Deux nouveaux guides sécurité pour gérer les risques sur la vie privée

La loi informatique et libertés prévoit, dans son article 34, de "prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données". Chaque responsable doit donc identifier les risques engendrés par son traitement avant de déterminer les moyens adéquats pour les réduire. Pour ce faire, il convient d'adopter une vision globale et d'étudier les conséquences sur les personnes concernées. Pour aider les PME dans cette étude, la CNIL a publié en 2010 un premier guide sécurité. Celui-ci présente sous forme de fiches thématiques les précautions élémentaires à mettre en place pour améliorer la sécurité d'un traitement de données à caractère personnel. Il atteint cependant ses limites lorsqu'il s'agit d'étudier des traitements complexes ou aux risques élevés. Les deux nouveaux guides de la CNIL ont pour objectif d'aider à la mise en place d'une démarche d'analyse complète, permettant d'améliorer la maîtrise des traitements complexes. Ils s'adressent ainsi aux responsables de traitements, maîtrises d'ouvrage, maîtrises d'œuvre, correspondants "informatique et libertés" et responsables de la sécurité des systèmes d'information. Ils les aident à avoir une vision objective des risques engendrés par leurs traitements, de manière à choisir les mesures de sécurité nécessaires et suffisantes. Ils se composent :

• d'une méthode pour identifier et traiter les risques que les traitements de données à caractère personnel peuvent faire peser sur les personnes ;
• d'un ensemble détaillé de mesures et de bonnes pratiques destinées à traiter les risques identifiés.

L'enjeu : proposer un outil méthodologique pour appliquer la Loi informatique et libertés et des mesures pour traiter les risques L'approche méthodologique décrit l'usage particulier de la méthode EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité,) dans le contexte spécifique de la protection de la vie privée. Pour apprécier les risques, il faut tout d'abord identifier les événements redoutés et les estimer en termes de gravité. Si leur gravité est élevée, il convient alors d'identifier les menaces qui permettraient qu'ils se réalisent et d'estimer leur vraisemblance. Les risques ainsi appréciés peuvent alors être traités par des mesures adaptées.

Le catalogue de bonnes pratiques aide à déterminer des mesures proportionnées aux risques identifiés, en agissant sur :

• les "éléments à protéger" : minimiser les données, chiffrer, anonymiser, permettre l'exercice des droits…
• les "impacts potentiels" : sauvegarder les données, tracer l'activité, gérer les violations de données…
• les "sources de risques" : contrôler les accès, gérer les tiers, lutter contre les codes malveillants…
• les "supports" : réduire les vulnérabilités des matériels, logiciels, réseaux, documents papier…

Pour traiter un risque identifié et le réduire à un niveau acceptable, l'utilisateur des guides peut sélectionner une ou plusieurs mesures appropriées. Il est impératif d'adapter les mesures au risque et au contexte particulier du traitement considéré. Une étude de cas sur la gestion des patients d'un cabinet de médecine du travail, réalisée par le Club EBIOS, illustre une application de ces outils.