GDPR et son impact sur l'archivage numérique et l'OAIS.

Comme il y a de plus en plus de lois locales et internationales qui imposent un archivage ou une conservation numérique appropriés (Loi belge sur le numérique, MiFID II, NF-461, etc.), il est également important d'assurer la conformité avec le Règlement général sur la protection des données.

La plupart des systèmes d'archivage ont été conçus pour ne jamais supprimer d'informations et même la norme ISO 14721, de réputation internationale, le "Saint-Graal OAIS" de tous les archivistes, n'est pas conforme au GDPR.

Nous aborderons quelques-uns des éléments clés du GDPR qui ont un impact sur l'archivage numérique et la manière dont votre solution d'archivage doit répondre à ces défis.

Minimisation et conservation des données

Les données à caractère personnel ne doivent être collectées et stockées que pour des finalités déterminées, explicites et légitimes, et ne doivent pas être conservées plus longtemps que nécessaire. C'est ce qu'exprime l'article 5 du GDPR : minimisation des données et limitation du stockage.

Solutions d'archivage numérique devrait, par conséquent, intégrer des fonctionnalités telles que :

• Politiques de conservation automatique des données : 

• Définissez des règles automatisées pour supprimer les données à caractère personnel après une période spécifique ou lorsqu'elles ne sont plus nécessaires.

• Contrôles d'accès granulaires : 

• Restreindre l'accès aux données personnelles archivées aux utilisateurs autorisés en fonction de leur rôle, de leurs responsabilités et de leurs objectifs légitimes.

L'OAIS est destiné à préserver l'information éternellement et ne prévoit pas de contrôle d'accès au système d'archivage.

Droit d'accès et portabilité des données

Les personnes ont le droit d'accéder à leurs données à caractère personnel et d'en obtenir une copie (article 15 du GDPR). En outre, l'article 20 du GDPR accorde aux individus le droit à la portabilité des données, ce qui leur permet de recevoir leurs données dans un format structuré, couramment utilisé et lisible par machine.

Les solutions d'archivage numérique doivent faciliter la tâche :

• Recherche et récupération simples : 

• Mettre en place des capacités de recherche efficaces pour localiser et récupérer rapidement les données personnelles sur demande.

• Fonctionnalité d'exportation des données : 

• Permettre l'exportation des données dans des formats courants tels que CSV, JSON ou XML, afin d'en faciliter la portabilité.

Votre solution habituelle de gestion de documents ou d'archives n'offre pas ce type de fonctionnalité d'exportation.

Droit à l'oubli

L'article 17 du GDPR donne aux individus le droit d'obtenir l'effacement de leurs données personnelles dans des conditions spécifiques, par exemple lorsque les données ne sont plus nécessaires aux fins pour lesquelles elles ont été collectées.

Pour répondre à cette exigence, les solutions d'archivage numérique doivent :

• Activer la suppression sécurisée : 

• Mettez en œuvre des procédures de suppression sécurisées afin de garantir que les données effacées sont irrécupérables et ne peuvent pas être reconstituées.

• Tenir à jour les journaux de suppression : 

• Conservez une trace de toutes les demandes d'effacement et de toutes les actions entreprises afin de démontrer que le droit à l'oubli est respecté.

Sécurité des données et cryptage

Conformément à l'article 32 du GDPR, les organisations doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer la sécurité des données à caractère personnel. Il s'agit notamment de protéger les données contre l'accès non autorisé, la perte accidentelle ou la destruction.

Les fonctionnalités de sécurité essentielles des solutions d'archivage numérique sont les suivantes :

• Cryptage des données : 

• Crypter les données personnelles au repos et en transit à l'aide d'algorithmes de cryptage puissants.

• Sauvegardes régulières : 

• Planifiez des sauvegardes de routine pour vous protéger contre la perte de données et garantir leur intégrité.
• Détection et prévention des intrusions : Mettre en place des systèmes de surveillance et d'alerte pour détecter et prévenir les accès non autorisés ou les failles de sécurité.

OAIS considère le cryptage comme l'introduction d'un risque pour la préservation.

Audits et rapports de conformité au GDPR

Les organisations doivent démontrer leur conformité avec les réglementations GDPR, et les solutions d'archivage numérique doivent soutenir cette démarche en fournissant :

• Pistes d'audit : 

• Tenir des registres détaillés de toutes les activités de traitement des données, y compris l'accès aux données, leur modification, leur suppression et leur transfert.

• Rapports de conformité : 

• Générez des rapports personnalisables qui décrivent la conformité aux exigences du GDPR, en soulignant les problèmes potentiels et les domaines à améliorer.

Conclusion

Si vous cherchez à vous conformer au règlement GDPR, il peut être judicieux de garder à l'esprit les fonctionnalités et exigences susmentionnées.

Ces éléments seront également pris en compte dans la révision d'eIDAS, de ses nouveaux services fiduciaires et de l'EUDIW.