Où allons-nous avec la réglementation sur la confidentialité des données ?

Avec 65% de la population mondiale devrait voir ses données personnelles couvertes par les réglementations modernes en matière de confidentialité d'ici 2023, le respect de la confidentialité des données n'a jamais été aussi critique. À titre d'exemple, l'introduction du gouvernement fédéral Loi américaine sur la confidentialité et la protection des données (ADPPA), ainsi que l'adoption récente d'un patchwork de lois sur la confidentialité au niveau des États, ont rendu le paysage américain actuel de la confidentialité de plus en plus complexe. Cela entraîne des défis pour les organisations, à la fois dans la gestion des volumes explosifs de données et dans la compréhension de la manière dont les réglementations spécifiques en matière de confidentialité des données s'appliquent à elles.

Alors que les entreprises de toutes tailles tentent de rester au fait des lois en constante évolution sur la confidentialité des données et de surveiller de manière proactive les règles applicables, elles doivent également prendre les mesures nécessaires pour cartographier où se trouvent les données sur les consommateurs et l'emploi, ainsi que les risques potentiels pour ces données. En renforçant les défenses en matière de cybersécurité, les organisations peuvent être mieux préparées aux réglementations sur la confidentialité des données, aujourd'hui et à l'avenir.

Rappelons-nous pourquoi cela est devenu si vital. Premièrement, les consommateurs et les employés sont plus informés que jamais sur les droits personnels et sur la manière dont les réglementations sur la confidentialité des données s'appliquent à eux. Il s'agit d'une évolution importante et positive, compte tenu de l'augmentation spectaculaire du risque d'amendes et de litiges pour non-conformité — l'un des fondements nécessaires à la protection des droits individuels.

La convergence des informations personnellement identifiables (PII) et des informations de santé protégées (PHI) représente également des risques pour les données. Par exemple, les informations de paiement d'une réclamation d'assurance, ainsi qu'une adresse e-mail et d'autres fils d'Ariane numériques trouvés sur Internet, peuvent être utilisées pour voler des identités ou entraîner une exfiltration de données. De plus, l'adoption et l'acceptation à long terme de modèles de travail hybrides peuvent créer des défis. Certaines organisations posent à leurs employés des questions très ciblées sur les comportements et les modalités de travail à domicile pour mesurer la productivité. Selon les questions spécifiques, il pourrait y avoir d'autres implications en matière de confidentialité.

Paysage de confusion

Compte tenu de la grande variété et des juridictions des réglementations actuelles en matière de confidentialité et de protection des données, il peut y avoir une certaine confusion. Par exemple, les entreprises américaines situées dans le Dakota du Nord qui font des affaires au niveau national peuvent être un peu moins préoccupées par les règles qui s'appliquent à l'étranger. En revanche, pour les organisations américaines proposant des biens et des services au Royaume-Uni ou dans l'UE, des réglementations telles que le Règlement général sur la protection des données (RGPD) - ainsi que des sanctions potentielles en cas de violation - peuvent très bien s'appliquer.

De plus, dans certaines organisations, les idées préconçues liées à la taille de l'entreprise peuvent entraîner des problèmes de conformité ou de réglementation, comme croire qu'une entreprise est trop petite pour que les réglementations sur la confidentialité des données s'appliquent. S'il est vrai que la plupart des nouvelles réglementations se concentrent sur les entreprises d'une certaine taille, les critères de dimensionnement réels peuvent être liés à une série de facteurs, tels que le nombre d'employés ou le chiffre d'affaires annuel. L'application ou non des réglementations sur la confidentialité des données peut également dépendre du volume d'informations sur les consommateurs qu'une organisation traite.

Le fait est que chaque ensemble de réglementations a des nuances, c'est pourquoi il est important de comprendre à la fois la pertinence et les limites de chacune. Cela devrait être surveillé dans le cadre d'un examen régulier, en particulier à mesure que les organisations se développent et que les réglementations commencent à s'appliquer là où elles ne le faisaient pas auparavant. Par exemple, il y a eu DEVELOPPEMENTS récents autour du nouveau cadre de confidentialité des données UE-Royaume-Uni, également connu sous le nom de Privacy Shield 2.0, concernant les activités de renseignement.

Une bonne règle empirique consiste à suivre les meilleures pratiques dès que possible, de sorte que lorsque le besoin de conformité formelle se fait sentir, tout est en place. Le risque de se tromper est sérieux, les organisations pouvant faire face à des amendes massives pour non-conformité. Cela ne dit rien de l'impact sur la réputation de la marque lorsqu'une violation grave est révélée, y compris la perte de confiance des consommateurs, des employés ou des investisseurs, où les effets peuvent être prolongés et douloureux.

Le temps des lois fédérales ?

De nouvelles lois sur la confidentialité des données sont régulièrement proposées. Cinq États américains devraient avoir des réglementations clés qui entreront en vigueur en 2023 : la Californie, la Virginie, le Colorado, le Connecticut et l'Utah. Avec 10% des États américains couverts par une législation sur la confidentialité des données d'ici la fin de l'année prochaine, il est clair qu'une loi fédérale serait utile.

En particulier, la législation fédérale pourrait jouer un rôle essentiel dans l'alignement des États-Unis sur d'autres pays en matière de confidentialité des données. Cela fournirait également aux fournisseurs et aux utilisateurs une clarté indispensable sur la manière d'utiliser, de stocker et de gérer les données sensibles. Cela seul contribuerait grandement à dissiper la confusion généralisée qui abonde en raison de la mosaïque de réglementations existante. Bien que le moment exact de la législation fédérale comme le projet ADPPA ne soit pas clair, ce n'est pas une question de si, mais quand.

Dans l'ensemble, les données et les lois qui régissent leur protection existent dans un écosystème réglementaire en évolution rapide. D'autres changements, tant au niveau national qu'international, sont inévitables. Par conséquent, les organisations doivent se concentrer sur les responsabilités à court et à long terme du traitement et de la sauvegarde des données. Ce n'est pas seulement la bonne chose à faire sur le plan éthique et moral, cela représente également une prise de décision judicieuse pour la santé de l'entreprise.