Devoirs de sécurité des données d’une startup et notification des incidents

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

Votre startup est-elle soumise aux exigences de cybersécurité ?

Le droit israélien de la protection de la vie privée et de la sécurité des données s’applique à toute société qui traite des informations personnelles, quelle que soit sa taille ou son stade de développement. « Nous ne savions pas » n’est plus une excuse acceptée.

La raison du durcissement réglementaire est simple : les violations continuent d’augmenter, les atteintes à la vie privée des citoyens s’aggravent, et de nouvelles lois viennent protéger les titulaires des informations contre le comportement irresponsable d’acteurs économiques. Toute fuite de données, même petite, risque de causer un préjudice important et d’entraîner de graves violations de la loi.

Quelles lois s’appliquent aux sociétés technologiques en Israël ?

Ces dernières années, le gouvernement israélien a durci les exigences de cybersécurité dans diverses lois et divers règlements. La Direction nationale de la cybersécurité d’Israël définit la politique nationale et les lignes directrices de protection. Le cadre obligatoire principal est le suivant :

• Loi sur la protection de la vie privée, 5741-1981 : le cadre de base de la protection des informations personnelles, y compris les droits d’accès, de rectification et la licéité du traitement.
• Règlement sur la protection de la vie privée (sécurité des données), 5777-2017 : des exigences obligatoires de sécurité des données pour tout responsable d’une base de données, privé ou public, selon une échelle de quatre niveaux de sécurité (de base, moyen, élevé et base de données gérée par une personne physique), en fonction du volume et de la sensibilité des informations.
• Obligations de notification des violations (breach) : un incident de sécurité grave est notifié sans délai à l’Autorité de protection de la vie privée ; la notification aux personnes concernées n’est exigée que si l’Autorité l’a ordonnée (article 11(d) du règlement).
• Les exigences des ministères : les ministères ont des exigences de sécurité strictes qui touchent aussi les fournisseurs et les sous-traitants.

Que doit faire concrètement une société technologique israélienne au regard du droit de la cybersécurité et de la vie privée ?

1. Évaluations des risques et dispositifs de sécurité

Il est recommandé que toute société qui traite des données sensibles réalise des évaluations des risques périodiques (Risk Assessment) et évalue les cybermenaces qui la concernent. Cela inclut l’identification des points faibles de l’infrastructure, des logiciels et des processus de gestion. Selon l’article 5 du règlement, pour une base de données de niveau de sécurité élevé, il est obligatoire de réaliser une évaluation des risques et des tests d’intrusion au moins une fois tous les 18 mois, d’examiner les résultats et de corriger les défauts. À chaque niveau de sécurité, il faut tenir un document de définition de la base de données (article 2) et, à chaque niveau sauf pour une base de données gérée par une personne physique, aussi une procédure de sécurité écrite (articles 4 et 21).

2. Notification des violations (Breach Reporting)

Lorsqu’une violation (breach) ou une cyberattaque met en danger des données personnelles, la société doit :

• Informer sans délai l’Autorité de protection de la vie privée d’un incident de sécurité grave et lui rendre compte des mesures prises (article 11(d) du règlement sur la sécurité des données). Un « incident de sécurité grave » est une utilisation des informations sans autorisation ou une atteinte à leur intégrité : pour une base de données de niveau élevé, tout incident de ce type ; pour une base de données de niveau moyen, un incident qui touche une partie substantielle de la base de données.
• Informer les personnes concernées susceptibles d’être lésées, si l’Autorité l’a ordonné après consultation de la Direction nationale de la cybersécurité d’Israël (article 11(d)(2)).
• Documenter tous les détails : qui est à l’origine de la violation, quelles données ont été exposées et quelles mesures ont été prises au plus vite.

3. Nomination d’un responsable de la sécurité des données et d’un délégué à la protection de la vie privée

L’article 17B de la loi sur la protection de la vie privée impose la nomination d’un responsable de la sécurité des données dans les organismes publics, les banques et les compagnies d’assurance, ainsi que chez celui qui contrôle cinq bases de données soumises à enregistrement ou à déclaration. L’amendement n° 13 a ajouté (article 17B1) l’obligation de nommer un délégué à la protection de la vie privée (DPO), notamment pour celui dont l’activité principale comporte une surveillance systématique de personnes à grande échelle ou le commerce d’informations personnelles sur plus de 10 000 personnes. Une startup qui n’y est pas tenue a tout de même intérêt à désigner un responsable de la sécurité chargé des procédures, des mises à jour, des formations et du traitement des incidents.

Quelle sanction pour une société qui ne respecte pas les exigences de sécurité des données et de vie privée ?

Les sanctions des violations du droit de la cybersécurité en Israël se durcissent. L’Autorité de protection de la vie privée peut imposer :

• Amendes administratives : des sanctions pécuniaires au titre de l’amendement n° 13, dont le montant dépend du type de violation et de la taille de la base de données, et qui peuvent atteindre des montants considérables pour de grandes bases de données ou en cas de violations répétées.
• Ordres de mise en conformité avec la réglementation : l’obligation de corriger les systèmes et les processus pour respecter les exigences réglementaires.
• Publicité de la sanction : la publication sur le site de l’Autorité de l’existence de la sanction, de la nature de la violation, du montant de la sanction et, en règle générale, du nom du contrevenant lorsqu’il s’agit d’une personne morale, pendant quatre ans (article 23TT). Cette publication risque de nuire sensiblement à la réputation commerciale de la société.
• Responsabilité civile : les personnes lésées par une violation peuvent intenter des actions pour obtenir réparation du préjudice subi.

Les startups qui négligent la cybersécurité s’exposent surtout à une atteinte à leur réputation, à l’échec de transactions et à une baisse de la valeur de la société aux yeux des investisseurs et d’autres acteurs.

Peut-on saisir des informations personnelles de clients dans un outil d’IA générative ?

Saisir des informations personnelles de la base de données clients dans un outil d’IA externe constitue un « traitement » de ces informations : la définition de l’article 3 de la loi sur la protection de la vie privée inclut aussi le transfert, la transmission et l’octroi d’un accès. Ce n’est donc permis que pour la finalité de la base de données fixée conformément à la loi (article 8(b)). Le fournisseur de l’outil, lorsqu’il traite les informations pour le compte de la société, peut être considéré comme un « détenteur » (article 3). Si le service implique l’octroi d’un accès à la base de données, il faut examiner à l’avance les risques de sécurité et fixer dans le contrat les informations dont le traitement est permis, les finalités d’utilisation et les mesures de sécurité (article 15 du règlement sur la sécurité des données). Lorsque les serveurs sont hors d’Israël, le règlement sur le transfert de données à l’étranger s’applique aussi. Cela dépend des circonstances mais, en général, il vaut mieux saisir des informations dont les éléments d’identification ont été retirés, et fixer dans la procédure de sécurité les outils autorisés.

Par où commencer ? La liste minimale des actions pour respecter le droit israélien de la cybersécurité

Pour respecter les exigences réglementaires, les startups doivent mettre en place :

• Cartographie des données : un examen complet des données traitées, de la manière dont elles sont conservées et des personnes qui y ont accès exactement.
• Politiques et processus écrits : mettez par écrit des politiques de cybersécurité claires, des contrôles d’accès périodiques, le chiffrement des données et le traitement des incidents.
• Formation large de l’équipe : chaque salarié a besoin d’une formation de base pour reconnaître l’hameçonnage (phishing), utiliser des mots de passe forts et traiter les données sensibles.
• Mises à jour logicielles et correctifs de sécurité : veillez à mettre à jour régulièrement les systèmes d’exploitation, les composants de communication et les logiciels tiers.
• Contrôles externes : envisagez des prestataires de tests de cybersécurité ou des audits de code périodiques.
• Assurance cyber : étudiez une assurance cyber qui couvre les dépenses engagées pour réagir à une violation ou à un incident informatique.

Les startups qui se préparent tôt aux exigences de cybersécurité ne font pas qu’éviter les amendes : elles se donnent un avantage concurrentiel. Les clients, les partenaires et les investisseurs veulent savoir que leurs informations sont protégées. Une bonne sécurité fait déjà partie du pitch.