Les grands défis Post-RGPD

Introduction

La réglementation est-elle un frein à l’innovation ? Si certains le pensent, les lois européennes – comme le règlement général sur la protection des données personnelles – n’empêchent pas les entreprises d’adopter de nouveaux cas d’usage analytique qui impliquent le traitement des données de leurs clients. Les usages du machine learning et du deep learning ont crû fortement, même (surtout ?) dans des domaines critiques, comme la lutte contre la fraude.

Cinq ans après son entrée en vigueur, le RGPD a-t-il rigidifié les modes d’organisation ? Pas vraiment. Certaines d’entre elles, comme Michelin, SNCF Voyageurs ou encore Schneider Electric, tentent d’adopter de nouvelles structures de gestion de données plus adaptées à la nature décentralisée de leurs organisations. C’est l’intérêt principal du concept de Data mesh, qui, pour rappel, peut être considéré comme un objet « sociotechnique ».

Est-ce à dire que le RGPD a réglé tous les problèmes de protection de données personnelles ? Non. Même si, en pratique, les autorités de protection de données s’attaquent en premier lieu aux pratiques des géants du Web, certaines entreprises européennes n’ont pas su se conformer à la réglementation. Aussi, les textes sont sujets à interprétation par les organisations, alors que certaines autorités, comme la CNIL, tendent à les appliquer à la lettre. Pour autant, la CNIL évoque le fait que « 94 % des investigations menées aboutissent à la mise en conformité des organismes sans que la CNIL recoure à la sanction ». Preuve que les organisations coopèrent.

Les « couacs » ne disparaissent pas : ni les machines ni les humains ne sont parfaits. Aussi, le sujet de la gouvernance de données demeure un parent pauvre, parfois occulté par l’éclat de nouveaux objets, comme ChatGPT.

Pseudonymisation, anonymisation, chiffrement… Les techniques de protection semblent mieux utilisées qu’auparavant. Pour autant, une augmentation des cyberattaques de la part d’individus aguerris ou suffisamment malins met à mal les systèmes des organisations. Cela demande une meilleure coopération entre RSSI et DPO, insiste l’AFCDP, alors que les instances européennes feront appliquer la directive NIS 2 au second semestre 2024 et prépare le Cyber Resilience Act.

Dans un même temps, certains secteurs, comme l’industrie manufacturière, tentent d’harmoniser la collecte et le traitement de données parfois emprisonnées dans des machines régies par des protocoles propriétaires. Ces données, une fois analysées ou partagées, peuvent avoir une grande valeur pour les entreprises d’un secteur.

En réponse à cette effervescence et pour tenter de donner un élan à l’économie de données européenne, les instances dirigeantes de l’Union européenne mettent sur les rails un nouveau paquet législatif. Avec le Data Governance Act, le Data Act et l’AI Act, la Commission européenne entend favoriser la protection et le partage des données industrielles, la maîtrise des risques liés à l’IA, mais aussi rééquilibrer les relations entre les entreprises, les particuliers et les fournisseurs cloud.

Pour autant, le volet du RPGD n’est pas clos. Le 4 juillet 2023, la CE a proposé des ajustements pour « harmoniser » la gestion des dossiers transfrontaliers. Enfin, le sujet épineux des accords de transfert de données entre l’UE et les États-Unis refait surface. Voilà les défis post-RGPD dépeints par ce guide essentiel.

1Data Mesh-

Une nouvelle structure organisationnelle

2Gouvernance de données-

Un sujet encore mal maîtrisé

3L’après-RGPD-

L’UE fait feu de tout bois

4AI Act-

La CNIL se prépare