Prêt pour le règlement général sur la protection des données de l'UE ?

Sinon, en cas d'infraction, elles s'exposent à des amendes massives pouvant aller jusqu'à 20 millions d'euros ou quatre pour cent de leur chiffre d'affaires annuel. À quoi les entreprises qui utilisent SAP doivent-elles faire attention à l'avenir et comment peuvent-elles se préparer ?

Qu'est-ce que cela signifie pour les entreprises ? Quels systèmes de données sont particulièrement concernés ? Quelles sont les mesures à prendre d'ici 2018 pour se conformer aux nouvelles exigences ?

Le système de paliers du nouveau RGPD prévoit déjà des sanctions pouvant aller jusqu'à 2 % du chiffre d'affaires annuel mondial si les opérations de traitement ne sont pas correctement documentées (article 28).

En cas de violation de la sécurité des données, les entreprises sont tenues d'informer les autorités dans les 72 heures (article 31).

Selon la définition de la nouvelle législation, il s'agit également d'une violation de la protection des données lorsqu'un employé a accès à des données dont il n'a pas besoin pour son travail.

En outre, les entreprises doivent veiller à ce que les employés puissent reconnaître quand le traitement des données enfreint la loi ou traite des données sans autorisation.

La première étape, et la plus importante, pour toutes les entreprises est de vérifier dans quels systèmes elles conservent les données concernées par la législation. La deuxième étape consiste à vérifier si l'entreprise peut suivre et démontrer de manière fiable ce qui est fait de ces données, par exemple lorsqu'elles quittent le système.

Avec des environnements informatiques de plus en plus complexes, comprendre quelles données sont conservées dans quels systèmes et par quels canaux elles sont éventuellement partagées est un défi majeur pour les entreprises.

Les données à caractère personnel sont particulièrement fréquentes dans les systèmes ERP. Au sein de cet environnement informatique réglementé, il est relativement facile de mettre en œuvre les spécifications des nouvelles directives de protection des données si celles-ci disposent de structures d'autorisation et de journaux d'audit.

Est-ce que c'est une protection ?

Malheureusement non - car dès que ces données ont été exportées du système, les structures de correction SAP n'interviennent plus et il n'est pas non plus possible de savoir ce qu'il advient ensuite des données.

Or, dans la plupart des entreprises, ces exportations de données ont lieu quotidiennement, sans que les collaborateurs soient conscients des conséquences possibles. Cela concerne en particulier les secteurs économiques tels que l'énergie (électricité, pétrole et gaz), les transports (air, rail, eau et route), les secteurs d'infrastructure tels que l'approvisionnement en eau potable, les infrastructures bancaires et des marchés financiers, les places commerciales, les prestataires de services de santé ainsi que les infrastructures numériques.

Il est donc nécessaire d'introduire des solutions d'audit ou de journalisation qui enregistrent qui consulte, exporte et transmet les données.

Il est en outre recommandé d'intégrer une solution GRC afin que des notifications soient envoyées aux responsables en cas de non-respect des règles.

Dans l'idéal, les ensembles de données devraient toutefois être classifiés dès leur création. Les données sensibles, concernées par la législation, peuvent alors être dotées de règles appropriées pour l'ensemble de leur cycle de vie.

Par exemple, elles peuvent être réservées à un usage interne ou à certaines personnes, ou le téléchargement de données spécifiques peut être complètement bloqué.

En outre, cela permet de sensibiliser les collaborateurs à ce sujet et de leur signaler les éventuelles infractions. L'introduction d'un système de gestion des droits (RMS) permet de prévenir une violation de la sécurité des données (article 31) et de prouver ou de limiter l'utilisation des données, même en dehors du système ERP.

La nouvelle législation prévoit également que la plupart des entreprises doivent désigner un délégué à la protection des données (article 35). Pour les responsables, c'est le moment idéal pour faire le point sur la situation interne, prendre les mesures appropriées pour sonder et sécuriser les données et examiner en profondeur les solutions proposées.