One Identity salue le RGPD comme une évolution importante et nécessaire des lois sur la protection des données dans l’UE. Le programme de protection de la vie privée et de sécurité de One Identity répond aux normes les plus strictes du secteur et les surpasse, notamment en matière de conformité au RGPD.
Le nouveau Règlement général sur la protection des données (« RGPD »), qui a remplacé la directive sur la protection des données de la Commission européenne, est entré en vigueur le 25 mai 2018. Son objectif était d’unifier les réglementations de l’Union européenne (UE) en matière de protection de la vie privée et de mieux protéger les données personnelles des citoyens de l’UE, aussi bien à l’intérieur qu’à l’extérieur de l’UE. En tant que chargé du traitement des données, One Identity vérifie que nous répondons à toutes les exigences du RGPD. Nous continuerons à défendre activement la conformité au RGPD. Nous fournissons également les ressources et la documentation nécessaires pour aider nos clients dans leur rôle de responsables du traitement des données.
Chez One Identity, notre priorité absolue est de veiller à ce que toutes les données des clients soient traitées de manière sûre et responsable. Voici un aperçu de ce qu’implique le RGPD, de la manière dont nous respectons cette nouvelle réglementation et de la façon dont nous aidons nos clients à s’y conformer.
Quel est l’objectif du RGPD ?
Le RGPD est une loi complète sur la protection des données qui a deux objectifs :
Protéger les données individuelles : le RGPD redonne le contrôle des données personnelles aux résidents de l’UE et interdit aux entreprises d’exploiter ces données.
Établir des lignes directrices pour les entreprises : grâce au RGPD, la législation sur la protection des données est identique dans l’ensemble du marché unique. Il fournit aux entreprises des directives juridiques plus simples, qui sont plus facilement appliquées par les organismes gouvernementaux.
À qui s’applique le RGPD ?
Le RGPD s’applique aux entreprises établies dans l’UE, ainsi qu’aux entreprises qui proposent des biens ou des services à des clients ou à d’autres entreprises de l’UE. Cette législation élargit le champ de protection des résidents de l’UE en vue d’un meilleur contrôle de la protection de la vie privée.
En quoi le RGPD me concerne-t-il ?
Si vous résidez dans l’UE, félicitations ! L’Union européenne prend des mesures pour s’assurer que vos données sont utilisées de manière sûre et appropriée.
Si votre entreprise propose des services au sein de l’UE, vous devrez vous conformer au RGPD. Cela aura un impact sur la manière dont vous stockez, traitez et utilisez les données utilisateur, et ce de plusieurs façons. Reportez-vous à cette présentation des principaux changements introduits par le RGPD, qui remplace la directive sur la protection des données de la Commission européenne.
Droit d’accès et de portabilité : les utilisateurs peuvent demander à savoir si leurs données personnelles sont traitées, ainsi que le lieu et le but de ce traitement. De plus, le responsable du traitement des données est tenu de fournir gratuitement une copie des données à caractère personnel dans un format électronique.
Obligation de notification des violations : les violations susceptibles « d’entraîner un risque pour les droits et libertés des personnes » doivent être signalées dans les 72 heures suivant la prise de connaissance de la violation.
Protection de la vie privée dès la conception : les entreprises doivent prendre en compte la protection de la vie privée lors des phases de conception de tous les projets, tout au long du cycle de vie du processus de traitement des données concerné. Les entreprises doivent également tenir compte de la protection des données lors des phases de conception de tous les projets, ainsi que pendant le cycle de vie du traitement des données concernées.
Droit à l’oubli : les entreprises doivent permettre aux utilisateurs d’effacer leurs données personnelles, de cesser la diffusion des données et, éventuellement, de demander à des tiers de cesser le traitement des données.
Cette liste n’est pas exhaustive. Si vous ne respectez pas l’une de ces exigences, vous risquez une amende pouvant atteindre 4 % de votre chiffre d’affaires annuel ou 20 millions d’euros.
Quelles sont les mesures prises par One Identity pour se conformer au RGPD ?
One Identity est une entreprise internationale qui traite et contrôle des données provenant du monde entier, y compris de l’UE. Nos certifications en place et notre engagement de longue date en faveur des cadres de protection de la vie privée nous préparent à bien des égards au RGPD.
Pour répondre aux exigences du RGPD, les entreprises sont tenues d’articuler les flux de données et de démontrer comment la confidentialité est contrôlée et gérée. Notre approche de la « page blanche » pour redessiner nos flux de données et élaborer des diagrammes de mappages de données très détaillés nous aide à atteindre cet objectif.
Mise à jour du MSA standard et de l’accord sur le traitement des données : les entreprises sont également tenues de mettre à jour leur langage contractuel pour refléter la responsabilité supplémentaire imposée par le RGPD. À cette fin, One Identity utilise un langage de notification des violations de données, fait appel à des sous-traitants et communique ses responsabilités à ses propres fournisseurs de traitement de données.
Responsable de la protection des données : One Identity fait appel à un consultant externe indépendant basé dans l’UE pour jouer le rôle de responsable de protection des données.
Comment One Identity aide-t-il ses clients à se mettre en conformité ?
One Identity a pour mission de fournir à ses clients les ressources dont ils ont besoin pour se conformer au RGPD. Voici comment :
Droit d’accès et de portabilité
- Les administrateurs informatiques peuvent facilement trouver un utilisateur dans le système et imprimer ses informations telles qu’elles sont stockées dans l’un des annuaires d’utilisateurs.
- Les privilèges d’utilisateur et l’attribution des rôles dans One Identity indiquent où les métadonnées de l’utilisateur sont utilisées (c’est-à-dire toutes les applications auxquelles il a accès).
Obligation de notification des violations
- Le service de streaming d’événements de One Identity aide à identifier les tentatives d’intrusion beaucoup plus rapidement lorsqu’il est mis en corrélation avec d’autres événements de sécurité de l’entreprise.
- Après avoir identifié une violation potentielle, les administrateurs peuvent utiliser le tableau de bord des événements et l’outil de création de rapports de One Identity pour enquêter plus avant.
Droit à l’oubli
- One Identity permet le déprovisioning automatisé des utilisateurs à partir d’autres systèmes et applications externes.
- Les administrateurs peuvent supprimer les utilisateurs immédiatement pour répondre aux exigences de protection des données et de sécurité de l’entreprise.
- Les administrateurs peuvent également auditer manuellement les applications provisionnées.
La protection de la vie privée dès la conception : One Identity est un partenaire de confiance
La protection de la vie privée dès la conception est une exigence particulièrement difficile à satisfaire, mais en tant que fournisseur, nous y sommes bien préparés.
- Le service One Identity a toujours traité des informations qui doivent être protégées, que ce soit en raison des réglementations sur la protection de la vie privée, des réglementations sectorielles des cartes de crédit, de leur désignation de secrets partagés ou encore d’autres exigences en matière de protection des données.
- One Identity intègre des évaluations de l’impact sur la vie privée qui sont réalisées périodiquement et dans le cadre du processus de conception de nouvelles fonctionnalités.
La protection de la vie privée dès la conception : une meilleure architecture avec One Identity
Si vous êtes architecte dans le domaine de l’informatique ou de l’ingénierie, vous vous préoccupez sans doute non seulement de la conformité de vos tiers, mais aussi des défis de conformité de vos propres systèmes. Réfléchissez aux avantages à développer vos intégrations sur la plateforme de One Identity.
La plupart des enjeux de conformité résultent d’anciennes architectures qui ne permettent qu’un contrôle limité du mode de stockage, de gestion et de traitement des données. Par exemple, il était très courant que les applications héritées accèdent directement à l’annuaire de l’entreprise. Elles avaient donc généralement accès à toutes les informations des utilisateurs, avec peu de restrictions quant à ce qu’elles pouvaient modifier, mettre en cache ou stocker.
Nous avons fait du chemin depuis.
Pour comprendre comment, commençons par quelques éléments essentiels. La plateforme de gestion des identités de One Identity repose sur des protocoles modernes, notamment SAML, OpenID Connect et SCIM. Ces protocoles modernes utilisent des jetons sécurisés, des assertions de sécurité et un provisioning automatisé.
- Jetons sécurisés : l’utilisateur ne se connecte jamais directement aux applications. À la place, il se connecte toujours de manière sécurisée à l’aide d’un portail à authentification unique (SSO). Toute application de confiance peut recevoir un jeton sécurisé représentant l’utilisateur.
- Assertions de sécurité : les informations relatives aux identités (nom d’utilisateur, ID de collaborateur, etc.) sont signées numériquement par un tiers de confiance, en l’occurrence un fournisseur d’identités.
- Provisioning/Déprovisioning automatisé : lorsqu’un utilisateur se voit accorder l’accès à une application, ses métadonnées pertinentes sont transmises à l’application. De même, lorsque l’accès d’un utilisateur est révoqué, elles sont supprimées de l’application.
La plateforme de gestion des identités de One Identity vous permet d’utiliser des protocoles modernes pour pratiquement tous les Clouds publics ou applications privées/personnalisées.
Avantages :
- Les applications n’authentifient pas directement les utilisateurs, ce qui renforce la sécurité et la protection des données.
- Les applications n’ont pas d’accès direct à l’annuaire de l’entreprise pour lire ou écrire dans la base d’utilisateurs.
- Les applications n’accèdent qu’aux métadonnées utilisateur dont elles ont besoin, uniquement pour les utilisateurs ayant accès à l’application, et l’accès des utilisateurs peut même être anonyme.
- Les applications peuvent obtenir des informations sur les rôles/privilèges sans avoir d’accès direct aux informations des utilisateurs.
Pour en savoir plus sur notre approche du RGPD, consultez notre politique de confidentialité.
Pour toute question, veuillez envoyer un e-mail à privacy@onelogin.com.
