. Elle rappelle que le Cloud Act (2018) autorise l’accès du gouvernement américain aux données hébergées par des sociétés américaines, quel que soit le lieu des serveurs, sur simple demande et sans information ni consentement des personnes concernées.
Comment faire ?
Plusieurs pistes existent : une (peu probable) évolution de la législation américaine, l’anonymisation effective des adresses IP sur le territoire de l’Union européenne avant tout transfert, ou le recours à des solutions de mesure d’audience européennes — dont certaines sont exonérées de recueil du consentement et disponibles en open source, avec hébergement maîtrisé. Au-delà du cas Google Analytics, cette décision révèle surtout notre difficulté à nous tourner vers des solutions indépendantes des leaders du marché, alors que, dans l’immense majorité des cas, seules les fonctionnalités les plus basiques sont réellement utilisées.