AEES Executive Certificate en Gouvernance de la data et de l’IA

Les capacités que l’évaluation atteste en cas de réussite.

• Limiter les droits au nécessaire
• Encadrer un traitement ou un modèle
• Fixer des durées et des responsabilités
• Fixer ce que l’on garde
• Décider qui alerte
• Décider quelles données l’organisation a le droit de tenir

Institut Nordis, organisme de formation de quatre-vingts personnes · Vous êtes appelé ce matin pour reprendre le dossier de conformité

Ce qui est en jeu

• Les personnes du fichier restent identifiables, y compris par des remarques de santé ou de réputation.
• Des copies sont déjà hors de l’organisation.
• Attendre lundi laisserait les accès ouverts.
• Tout garder « au cas où » aggraverait l’incident au lieu de le limiter.

Votre mission. Clore ce dossier aujourd’hui par des décisions successives : ce que vous cessez tout de suite, ce que vous gardez et pour combien de temps, qui vous alertez, et ce que vous laissez par écrit. Un slogan ne tiendra pas. Un choix daté, oui.

1. Protection des données La protection des données ne commence pas par un logiciel, un cachet ou une affiche dans un couloir. Elle commence par une question simple : quelles informations concernent une personne que l’on peut reconnaître, où elles circulent, qui les voit, et pourquoi on les a demandées. Sans ce tri, la minimisation, les accès et la conservation restent des slogans. Celui qui sait nommer une donnée, une finalité et un destinataire a déjà fait une bonne part du travail. Dans une organisation, les données personnelles s’accumulent par habitude. Un formulaire « pour plus tard », une copie de pièce d’identité « au cas où », une liste d’absences trop largement partagée : chaque geste paraît raisonnable pris tout seul. Ensemble, ils créent un stock que personne ne sait plus justifier. Ce module inverse le réflexe : traiter moins, traiter mieux, et pouvoir expliquer chaque champ à un collègue, un prestataire ou un contrôleur.
2. Traçabilité et consentement Traiter des données sans pouvoir raconter l’histoire ensuite expose l’organisation autant qu’un oubli de sécurité. Un fichier existe, quelqu’un l’a modifié, une copie est partie : si personne ne peut dire qui a agi, le traitement devient indéfendable. La traçabilité n’est pas un luxe de grande structure. C’est la capacité à répondre, demain, à une question simple posée par un collègue, un prestataire ou une personne concernée. Le consentement, lui, est souvent mal compris. On croit qu’il faut le demander partout, ou qu’une case cochée règle tout. Ni l’un ni l’autre. Le consentement n’est qu’une base parmi d’autres. Un contrat, une obligation légale ou une mission de service peuvent suffire. En revanche, quand on s’appuie vraiment sur un consentement, il doit être libre, éclairé, spécifique et retirable. Une case précochée ou un « oui » exigé pour accéder au service ne tient pas.
3. Gestion des incidents Un incident de conformité n’est pas seulement une attaque informatique. C’est aussi une pièce jointe partie au mauvais destinataire, un accès oublié, un fichier perdu, un usage hors sujet. Dès que la confidentialité, l’intégrité ou la disponibilité des données vacille, ou dès qu’un traitement échappe à ce qui était prévu, vous êtes dans l’incident. Attendre que cela « ressemble à une cyberattaque » fait perdre le temps utile. L’émotion pousse à deux excès : tout éteindre dans la panique, ou tout cacher en espérant que cela passe. Ni l’un ni l’autre n’est une méthode. On détecte, on contient, on établit les faits, on signale selon la gravité, on documente. Cet ordre protège les personnes concernées autant que l’organisation. Il évite aussi de détruire les traces dont on aura besoin ensuite.
4. Accès et habilitations La plupart des incidents internes ne viennent pas d’un génie malveillant. Ils viennent d’un droit trop large, trop longtemps gardé, ou partagé « pour aller plus vite ». Accorder un accès n’est pas un geste de confiance personnelle. C’est une décision proportionnée à une fonction, pour une durée, révisable et révocable. Quand on oublie cette phrase, les comptes s’empilent. Un stagiaire qui voit tout le tableur RH, un prestataire encore actif six mois après la mission, un mot de passe d’équipe collé dans un tiroir : ces situations paraissent banales. Elles empêchent pourtant de savoir qui a fait quoi. Elles transforment un départ, un oubli ou une curiosité en fuite. Le moindre privilège n’est pas de la méfiance. C’est de la clarté.
5. Prestataires et sous-traitance Dès qu’un tiers traite des données pour votre compte, hébergeur, outil, prestataire RH, sous-traitant technique, la responsabilité ne disparaît pas. Elle se partage et s’encadre. On choisit, on instruit, on contrôle, on clôt. Beaucoup d’organisations croient s’être déchargées en « prenant un outil sérieux ». L’outil peut être sérieux. Le choix, lui, reste le vôtre. Le sous-traitant agit selon vos instructions, pas pour son propre compte. Si vous ne lui avez rien dit de clair, il improvisera, ou il appliquera ses réglages par défaut, souvent trop larges. Le contrat n’est pas une formalité de service achats. C’est l’endroit où l’on fixe les finalités, la sécurité attendue, la sous-traitance ultérieure, l’assistance, et le sort des données à la fin.
6. Conservation et documentation Garder trop longtemps, ou sans savoir pourquoi, est l’une des fautes les plus fréquentes. Un fichier « on ne sait jamais » vieillit mal : les accès s’élargissent, les copies se multiplient, plus personne ne se souvient de la finalité. La conservation se décide. Une durée, un événement déclencheur, un sort des données. Sans cela, on a déjà choisi de tout garder. La documentation rend ce choix opposable. Pas un traité. Un registre assez clair pour qu’un tiers comprenne, une note qui relie la durée à un événement, une preuve simple quand on supprime ou archive. Si vous ne pouvez l’écrire, vous ne pourrez pas le défendre. L’évaluation le sait, et elle punit le « jusqu’à nouvel ordre ».