GDPR : quelles sont les sanctions financières pour les entreprises ?

Entre défi de la confidentialité des données et impact de la nouvelle réglementation européenne, quel est le niveau de connaissance des entreprises ?

Officiellement adopté le 14 avril dernier 2016, le GDPR (General Data Protection Regulation) va entrer en vigueur en France en 2018. Le compte à rebours a commencé car le GDPR est applicable à toutes les entreprises européennes et non-européennes fournissant des biens et services et détenant des informations personnelles de citoyens européens.

Garantir une sécurité optimale

Le responsable de l’entreprise est tenu de garantir une sécurité optimale tenant compte des risques encourus et de la nature des données à protéger. 

Parmi les organisations en mesure d’assurer un tel niveau de sécurité, ¼ d’entre elles estime que les solutions dans lesquelles elles investissent doivent être testées par des organismes indépendants comme NSS Labs ou AV Test.

20% considèrent qu’elles doivent être recommandées par des cabinets d’analystes tels que Gartner, IDC ou Forrester. Dans un contexte d’attaques permanentes, les DSI ont-ils vraiment commencé la mise en place d’une stratégie de gestion des risques adaptée ?

1 décideur sur 10 pense que cette réforme ne s’applique pas à son entreprise

Entrons dans le vif du sujet, 31% des DSI français ignorent toujours l’existence de cette nouvelle réglementation.

Parmi les DSI les mieux informés, si 90% connaissent les conditions imposées par le GDPR. Le temps presse, 1/3 d’entre eux pensent disposer entre 6 à 12 mois pour s’y conformer, et 7% pensent avoir entre 2 à 3 ans.

Les sanctions applicables

Poursuivons, 1 DSI sur 10 ignore l’existence même de sanctions applicables. 44% semblent conscients des sanctions appliquées en cas de non-respect, mais ignorent quels sont les types d’amendes.

L’amende à laquelle s’expose les entreprises non-conformes peut aller jusqu’à 4% du chiffre d’affaires ou 20 millions d’euros.

Les obstacles à la mise en conformité

Le premier facteur est le faible niveau de sécurisation des données, suivi du manque d’outils de sécurité performants, des restrictions liées au SI, et du manque de ressources financières.

24% – Faible niveau de sécurisation des données

23% – Manque d’outils de sécurité performants

22% – Restrictions liées au SI

19% – Manque de ressources financières

La protection des données

Les DSI souhaitent plus de transparence pour appréhender ce sujet sereinement et 69% déclarent qu’un processus officiel a été mis en place au sein de leur entreprise afin que les autorités en charge de la protection des données soient informées dans les 72h suivant une faille.

87% ont revu leur stratégie de protection des données, suite aux failles de données de grande ampleur

Se prémunir contre les failles

Il est urgent de faire face aux multiples failles, et pour cela, que peut-on préconiser ?

44% – Sensibilisation des collaborateurs

35% – Verrouillage des appareils pour éviter la contamination par clés USB infectées

31% – Intégration de technologies de déchiffrement

29% – Chiffrement des mots de passe 

28% – Mise en place d’une solution de prévention des failles de données

Etude Trend Micro réalisée en mars 2016 par Opinium auprès de 100 décideurs informatiques français.

Le non-respect d’une injonction émise par l’autorité de contrôle en vertu de l’article 58, paragraphe 2, fait l’objet, conformément au paragraphe 2 du présent article, d’amendes administratives pouvant s’élever jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 4% du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. En savoir plus : http://www.consilium.europa.eu/fr/policies/data-protection-reform/data-protection-regulation/

Etude européenne 2014 : itpro.fr/n/protection-donnees-entreprises-future-reglementation-europeenne-20705/