(PERSONNELLES), une obligation légale

Transcription

1 LA SÉCURITÉ DES DONNÉES (PERSONNELLES), une obligation légale Chawki GADDES

2 Les données sont la matière première des systèmes informatiques Elles ne deviennent jamais la propriété du responsable du traitement, il en est le gardien

3 La CONFIANCE, terme clef du traitement des données Le traitement des données est basée sur la confiance qui s établit entre le responsable du traitement et les propriétaires des données C est la notion axiale de toutes les réflexions dans les conférences internationales La perte de confiance entraîne le tarissement des sources : Développer une réticence à «livrer» ces données

4 Et les données personnelles? Les systèmes informatiques gèrent dans leurs quasi-totalité des situations en relation avec des individus Les données traitées sont ainsi qualifiées de personnelles Ces données font peser sur les responsables de traitement des obligations encore plus lourdes

5 Quelle est la nature de la responsabilité? Les obligations légales sont de deux sortes : L obligation de moyen est dite de «prudence et de diligence» : Mettre en œuvre les précautions et appliquer les normes de sécurité L obligation de résultat est dite à «but déterminé» : Atteindre un résultat, sauf cas de force majeure, donc extérieur imprévisible et insurmontable La cour de cassation française viens d établir que dans un système informatique, la sécurisation des données est une obligation de résultat à la charge du responsable

6 Un nouveau cadre juridique européen Application : Mai 2018 Règlement (UE) 2016/679 du parlement européen et du conseil du 27 avril 2016 relatif à la protection des personnes physiques à l égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE Article 5. Principes relatifs au traitement des données à caractère personnel : «1. Les données à caractère personnel doivent être: f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel ; 2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté»

7 Quelles sanctions en droit tunisien? Si le responsable du traitement est accusé de nonrespect des règles de sécurisation des données, il est sanctionné pénalement par la loi de 2004 Article 94 «Est puni de trois mois d emprisonnement et d une amende de mille dinars quiconque viole les dispositions des articles 18, et 19»

8 Conclusion Le responsable du traitement doit ainsi tout mettre en œuvre pour sécuriser les données Toute lacune entraîne une responsabilité civile et pénale du responsable du traitement La seule manière de se «disculper» est de prouver qu il a tout mis en œuvre au vu de l état de l art et que le dommage est le fuit d une force majeure : extérieure, imprévisible et insurmontable

9 Quel projets pour une plus grande sécurité? L ANSI est la seule structure capable d évaluer si les normes de sécurité ont été respectées par le responsable de traitement qui est soumis à une obligation d audit régulier L ANSI élabore des directives générales qui devront être respectées par les responsables de traitement des données L INPDP étudiera la possibilité de rendre obligatoire la mention des références d audit dans toutes les déclarations et demandes d autorisation présentées par les responsables

10 Quel projets pour une plus grande sécurité? Le nouveau règlement européen rendra obligatoire la nomination dans toutes structures d un DPO Il sera le chef d orchestre de la conformité pour la protection des données au sein de sa structure et devra veiller au respect entre autre des règles de sécurité Il sera le vecteur de confiance pour les clients des structures traitant des données personnelles

11