Qu'est-ce que la protection des données ?

Qu'est-ce que la protection des données ?

La protection des données regroupe les règles juridiques, les mesures techniques et les habitudes de travail qui font que les données personnelles sont collectées, utilisées, conservées et supprimées de façon licite, limitée et sécurisée. Elle tourne autour des personnes : ce qu'une organisation peut faire des informations les concernant et comment elle doit les protéger. Cette page donne un éclairage général, pas un conseil juridique.

Comment fonctionne la protection des données

Elle repose sur trois niveaux interdépendants. Les règles fixent ce qui est permis, comme le RGPD de l'UE. Les mesures techniques les rendent applicables : chiffrement, contrôle d'accès basé sur les rôles, journalisation et sécurité des bases de données. Les habitudes organisationnelles les font durer : savoir quelles données on détient, former les équipes, évaluer les prestataires et disposer d'un plan en cas de violation.

Le CEPD (EDPB) définit les données personnelles comme toute information se rapportant à une personne physique identifiée ou identifiable. Cela inclut des éléments évidents comme le nom ou l'e-mail, et tout ce qui permet d'identifier quelqu'un indirectement.

Les principes qui la fondent

Le guide du CEPD pour les petites entreprises énumère six principes que reprennent la plupart des lois modernes sur la vie privée :

• Licéité, loyauté et transparence : une base juridique valable et aucune surprise pour la personne.
• Limitation des finalités : ne collecter que pour des finalités déterminées, explicites et légitimes.
• Minimisation des données : ne traiter que ce qui est nécessaire et proportionné.
• Exactitude : garder les données correctes et à jour.
• Limitation de la conservation : supprimer ou anonymiser les données lorsqu'elles ne sont plus nécessaires.
• Sécurité : empêcher toute divulgation, perte, destruction ou dommage accidentel, non autorisé ou illicite.

Les droits des personnes

Selon le RGPD, les personnes peuvent demander à être informées, accéder à leurs données, les faire rectifier ou effacer, limiter le traitement ou s'y opposer, récupérer leurs données (portabilité) et ne pas faire l'objet de décisions fondées uniquement sur un traitement automatisé. D'après le CEPD, le responsable doit répondre dans un délai d'un mois, avec une prolongation possible pour les cas complexes si la personne en est informée à temps.

Un exemple concret

Une équipe SaaS reçoit une demande d'effacement. Supprimer la ligne de l'utilisateur ne suffit pas : la même adresse e-mail peut figurer dans des sauvegardes, des exports d'analyse, des outils de support et des journaux. Les équipes qui s'en sortent bien tiennent un inventaire des données, savent où se trouve chaque copie et disposent d'une routine de suppression testée, au lieu de chercher dans l'urgence.

Erreurs courantes

• La traiter comme un audit ponctuel. Les flux de données changent à chaque sprint : inventaires et politiques demandent une revue régulière.
• Collecter "au cas où". Ce qui n'a jamais été collecté ne peut pas fuiter et n'a pas à être justifié plus tard.
• Oublier les copies. Sauvegardes, journaux, bases de test et outils tiers contiennent aussi des données personnelles.
• Des données réelles en environnement de test. Utilisez des données masquées ou synthétiques en préproduction et pour les tests de charge.
• La confondre avec la cybersécurité. La sécurité protège contre les attaquants ; la protection des données limite aussi ce que l'organisation fait elle-même des données.
• Des accès trop larges. Appliquez le moindre privilège via la gestion des identités et des accès.

Protection des données, API et tests

La plupart des données personnelles transitent aujourd'hui par des API : la sécurité des API en est une grande part. Les tests aident de façon modeste et concrète. LoadFocus API Monitoring peut vérifier à intervalle régulier que les endpoints renvoient les codes de statut et les champs attendus, y compris ceux des demandes d'accès et d'effacement. Les tests de charge montrent si ces endpoints répondent encore sous fort trafic, idéalement avec des données synthétiques. Ces contrôles vérifient un comportement. LoadFocus n'est pas un outil de conformité et ne certifie la conformité à aucune loi. Pour aller plus loin sur les bonnes pratiques, lisez le guide de sécurité des tests dans le cloud.

Questions fréquentes : protection des données

Quelle différence entre protection des données et vie privée ?

Les deux notions se recoupent et sont souvent employées l'une pour l'autre. La vie privée renvoie plutôt aux attentes et aux droits des personnes sur leurs informations. La protection des données est le versant pratique : règles, mesures et processus qui garantissent ces droits, sécurité comprise.

Qu'est-ce qu'une donnée personnelle ?

Toute information se rapportant à une personne identifiée ou identifiable, directement ou indirectement. Le nom et l'e-mail sont évidents, mais une adresse IP, un identifiant d'appareil ou une donnée de localisation peuvent aussi l'être s'ils sont rattachables à une personne.

Est-ce la même chose que la sécurité des données ?

Non. La sécurité des données les protège contre la perte et les accès non autorisés. La protection des données inclut la sécurité, mais couvre aussi l'usage licite, la minimisation, la durée de conservation et les droits des personnes.

Combien de temps conserver des données personnelles ?

Seulement le temps nécessaire à la finalité de la collecte. La limitation de la conservation consiste à fixer des durées par type de donnée et à supprimer ou anonymiser comme prévu.

Ai-je besoin d'un avocat ?

Pour une question juridique sur votre situation, oui : adressez-vous à un professionnel qualifié ou à votre autorité de protection des données. Ce glossaire se contente d'expliquer les notions.