Règlement général sur la protection des données (RGPD) :

Vue d'ensemble

Le RGPD (règlement (UE) 2016/679), en vigueur depuis mai 2018, reste la référence mondiale en matière de protection des données, et son influence sur ce que les autorités de régulation du monde entier considèrent comme une sécurité « raisonnable » s'étend bien au-delà de l'Union européenne. L’article 32 cite directement « la pseudonymisation et le chiffrement des données à caractère personnel » comme exemple de mesure adaptée au risque, au même titre que la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes de traitement.

Les établissements financiers traitent des données qui présentent souvent un risque élevé au regard de la norme fondée sur les risques prévue par le RGPD : historiques de transactions, données relatives au crédit et à la solvabilité, ainsi que données d’authentification biométrique utilisées dans le cadre de la prévention de la fraude. L’article 34, paragraphe 3, point a), confère au chiffrement un avantage direct et concret : un responsable du traitement n’est pas tenu d’informer les personnes concernées d’une violation si les données exposées ont été rendues incompréhensibles pour les personnes non autorisées, généralement grâce à un chiffrement fort.

Pourquoi c'est important 

Les amendes prévues par le RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, et le secteur des services financiers figure régulièrement parmi ceux qui se voient infliger les amendes les plus lourdes, compte tenu du volume et de la sensibilité des données traitées. L’article 32 étant fondé sur l’évaluation des risques plutôt que normatif, les autorités de contrôle et les tribunaux examinent les pratiques de chiffrement et de gestion des clés effectivement mises en place au moment de l’incident, et non ce que prévoyait la politique de l’organisation.

La clause de « safe harbor » relative à la notification des violations prévue à l’article 34, paragraphe 3, point a), fait du chiffrement un moyen direct de réduire les coûts : un chiffrement robuste, doté d’une clé correctement gérée, peut faire la différence entre une simple déclaration administrative et l’obligation de notifier publiquement chaque client concerné.

En quoi cela s'applique-t-il à la cryptographie ? 

Le RGPD aborde la cryptographie à travers plusieurs domaines de contrôle étroitement liés. Les principaux domaines ayant des implications cryptographiques directes sont les suivants :

Préparation à l'audit

Les évaluations et les contrôles, qu'ils soient menés en interne, réalisés par une autorité de régulation ou examinés par un évaluateur indépendant, se concentrent sur les preuves concrètes plutôt que sur les simples déclarations de principe. Voici les principaux domaines sur lesquels les contrôleurs et les évaluateurs s'attardent généralement :

• Article 32 – Documentation relative à l'évaluation des risques : L'organisation a-t-elle consigné par écrit l'évaluation des risques qui a motivé son choix des mesures de chiffrement et de pseudonymisation ?
• Couverture en matière de chiffrement et de pseudonymisation : l'organisation est-elle en mesure de démontrer qu'elle applique le chiffrement ou la pseudonymisation des données à caractère personnel dans l'ensemble des systèmes qui les traitent, et pas uniquement dans ceux qui sont accessibles depuis l'extérieur ?
• Assistance relative à la clause de « safe harbor » en matière de notification des violations : existe-t- il des preuves documentées indiquant que les données exposées lors d'un incident hypothétique resteraient incompréhensibles en raison du chiffrement ?
• Registres relatifs à la protection des données dès la conception : les analyses d'impact relatives à la protection des données tiennent-elles compte des mesures de sécurité cryptographiques envisagées lors de la phase de conception ?
• Contrat avec les prestataires de services de paiement et garantie relative aux sous-traitants : les contrats conclus avec les prestataires de services de paiement traitent-ils des pratiques cryptographiques de ces derniers et de leurs sous-traitants ?
• Éléments de preuve relatifs aux restrictions d'accès aux clés : l'accès aux clés cryptographiques protégeant les données à caractère personnel est-il soumis à des restrictions et fait-il l'objet d'un enregistrement ?

TRANSMETTEZ CELA À LA DIRECTION

L’article 32 mentionne spécifiquement le chiffrement, et les amendes qui y sont associées, pouvant atteindre 4 % de notre chiffre d’affaires mondial, sont suffisamment élevées pour modifier la manière dont nous hiérarchisons nos dépenses en matière de sécurité. Mais le chiffrement offre également un avantage que les amendes ne peuvent pas apporter : en vertu de l’article 34, paragraphe 3, point a), il permet d’éviter directement la notification individuelle des violations si nous pouvons démontrer que les données exposées étaient véritablement incompréhensibles.

Cette protection ne s’applique que si nous pouvons en apporter la preuve a posteriori. Nous devons disposer de preuves bien organisées concernant notre chiffrement et notre gestion des clés bien avant qu’un incident ne se produise, et non les rassembler sous la pression une fois que les autorités de régulation et les clients ont déjà commencé à poser des questions.