Les entreprises traitent des millions de donn\u00e9es et le risque de fuites de celles-ci ne cesse d\u2019augmenter.<\/p>\n
Selon l\u2019\u00e9tude PwC \/ Iron Mountain<\/a>, 78% des fuites de donn\u00e9es sont caus\u00e9es par des collaborateurs internes \u00e0 l\u2019entreprise<\/strong>.<\/p>\n Cette fuite d\u2019origine interne peut \u00eatre la cons\u00e9quence soit d\u2019un acte malveillant<\/strong> de la part du collaborateur, soit d\u2019une n\u00e9gligence<\/strong> de la part de celui-ci.<\/p>\n <\/p>\n En juin 2019, la banque canadienne Desjardins a annonc\u00e9 dans un communiqu\u00e9<\/a> avoir \u00e9t\u00e9 victime d\u2019une fuite de donn\u00e9es personnelles de plus de 2.9 millions de clients. Apr\u00e8s avoir \u00e9t\u00e9 inform\u00e9e, le 14 juin, par les autorit\u00e9s de police canadiennes, que la source de cette fuite \u00e9tait un de ses salari\u00e9s, la banque a licenci\u00e9 ce dernier.<\/p>\n Desjardins a indiqu\u00e9 \u00e0 ses clients qu\u2019aucun mot de passe ou code d\u2019acc\u00e8s n\u2019avait \u00e9t\u00e9 touch\u00e9, et a mis en place un service pour r\u00e9pondre aux questions de ses clients. La banque a surtout rapidement instaur\u00e9 de nouvelles proc\u00e9dures de s\u00e9curit\u00e9<\/strong> afin de prot\u00e9ger les donn\u00e9es et comptes de ses clients \u00e0 l\u2019avenir.<\/p>\n En l\u2019esp\u00e8ce,<\/strong> Desjardins a \u00e9t\u00e9 victime d\u2019un acte malveillant de la part d\u2019un de ses salari\u00e9s qui a acc\u00e9d\u00e9 sans autorisation aux donn\u00e9es des clients de la banque et les a subtilis\u00e9es. Ce cas de figure ne repr\u00e9sente que 10% des cas de fuites de donn\u00e9es internes, puisque la majorit\u00e9 des fuites de donn\u00e9es sont le fruit de \u00ab\u00a0n\u00e9gligences\u00a0\u00bb.<\/strong><\/p>\n <\/p>\n En droit fran\u00e7ais, l\u2019acte r\u00e9alis\u00e9 par cet ancien salari\u00e9 de la banque canadienne serait susceptible de constituer une infraction p\u00e9nale. En effet, le Chapitre III du Titre II du Livre III du Code p\u00e9nal, consacr\u00e9 aux atteintes aux syst\u00e8mes de traitement automatis\u00e9 de donn\u00e9es <\/strong>(STAD), sanctionne notamment l\u2019acc\u00e8s frauduleux<\/strong> \u00e0 un STAD mais aussi l\u2019extraction et la d\u00e9tention de donn\u00e9es<\/strong> d\u2019un STAD , et ce au titre des articles 323-1<\/a> et 323-3<\/a> du Code p\u00e9nal. Le contrevenant coupable de ces infractions peut se voir condamn\u00e9 \u00e0 une peine allant jusqu\u2019\u00e0 cinq ans d\u2019emprisonnement et 150\u00a0000 euros d\u2019amende.<\/p>\n Toutefois, pour mener \u00e0 bien cette proc\u00e9dure judiciaire, l\u2019entreprise doit identifier le contrevenant, puis doit prouver la r\u00e9union de trois \u00e9l\u00e9ments qui permettent de qualifier une infraction en droit p\u00e9nal\u00a0:<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 l\u2019\u00e9l\u00e9ment l\u00e9gal\u00a0;<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 l\u2019\u00e9l\u00e9ment mat\u00e9riel\u00a0;<\/p>\n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 l\u2019\u00e9l\u00e9ment moral.<\/p>\n La difficult\u00e9 probatoire pour l\u2019entreprise repose le plus souvent dans la caract\u00e9risation de l\u2019\u00e9l\u00e9ment moral de l\u2019infraction\u00a0: il faut prouver une faute de la personne, et donc le fait que l\u2019acte reproch\u00e9 ait \u00e9t\u00e9 accompli avec<\/strong> intelligence et volont\u00e9<\/a>. <\/strong>Par ailleurs, les infractions d\u2019atteintes aux STAD sont particuli\u00e8rement exigeantes sur ce point et requi\u00e8rent express\u00e9ment la d\u00e9monstration de l\u2019intention frauduleuse du contrevenant. Il s\u2019agit donc de d\u00e9montrer que le contrevenant a agi avec la conscience que l\u2019acc\u00e8s ou le maintien (ou l\u2019extraction, etc.) ne lui \u00e9tait pas autoris\u00e9.<\/strong><\/p>\n Afin d\u2019\u00eatre en mesure de prouver la connaissance par le contrevenant du caract\u00e8re frauduleux de son acte, l\u2019entreprise doit mettre en place des r\u00e8gles internes qui s\u2019imposent \u00e0 toutes les personnes ayant acc\u00e8s \u00e0 des informations personnelles, informations confidentielles, informations prot\u00e9g\u00e9es par le secret des affaires, etc. \u00a0<\/strong>La mise en place, par exemple d\u2019une charte informatique<\/strong>, permet ainsi de prouver que le contrevenant a agi en violation d\u2019une instruction\/r\u00e8gle qu\u2019il connaissait et \u00e0 laquelle il \u00e9tait soumis. <\/strong><\/p>\n <\/p>\n La charte informatique est un document indispensable pour assurer la s\u00e9curit\u00e9 des donn\u00e9es de l\u2019entreprise en amont <\/strong>d\u2019une potentielle fuite. Ce document est un moyen s\u00fbr et performant pour informer les salari\u00e9s sur les pratiques \u00e0 adopter, les r\u00e8gles \u00e0 respecter et les risques qui existent. De plus, elle permet de soumettre l\u2019ensemble des collaborateurs de l\u2019entreprise (salari\u00e9s, prestataires, stagiaires, \u2026) <\/strong>\u00e0 des proc\u00e9dures visant \u00e0 \u00e9viter les actes de n\u00e9gligences, comme la consultation de sites non s\u00e9curis\u00e9s, l\u2019utilisation de mots de passe non efficaces, l\u2019ouverture de spams, \u2026<\/p>\n Diff\u00e9rentes solutions sont envisageables pour rendre cette charte opposable \u00e0 l\u2019ensemble des collaborateurs. La charte informatique peut ainsi \u00eatre sign\u00e9e par les collaborateurs, annex\u00e9e au contrat de travail\/au contrat de prestation de service\/\u00e0 la convention de stage ou bien annex\u00e9e au r\u00e8glement int\u00e9rieur.<\/p>\n <\/p>\n *<\/p>\n * \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 *<\/p>\n <\/p>\n Pour tenter d\u2019\u00e9viter les risques de fuite de donn\u00e9es, il est vivement conseill\u00e9 aux entreprises de se doter d\u2019une charte informatique. La r\u00e9daction et la communication d\u2019un tel document contribue au respect de \u00a0l\u2019obligation de s\u00e9curit\u00e9 des donn\u00e9es pos\u00e9e par le <\/strong>R\u00e8glement 2016\/679<\/strong><\/a> sur la protection des donn\u00e9es[1]<\/a>, qui s\u2019impose aux entreprises, et constitue un pas de plus vers l\u2019accountability<\/em><\/strong>. (Pour rappel, l\u2019accountability<\/em> d\u00e9signe l\u2019obligation pour les entreprises de mettre en \u0153uvre des m\u00e9canismes et des proc\u00e9dures internes permettant de d\u00e9montrer le respect des r\u00e8gles relatives \u00e0 la protection des donn\u00e9es).<\/p>\n Cette charte informatique, v\u00e9ritable document juridique, sera d\u2019autant plus efficace \u2013 que ce soit en amont d\u2019une possible fuite afin d\u2019en \u00e9viter l\u2019occurrence, ou en aval en guise d\u2019\u00e9l\u00e9ment de preuve \u2013 si elle est conforme aux droits en vigueur et bien adapt\u00e9e aux activit\u00e9s et besoins de l\u2019entreprise.<\/strong><\/p>\n <\/p>\n [1]<\/a> Communication de la Cnil sur la s\u00e9curit\u00e9\u00a0: sensibiliser les utilisateurs (https:\/\/www.cnil.fr\/fr\/securite-informatique-sensibiliser-les-utilisateurs<\/a>)<\/p>\n <\/p>\n Par AGIL’IT <\/a>– P\u00f4le IT<\/a>, T\u00e9l\u00e9coms<\/a> & Data protection<\/a><\/p>\nFuite de donn\u00e9es record pour la banque canadienne Desjardins<\/u><\/strong><\/h2>\n
La difficile caract\u00e9risation de l\u2019intention frauduleuse <\/u><\/strong><\/h2>\n
La s\u00e9curit\u00e9 assur\u00e9e par la charte informatique <\/u><\/strong><\/h2>\n