L'explosion du télétravail et du travail hybride ont généralisé l'utilisation de solutions de visioconférences dans les organisations. Des outils qui impliquent le traitement d'une multitude de données personnelles des collaborateurs de l'entreprise.
Protéger ses salariés et son activité
Déployer une solution de visioconférence au sein d'une entreprise implique le traitement des données personnelles de l'ensemble des collaborateurs. Celles-ci sont de différentes natures et comportent des informations sur eux mais aussi sur l'activité de l'entreprise. Ainsi, en fonction de la demande, les noms, prénoms, ou encore identifiants et mots de passe des utilisateurs sont des données personnelles qui peuvent être récoltées, tout comme les intitulés de réunions, leurs dates ou la liste des participants.
Dans la plupart des organisations, et notamment celles dans des secteurs sensibles, ces données doivent rester strictement confidentielles. Il est donc impératif de disposer d'une vue claire sur la façon dont sont traitées les données personnelles.
Dans ce contexte, Renaud Ghia, Président de Tixeo, l'unique visioconférence française sécurisée qualifiée par l'ANSSI, en 100% télétravail depuis 7 ans, qui a un vrai recul sur cette organisation, rappelle les 5 questions qu'il faut se poser :
- Par qui sont traitées mes données ? : Le responsable du traitement détermine les finalités et les moyens d'un traitement de données personnelles. Le sous-traitant des données personnelles traite des données personnelles pour le compte du responsable de traitement.
- Pourquoi sont-elles utilisées ? : Il s'agit des finalités fixées par le responsable du traitement et qui justifient l'utilisation des données personnelles.
- Où sont-elles hébergées ? : Une question essentielle puisque l'hébergement des données personnelles est un facteur clé pour déterminer leur niveau de protection. En effet, au sein de l'Union Européenne, le RGPD exclut toute possibilité d'héberger des données personnelles à l'étranger ou de transférer des données dans un pays tiers, sans accord contractuel prévu au préalable. En dehors de l'Union Européenne, les réglementations sont beaucoup plus souples. Aux Etats-Unis, le Cloud act, série de lois extraterritoriales, permet aux autorités de contraindre les éditeurs, situés sur le territoire américain, à fournir les données relatives aux communications électroniques, qu'elles soient stockées sur des serveurs américains ou étrangers.
- Quelle est leur durée de conservation ? : Les données traitées peuvent être conservées durant une durée limitée. Celle-ci doit être clairement spécifiée.
- Quelles sont les mesures de protection des données personnelles mises en œuvre ? : La conformité au RGPD d'une solution de visioconférence est un premier gage de sécurité. D'autres précautions permettent de maximiser la sécurité des données. Parmi elles, le chiffrement des disques durs des postes de travail du personnel traitant des données personnelles ou encore la vérification de la conformité des sous-traitants avec l'article 28 du RGPD.