Archivage électronique et Protection des à caractère re personnel

Transcription

1 Archivage électronique et Protection des données à caractère re personnel 7 février 2008 Université AFCDP Correspondants Informatique & Libertés Arnaud BELLEIL, Directeur Associé Cecurity.com abl@cecurity.com

2 Plan de la présentation 2 Définition et enjeux de l archivage électronique Archivage électronique et réglementation Devoir de mémoire et droit à l oubli : la durée de conservation La recommandation CNIL d octobre 2005 Un problème ou une solution? Ressources

3 Qu est ce que l archivage électronique? 3 L Archivage électronique, c est de l archivage «Ensemble des actions, outils et méthodes mises en œuvre pour conserver à moyen et long terme des informations dans le but de les exploiter».[1] Conservation de l intégrité d une information en identifiant de façon certaine son auteur et sa date de production (notion de document) L Archivage électronique, ce n est pas la GEIDE Un système de GEIDE permet la modification des documents, un système d archivage électronique l interdit La GEIDE concerne la gestion quotidienne, l archivage est le garant du fond sécurisé des documents probants de l organisation L Archivage électronique, ce n est pas la sauvegarde informatique Sauvegarde : enregistrement à court terme pour une éventuelle restauration Comme pour tous les éléments du Système d information, il faut une sauvegarde des archives électroniques [1] Définition du Dictionnaire du multimédia, AFNOR 1995.

4 Archives papiers et archives électroniques? 4 Un point commun : le cycle de vie de l archive Conception, version définitive, consultation fréquente, consultation occasionnelle, destruction ou versement aux archives historiques Les différences A la différence du document papier, le document électronique permet de dissocier : L information (données et méta-données) Le langage Le support Deux familles d archives électroniques Les documents électroniques issus de la numérisation des originaux papier En l état actuel du droit, seule la version papier constitue une preuve Les documents nativement électroniques produits grâce à la signature électronique Loi du 13 mars 2000 et Décrets d application de 2002

5 Pourquoi faut-il archiver? 5 Production de preuves dans l éventualité d une contestation, d un litige devant les tribunaux Criticité En vue de contrôles (fiscaux/sociaux) de l Administration, pour répondre à des audits Fréquence Conservation du patrimoine Informationnel de l organisation, de la «mémoire de l entreprise»

6 Innovation technologique et obsolescence des archives électroniques 6

7 Archivage électronique et réglementation 7 Archivage électronique et enjeu probatoire La question de la preuve concerne toutes les organisations Archivage électronique et enjeu de conformité (compliance) La question de la conformité concerne certains secteurs d activité, certains types d entreprises, certaines catégories de données Loi sur la Sécurité Financière, Bâle II pour le secteur bancaire Loi américaine Sarbanes-Oxley pour les entreprises françaises cotées aux Etats-Unis Loi Informatique et Libertés pour les données à caractère personnel

8 Devoir de mémoire et droit à l oubli : la durée de conservation 8 La société de l information ne peut pas être Orwellienne ; elle ne peu pas être amnésique. L oubli et la mémoire sont deux composantes nécessaires de la confiance Le «droit à l oubli» : une durée de conservation des données à caractère personnel proportionnelle à la finalité du traitement Deux approches envisageables : La destruction L anonymisation (une destruction partielle)

9 Devoir de mémoire et droit à l oubli : la durée de conservation 9 Les pratiques des archivistes : Cycle de vie de l archive et sort final : destruction ou versement aux archives historiques Confidentialité et communicabilité Les difficultés des DSI : Les systèmes d information ne savent pas gérer la durée de conservation des données La «dilution» des données archivées dans le système informatique de l entreprise Un phénomène aggravé par l informatique distribuée en réseau La culture de l informatique décisionnelle DataWarehouse et Dataminining

10

11 La recommandation CNIL d octobre Des procédures pour la mise en œuvre de purges en fonction des durées de conservation définies par la réglementation Des mesures techniques et organisationnelles distinctes Un service spécifique en charge de la question Un système informatique distinct du système de production Gestion des droits et des habilitations Traçabilité des consultations Utilisation des procédés d anonymisation

12 L archivage électronique : problème ou solution? 12 «les fichiers de données individuelles constitués pour la réalisation de l étude (échantillons, réponses) seront effacés à l issue de l enquête ou archivés dans des conditions préservant leur confidentialité» Recommandations de la CNIL relatives à la mesure de la diversité - 16 mai 2007 «Les données relatives à une alerte ayant fait l objet d une vérification sont détruites ou archivée» Délibération de la CNIL du 8 décembre 2005 relative à l autorisation unique pour les dispositifs d alertes professionnelles (whistleblowing)

13 Ressources 13 Délibération Cnil n du 11 octobre 2005 portant adoption d une recommandation concernant les modalités d archivage électronique, dans le secteur privé, de données à caractère personnel e524cdb018 Délibération n du 10 mai 1988 portant adoption d'une recommandation sur la compatibilité entre les lois n du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et n du 3 janvier 1979 sur les archives «L archivage électronique et la loi «Informatique et libertés»», Guillaume Desgens-Pasanau, Expertises, janvier 2006 «Archivage électronique et protection des données personnelles : entre le droit à l oubli et le devoir de mémoire», Arnaud Belleil, 15 décembre