Bonne Semaine de la protection des données 2023 !
Just as everyone started to get more or less cozy with the regulatory landscape in data privacy/protection and individuals and businesses learned to navigate the shallow waters of data subject requests, risk management, and impact assessments – BOOM – another tidal wave of regulatory requirements and new challenges rushed in!
2023 est le moment idéal pour commencer à se familiariser avec les nouveaux acronymes (préparez-vous pour #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) et les textes législatifs qu’ils désignent.
L’objectif sous-jacent des changements à venir est de renforcer et d’améliorer les dispositifs de cybersécurité des différentes organisations et de gérer plus efficacement les cyberrisques en constante évolution.
Voici un aperçu général de certaines évolutions juridiques observées à travers le monde :
- UE – Directive (UE) 2022/2555 relative à des mesures visant à assurer un niveau commun élevé de cybersécurité dans l’ensemble de l’Union (NIS2)
- UE – Règlement sur la résilience opérationnelle numérique du secteur financier (DORA)
- US – State & Federal privacy laws
- India – Digital Personal Data Protection Bill (DPDPB)
- Australia – Privacy Penalty Bill & overhaul of the Privacy Act 1988
NIS2
According to ENISA, the general spending on cybersecurity is 41 % lower by organisations in the EU than by their US counterparts. With the arrival of NIS2, this ratio is expected to shift to cover this enormous gap at least partially. Conservative estimates are that NIS2 entry in force will translate into a ~22% increase in ICT spending over a 3–4-year period.
La directive NIS2 a été publiée juste avant la fin de l’année, et les États membres de l’UE disposent désormais de 21 mois pour transposer les exigences et les mécanismes qu’elle décrit dans leur législation nationale. La directive NIS de 2016, malgré ses lacunes, a constitué une pierre angulaire du renforcement des capacités des États membres en matière de cybersécurité. Désormais, la directive NIS 2 élargira le champ d’application et la liste des organisations concernées. On estime que jusqu’à 160 000 organisations seront soumises à cette nouvelle législation, notamment les fournisseurs de services numériques (plateformes et services de centres de données), les fournisseurs de réseaux et de services de communications électroniques, ainsi que les secteurs de l’industrie manufacturière, de l’agroalimentaire et du secteur public.
Le NIS2 vise à renforcer les dispositifs de cybersécurité, notamment en améliorant la gouvernance en matière de cybersécurité, en traitant la question de la sécurité des chaînes d’approvisionnement, en rationalisant les obligations de déclaration (alertes précoces/délais de notification raccourcis) et en mettant en place des mesures de surveillance plus rigoureuses ainsi que des exigences d’application plus strictes.
Que pouvez-vous faire dès maintenant ?
- First, try to understand which obligations will apply to your organization and in which compliance bucket your organization will fall into: “Essential Entity,” “Important Entity,” or maybe “other.”
- Ensuite, voyez si vous pouvez créer des synergies et tirer parti des mesures techniques et organisationnelles existantes mises en œuvre lors de précédentes initiatives de mise en conformité (par exemple, le RGPD, la directive NIS1, etc.)
- Commencez à rechercher les partenaires adéquats, capables de soutenir efficacement vos efforts de mise en conformité. Discutez avec vos fournisseurs de l’approche la mieux adaptée à votre organisation.
- Enfin, commencez à prévoir une augmentation des dépenses afin de combler les lacunes restantes. Le non-respect de la conformité pourrait entraîner des amendes administratives pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’organisation.
DORA
DORA aims to achieve “a high common level of digital operational resilience,” mitigating cyber threats and ensuring resilient operations across the EU financial sector. It will become directly applicable from Jan 17th, 2025. It will impact the financial sector (banks, insurance companies, investment firms) and its ICT providers (i.e., cloud platforms) – roughly around 22 000 organizations.
Les nouvelles exigences imposées par la DORA se traduiront concrètement par une révision et une mise à jour des pratiques de gestion des risques. Les clients du secteur financier devront transférer autant de risques réglementaires que possible à leurs prestataires TIC ou mettre en œuvre différentes stratégies d’atténuation des risques. Dans tous les cas, les prestataires TIC devront être en mesure de garantir le respect des exigences de la DORA. L’ensemble du secteur devra également réévaluer ses relations contractuelles avec ses fournisseurs. La DORA intégrera des exigences relatives aux contrats entre les entreprises financières et leurs prestataires TIC essentiels, notamment en ce qui concerne le lieu de traitement des données, la description des accords de niveau de service, les obligations de déclaration, les droits d’accès et les circonstances pouvant entraîner la résiliation du contrat.
In a separate post – Commvault’s Product Team will perform a more technical deep-dive into DORA’s requirements related to detection (art. 10), response and recovery (art. 11), and backup (art. 12).
Lois américaines sur la protection des données : CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA
As of January 1st, 2023, California Privacy Rights Act (CPRA) amendments to the California Consumer Privacy Act 2018 went into effect. Many temporary exemptions in place expire, imposing additional obligations on companies dealing with California residents’ personal information, e.g., regarding employment-related personal data, opt-out from selling personal information.
2023 is also the year when the Colorado Privacy Act (CPA), The Connecticut Data Privacy Act (CDPA), The Utah Consumer Privacy Act (UCPA), and The Virginia Consumer Data Privacy Act (VCDPA) will become effective. Legislative fragmentation risk is imminent and substantial, and this is the kind of risk that caused the European Union to harmonize the regulatory approach. Let us see whether the same will be true in 2023 in the case of the American Data Privacy and Protection Act (‘ADPPA’) – a proposal for a federal and general data privacy law.
Inde – DPDPB
Indian legislators plan to introduce a very ambitious Digital Personal Data Protection Bill (DPDPB) this year. When enacted, long-awaited legislation will undoubtedly impact all kinds of organizations due to India’s role as a tech powerhouse and a global outsourcing hub.
Australia – Privacy Penalty Bill & overhaul of the Privacy Act
Australian authorities announced yet another complete overhaul of the Privacy Act dated 1988. The current legislation was summarized as “out of date and not fit for purpose in the digital age.”
Entre-temps, toujours en 2022, l’Australie a adopté la loi sur les sanctions en matière de protection de la vie privée (Privacy Penalty Bill), qui a relevé les sanctions liées à la protection de la vie privée à des niveaux comparables à ceux instaurés par le RGPD (jusqu’à 50 millions de dollars australiens) et a élargi les pouvoirs réglementaires du Bureau du commissaire australien à l’information (OAIC) et de l’Autorité australienne des communications et des médias (ACMA).
Résumé
Le compte à rebours incessant de la conformité vient de recommencer. Des équipes pluridisciplinaires, composées de professionnels de l’informatique, de la conformité, de la protection des données, du droit et d’analystes métier, consacreront un temps considérable à analyser l’impact de la vague de changements législatifs apparue à la fin de l’année dernière et qui se concrétisera tout au long de l’année 2023.
Sachez que les évolutions législatives présentées ici pourraient être plus complètes. Vous pouvez toutefois être certain qu’elles deviendront des thèmes de discussion incontournables, non seulement en 2023, mais aussi dans les années à venir.
