Quels types de logiciels de protection des données existe-t-il ?
La notion est large. La plupart des outils relèvent d'un ou de plusieurs de ces types :
| Type | À quoi il sert | Où il s'arrête |
|---|---|---|
| Consentements et cookies | Recueillir et gérer les consentements sur les sites web et dans les applications | ne concerne que les données collectées par ces canaux |
| Documentation et registres | Registre des activités de traitement, analyses d'impact, directives, questionnaires | décrit les obligations, mais ne les met pas en œuvre dans les systèmes |
| Trouver et classifier | Repérer les données personnelles dans les partages de fichiers, les bases de données et les services cloud | montre où se trouvent les données, mais rien n'est encore supprimé |
| Demandes des personnes concernées | Enregistrer les demandes d'accès et d'effacement, surveiller les délais, répondre | souvent sans recherche dans vos propres systèmes et sans suppression |
| Suppression dans plusieurs systèmes | Supprimer les données arrivées à échéance dans les systèmes centraux, les systèmes périphériques et les archives, et le prouver | nécessite une connexion des systèmes |
| Données d'IA | Contrôler les prompts, transcriptions et résultats d'IA enregistrés | ne remplace pas une gouvernance générale de l'IA |
| Transmission protégée | Transmettre des données masquées ou pseudonymisées, par exemple pour des tests ou l'IA | ne vaut que ce que vaut la détection des données personnelles |
La distinction la plus importante : documenter ou mettre en œuvre
De nombreux outils consignent ce qui doit se passer : quelles données sont conservées et combien de temps, qui est responsable, quelles mesures s'appliquent. C'est nécessaire, mais cela ne supprime pas un seul enregistrement.
C'est dans les systèmes que se décide si une obligation est remplie : si les données arrivées à échéance sont réellement supprimées, si une réponse à une demande d'accès est complète, si les données ne sont transmises que sous forme pseudonymisée. Qui doit présenter des preuves à la révision et à l'autorité de surveillance a donc besoin d'outils qui agissent dans les systèmes et journalisent chaque étape.
Les deux ne s'excluent pas : la documentation fournit les prescriptions, un outil de mise en œuvre les applique et rend compte de ce qui a été fait.
Suite ou outils isolés ?
Une suite couvre plusieurs types, un outil isolé un seul. Les deux ont des avantages et des inconvénients :
| Critère | Suite | Outils isolés |
|---|---|---|
| Interaction | résultats, délais et preuves circulent sans projet d'interface séparé | interfaces nécessaires entre les outils |
| Démarrage | bon si les modules peuvent être licenciés séparément | ciblé sur un problème précis |
| Coûts | souvent plus avantageux dès que plusieurs tâches doivent être couvertes | faibles pour un outil, croissants avec chaque outil supplémentaire |
| Dépendance | envers un seul fournisseur | envers plusieurs fournisseurs et leurs interfaces |
| Utilisation | une seule interface utilisateur, un seul modèle de rôles | pour chaque outil, sa propre interface utilisateur et ses propres droits |
Ce qui compte, c'est moins le nombre de fonctions que la possibilité de commencer par ce qui est urgent aujourd'hui, et d'étendre plus tard sans repartir de zéro.
Critères de choix
Ces questions aident à comparer les fournisseurs :
- Le logiciel atteint-il vos systèmes, y compris les anciens systèmes centraux, les archives et les développements propres ?
- Où fonctionne-t-il : dans votre centre de données, dans votre cloud ou chez le fournisseur ? Quelles données quittent votre entreprise ?
- Fournit-il des preuves acceptées par la révision et l'autorité de surveillance, par exemple un journal par cycle de suppression ?
- Couvre-t-il les obligations qui s'appliquent à vous, par exemple selon la LPD suisse et le RGPD ?
- Existe-t-il des rôles et des validations, afin que les étapes sensibles ne puissent pas être déclenchées par une seule personne ?
- Les modules peuvent-ils être licenciés séparément et complétés plus tard ?
- Combien de temps dure la mise en place, et qui vous accompagne ?
- Les spécialistes de la protection des données, de l'informatique et de la révision comprennent-ils l'interface utilisateur sans longue formation ?
Les questions à poser à chaque fournisseur
Une démo montre ce qu'un logiciel sait faire. Ces questions montrent s'il vous convient :
- « Montrez-moi une suppression dans un système comme le nôtre, et la preuve correspondante. »
- « Quelles données quittent notre entreprise, et pour aller où ? »
- « Comment connecte-t-on un système pour lequel il n'existe pas de connecteur prêt à l'emploi ? »
- « Que voient la révision et l'autorité de surveillance lorsqu'elles demandent des preuves ? »
- « Par quoi pouvons-nous commencer, et combien coûte l'extension ? »
- « Où votre logiciel est-il en production aujourd'hui ? »
Comment procéder pour le choix
- 1Inventaire : où se trouvent les données personnelles, quelles obligations sont en suspens, qu'est-ce qui est urgent ?
- 2Définir les exigences, avec le problème le plus urgent comme référence
- 3Démo avec vos propres cas plutôt qu'avec des présentations standard
- 4Proof of Concept dans votre environnement, avec des critères de réussite convenus à l'avance
- 5Mise en place progressive, en commençant par un module ou un système
Erreurs fréquentes
- acheter selon la longueur de la liste de fonctions plutôt que selon le problème le plus urgent
- se contenter de documenter et repousser la mise en œuvre à plus tard
- ne clarifier le lieu d'exploitation qu'après l'achat
- vouloir introduire tous les modules en même temps
- sous-estimer l'effort de connexion de vos propres systèmes