Soyons honnêtes, quand on parle cybersécurité en entreprise, on a tendance à penser au e-commerce, au fichier des clients et aux comptes bancaires. Personne ne pense vraiment aux dossiers des ressources humaines, qui contiennent pourtant de nombreuses données sensibles. Pour les hackers, c’est même un vrai trésor. Entre les numéros de sécurité sociale, les RIB, les adresses, les arrêts maladie, les évaluations annuelles et, parfois, des données de santé, le service des ressources humaines concentre les informations les plus importantes de votre entreprise. Et en matière de protection des données à caractère personnel, la loi ne fait pas dans la dentelle et ne prévoit aucune distinction entre un client et un salarié.
En d’autres termes, votre responsabilité d’employeur ne s’arrête pas au contrat de travail. Elle englobe également la sécurité du système d’information qui héberge tous les traitements. Mais voyons concrètement ce que la réglementation attend de vous et comment vous pouvez vous y prendre sans vous arracher les cheveux.
Le service RH : l’un des plus gros risques d’une entreprise
La première question à vous poser est de savoir combien de personnes ont accès au dossier du personnel dans votre entreprise. Si vous ne savez pas, vous tenez déjà votre premier chantier de conformité.
Et pour cause ! Les données des ressources humaines cochent toutes les cases de ce qui intéresse un cybercriminel. Elles sont exhaustives, à jour, et permettent de monter des fraudes redoutables. Chaque année, des centaines d’entreprises, pour ne pas dire des milliers, perdent des sommes mirobolantes à cause d’une mauvaise manipulation d’un collaborateur.
Si on ajoute le télétravail, les outils SIRH en ligne, les bulletins de paie envoyés par mail, ou encore les CV de candidats stockés pendant plusieurs années « au cas où », vous obtenez une surface d’exposition considérable.
Qu’est-ce que le RGPD exige de vous ?
Sachez qu’en tant qu’employeur, le RGPD vous désigne comme responsable du traitement. C’est vous qui décidez pourquoi et comment les données de vos salariés sont traitées, donc c’est vous qui assumez.
Or, vos obligations tiennent en quelques exigences.
Pour commencer, vous devez tenir un registre des traitements, y compris ceux des ressources humaines (recrutement, paie, gestion des absences, badges d’accès). De même, les accès doivent être limités aux seules personnes dont le rôle le justifie. Il convient également de fixer des durées de conservation et de les respecter, et d’informer vos collaborateurs sur leurs droits et la manière de les exercer.
Bien entendu, vous devez mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques (chiffrement, authentification forte, sauvegardes, journalisation des accès).
Si vos traitements sont sensibles ou massifs, la désignation d’un DPO (délégué à la protection des données) est un véritable atout, voire une obligation. Et quand la question devient franchement épineuse, comme en cas de sous-traitance, de transfert hors UE ou de surveillance des salariés, mieux vaut en référer à des avocats spécialisés qui vous coûteront toujours moins cher qu’une sanction de la CNIL.
72 heures pour signaler une violation des données
Il y a de fortes chances que vous soyez confronté à ce cas de figure un jour ou l’autre. Rançongiciel, mail parti au mauvais destinataire, ordinateur portable oublié dans le RER B, de nombreuses situations, même les plus anodines, justifient un signalement.
À partir du moment où vous avez connaissance d’une violation de données à caractère personnel, même si elle n’est qu’hypothétique, le délai de notification à la CNIL est de 72 heures, soit trois jours. Et ce n’est vraiment pas énorme quand il faut d’abord comprendre ce qu’il s’est passé. Qui plus est, si la violation présente un risque élevé pour vos salariés, vous devez en plus les informer individuellement et rapidement.
Je pense que vous voyez mieux l’intérêt d’avoir préparé la procédure avant l’incident. Qui pilote ? Qui documente ? Qui contacte l’autorité ? Qui parle aux collaborateurs ?
Un registre des violations tenu à jour fait aussi partie des exigences.
Quelles sont les solutions de prévention qui fonctionnent vraiment ?
Sans vouloir être pessimiste, vous aurez beau vous munir des meilleurs outils du marché, le maillon faible de la cybersécurité reste l’humain. Je vous conseille donc de miser avant tout sur la formation de vos équipes. C’est réellement l’investissement le plus rentable.
Pour une PME classique, il peut être bon de procéder comme suit :
- faire un audit de départ, en cartographiant les traitements RH, les accès et les prestataires ;
- prendre des mesures techniques simples et appliquées, comme un gestionnaire de mot de passe, la double authentification, des sauvegardes testées, la suppression immédiate des accès au départ d’un salarié, etc. ;
- adopter de bons réflexes et les partager avec l’entreprise, comme des simulations de phishing, une procédure de vérification à double canal pour tout changement de coordonnées bancaires, un référent identifié en cas de doute, etc.
Comme vous pouvez le constater, vous n’avez pas besoin de devenir expert en cybersécurité. Un grand nombre d’actions sont à votre portée dès lors que vous comprenez que la protection des données de vos collaborateurs relève de votre responsabilité d’employeur. Que ce soit par le biais d’un registre à jour, d’accès maîtrisés, de sauvegardes qui fonctionnent, d’une procédure de notification déjà préparée ou de la formation des équipes, agissez de manière à couvrir l’essentiel des exigences du RGPD. Tout n’est que régularité. Et dans le pire des cas, si le sujet vous dépasse, vous pouvez vous entourer d’un délégué à la protection des données (y compris en externalisé), d’un avocat spécialisé ou de tout autre prestataire de confiance.
