RGPD : inventaire des appareils et données perso

Des données personnelles se trouvent sur un appareil dès qu'elles y sont stockées, mises en cache ou synchronisées : ordinateurs, téléphones, clés USB et scanners, pas seulement les serveurs. Un inventaire des appareils RGPD liste chaque appareil pouvant contenir des données personnelles, qui le détient, s'il est chiffré et comment il est effacé, pour démontrer une sécurité appropriée au titre de l'article 32 et, en cas de disparition, décider dans le délai de 72 heures de l'article 33 s'il faut notifier l'autorité. Le RGPD n'emploie pas les mots « inventaire des appareils », mais on ne protège ni ne déclare ce qu'on ne peut pas lister.

Pourquoi le RGPD s'intéresse-t-il aux appareils ?

Le règlement exige un traitement sécurisé des données personnelles (article 5, paragraphe 1, point f), et l'article 32 demande aux responsables de traitement et sous-traitants des mesures techniques et organisationnelles adaptées au risque, en citant le chiffrement comme exemple. Un ordinateur portant un export clients fait partie de ce risque. L'article 33 impose ensuite de notifier une violation de données à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes. L'article 33, paragraphe 5, demande aussi de documenter toute violation, y compris celles que vous décidez de ne pas notifier.

L'article 30 impose un registre des activités de traitement, qui décrit des catégories de données et des systèmes plutôt que des appareils. L'inventaire des appareils relie ce registre à la réalité physique.

Le texte du règlement, dont les articles 5, 30, 32 et 33, est publié sur eur-lex.europa.eu. Ceci est un guide pratique, pas un avis juridique.

Où se trouvent réellement les données personnelles sur les appareils ?

On pense d'abord aux systèmes principaux et on oublie les copies. Passez en revue ces endroits pour délimiter l'inventaire.

Que doit consigner un inventaire des appareils RGPD ?

Gardez-le assez court pour le maintenir. Ces champs répondent aux questions qu'un régulateur ou un client posera après un incident.

• Appareil et numéro de série : pour qu'une déclaration de perte nomme un objet précis.
• Responsable : la personne qui répond de l'appareil, avec les dates de début et de fin d'attribution.
• Chiffrement : chiffré ou non, et comment vous le savez, par exemple une référence à votre gestion des terminaux.
• Données possibles : une note d'une ligne, par exemple « exports du support client ».
• Lieu : bureau, domicile ou stockage.
• Fin de vie : date de mise au rebut et certificat d'effacement.

Que faire quand un appareil contenant des données personnelles est perdu ?

Déclenchez le compte à rebours dès que vous le savez. Notez quand vous en avez eu connaissance, quel appareil, qui le détenait et s'il était chiffré, puis évaluez le risque pour les personnes concernées. Les faits dont vous avez besoin sont exactement les champs de l'inventaire ci-dessus, ce qui fait d'une perte le meilleur test du registre. La marche à suivre, du verrouillage à distance à la déclaration, est dans la procédure en cas d'ordinateur perdu ou volé.

L'obligation de notifier dépend de l'évaluation du risque. Un appareil chiffré et verrouillé peut réduire le risque, mais vous documentez la décision comme le demande l'article 33, paragraphe 5.

Et les appareils retirés, les départs et le télétravail ?

C'est là que les données personnelles s'échappent le plus souvent. Un partant qui garde un téléphone, un ordinateur rendu sans effacement, un tiroir de vieux disques : rien n'apparaît dans un système principal, et tout peut contenir des données. Reliez l'inventaire à votre processus de mise au rebut pour que chaque appareil retiré ait un effacement enregistré, et aux pratiques d'équipement des télétravailleurs pour que envois et retours soient tracés.

Où s'insère InventorIA ?

InventorIA tient le registre matériel avec attribution, statut, garantie, lieu et états du cycle de vie, relie chaque personne aux appareils qu'elle détient grâce aux fonctions personnes et départ, et exporte en CSV ou Excel. Vous obtenez ainsi le responsable, le lieu et la trace de fin de vie de chaque appareil au même endroit. L'outil n'analyse pas les appareils et ne vérifie pas si un disque est chiffré : notez-le depuis votre outil de gestion des terminaux. Il ne vous rend pas conforme au RGPD à lui seul.

Pour voir le registre avec des données d'exemple, ouvrez la démo en direct ou créez un espace gratuit jusqu'à 10 actifs.

Questions fréquentes

Le RGPD impose-t-il un inventaire des appareils ?

Pas sous ce nom. Les articles 32 et 33 imposent une sécurité appropriée et la notification des violations, et les deux sont difficiles à respecter si vous ne pouvez pas lister les appareils qui contiennent des données personnelles.

Les appareils personnels utilisés au travail doivent-ils être listés ?

S'ils contiennent des données personnelles de l'entreprise, vous devez le savoir. Soit votre politique les interdit, soit vous les enregistrez et définissez comment les données sont retirées au départ.

Le chiffrement est-il obligatoire avec le RGPD ?

L'article 32 cite le chiffrement comme exemple de mesure appropriée. L'obligation dépend du risque, mais pour les appareils portables c'est le niveau de base habituel.

Faut-il déclarer la perte d'un ordinateur chiffré ?

Cela dépend de votre évaluation du risque. Le chiffrement peut rendre un risque pour les personnes improbable, mais vous documentez la violation et votre raisonnement selon l'article 33, paragraphe 5.

Un tableur suffit-il ?

Oui s'il est complet, avec responsables et dates, et tenu à jour. Un outil aide surtout pour la trace des départs et de la mise au rebut.