Quels types de logiciels de protection des données existe-t-il ?
La notion est large. La plupart des outils relèvent d'un ou de plusieurs de ces types :
| Type | À quoi il sert | Où il s'arrête |
|---|---|---|
| Consentements et cookies | Recueillir et gérer les consentements sur les sites web et dans les applications | ne concerne que les données collectées par ces canaux |
| Documentation et registres | Registre des activités de traitement, analyses d'impact, directives, questionnaires | décrit les obligations, mais ne les met pas en œuvre dans les systèmes |
| Trouver et classifier | Repérer les données personnelles dans les partages de fichiers, les bases de données et les services cloud | montre où se trouvent les données – mais rien n'est encore supprimé |
| Demandes des personnes concernées | Enregistrer les demandes d'accès et d'effacement, surveiller les délais, répondre | souvent sans recherche dans vos propres systèmes et sans suppression |
| Suppression dans plusieurs systèmes | Supprimer les données arrivées à échéance dans les systèmes centraux, les systèmes périphériques et les archives, et le prouver | nécessite une connexion des systèmes |
| Données d'IA | Contrôler les prompts, transcriptions et résultats d'IA enregistrés | ne remplace pas une gouvernance générale de l'IA |
| Transmission protégée | Transmettre des données masquées ou pseudonymisées, par exemple pour des tests ou l'IA | ne vaut que ce que vaut la détection des données personnelles |
La distinction la plus importante : documenter ou mettre en œuvre
De nombreux outils consignent ce qui doit se passer : quelles données sont conservées et combien de temps, qui est responsable, quelles mesures s'appliquent. C'est nécessaire – mais cela ne supprime pas un seul enregistrement.
C'est dans les systèmes que se décide si une obligation est remplie : si les données arrivées à échéance sont réellement supprimées, si une réponse à une demande d'accès est complète, si les données ne sont transmises que sous forme pseudonymisée. Qui doit présenter des preuves à la révision et à l'autorité de surveillance a donc besoin d'outils qui agissent dans les systèmes et journalisent chaque étape.
Les deux ne s'excluent pas : la documentation fournit les prescriptions, un outil de mise en œuvre les applique et rend compte de ce qui a été fait.
Suite ou outils isolés ?
Une suite couvre plusieurs types, un outil isolé un seul. Les deux ont des avantages et des inconvénients :
| Critère | Suite | Outils isolés |
|---|---|---|
| Interaction | résultats, délais et preuves circulent sans projet d'interface séparé | interfaces nécessaires entre les outils |
| Démarrage | bon si les modules peuvent être licenciés séparément | ciblé sur un problème précis |
| Coûts | souvent plus avantageux dès que plusieurs tâches doivent être couvertes | faibles pour un outil, croissants avec chaque outil supplémentaire |
| Dépendance | envers un seul fournisseur | envers plusieurs fournisseurs et leurs interfaces |
| Utilisation | une seule interface utilisateur, un seul modèle de rôles | pour chaque outil, sa propre interface utilisateur et ses propres droits |
Ce qui compte, c'est moins le nombre de fonctions que la possibilité de commencer par ce qui est urgent aujourd'hui – et d'étendre plus tard sans repartir de zéro.
Critères de choix
Ces questions aident à comparer les fournisseurs :
- Le logiciel atteint-il vos systèmes – y compris les anciens systèmes centraux, les archives et les développements propres ?
- Où fonctionne-t-il : dans votre centre de données, dans votre cloud ou chez le fournisseur ? Quelles données quittent votre entreprise ?
- Fournit-il des preuves acceptées par la révision et l'autorité de surveillance – par exemple un journal par cycle de suppression ?
- Couvre-t-il les obligations qui s'appliquent à vous, par exemple selon la LPD suisse et le RGPD ?
- Existe-t-il des rôles et des validations, afin que les étapes sensibles ne puissent pas être déclenchées par une seule personne ?
- Les modules peuvent-ils être licenciés séparément et complétés plus tard ?
- Combien de temps dure la mise en place, et qui vous accompagne ?
- Les spécialistes de la protection des données, de l'informatique et de la révision comprennent-ils l'interface utilisateur sans longue formation ?
Les questions à poser à chaque fournisseur
Une démo montre ce qu'un logiciel sait faire. Ces questions montrent s'il vous convient :
- « Montrez-moi une suppression dans un système comme le nôtre – et la preuve correspondante. »
- « Quelles données quittent notre entreprise, et pour aller où ? »
- « Comment connecte-t-on un système pour lequel il n'existe pas de connecteur prêt à l'emploi ? »
- « Que voient la révision et l'autorité de surveillance lorsqu'elles demandent des preuves ? »
- « Par quoi pouvons-nous commencer, et combien coûte l'extension ? »
- « Où votre logiciel est-il en production aujourd'hui ? »
Comment procéder pour le choix
- 1Inventaire : où se trouvent les données personnelles, quelles obligations sont en suspens, qu'est-ce qui est urgent ?
- 2Définir les exigences – avec le problème le plus urgent comme référence
- 3Démo avec vos propres cas plutôt qu'avec des présentations standard
- 4Proof of Concept dans votre environnement, avec des critères de réussite convenus à l'avance
- 5Mise en place progressive, en commençant par un module ou un système
Erreurs fréquentes
- acheter selon la longueur de la liste de fonctions plutôt que selon le problème le plus urgent
- se contenter de documenter et repousser la mise en œuvre à plus tard
- ne clarifier le lieu d'exploitation qu'après l'achat
- vouloir introduire tous les modules en même temps
- sous-estimer l'effort de connexion de vos propres systèmes