![\"\"](\"http:\/\/kapitalis.com\/tunisie\/wp-content\/uploads\/2018\/06\/GDPR.jpg\")
<\/p>\n<\/p>\n
Les entreprises tunisiennes op\u00e9rant avec des partenaires europ\u00e9ens et qui ne sont pas en conformit\u00e9 \u00e0 la GDPR (General Data Protection Regulation), le r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es, en vigueur en Union europ\u00e9enne (UE), risquent d\u2019importantes sanctions financi\u00e8res.<\/strong> <\/em><\/p>\n Par Christian Jean<\/strong> *<\/p>\n <\/p>\n \u00abAlert\u00e9e le m\u00eame jour par la CNIL, la soci\u00e9t\u00e9 s\u2019est rapproch\u00e9e de son prestataire pour qu\u2019il prenne les mesures n\u00e9cessaires afin de mettre fin \u00e0 cet incident de s\u00e9curit\u00e9.<\/em><\/p>\n \u00abUn contr\u00f4le sur place a \u00e9t\u00e9 men\u00e9 dans les locaux de la soci\u00e9t\u00e9 X, durant lequel elle a reconnu que son site internet pr\u00e9sentait bien un d\u00e9faut de s\u00e9curit\u00e9. En l\u2019esp\u00e8ce, le site www.ZZZ.fr n\u2019int\u00e9grait pas de fonctionnalit\u00e9 permettant de v\u00e9rifier qu\u2019un client est bien connect\u00e9 \u00e0 son espace personnel (\u00abespace client\u00bb) avant de lui afficher ses factures. Il \u00e9tait ainsi relativement simple d\u2019acc\u00e9der aux documents d\u2019un autre client de la soci\u00e9t\u00e9.<\/em><\/p>\n \u00abLa pr\u00e9sidente de la CNIL a donc d\u00e9sign\u00e9 un rapporteur afin que soit engag\u00e9e une proc\u00e9dure de sanction \u00e0 l\u2019encontre de la soci\u00e9t\u00e9 X.<\/em><\/p>\n \u00abLa formation restreinte de la CNIL a prononc\u00e9 une sanction p\u00e9cuniaire d\u2019un montant de 250.000 euros, estimant que la soci\u00e9t\u00e9 avait manqu\u00e9 \u00e0 son obligation de s\u00e9curit\u00e9 des donn\u00e9es personnelles, en m\u00e9connaissance de l\u2019article 34 de la loi Informatique et Libert\u00e9s\u00bb **.<\/em><\/p>\n Les premi\u00e8res sanctions tombent. Pour m\u00e9moire la loi pr\u00e9voit qu\u2019en cas de non-conformit\u00e9 \u00e0 la GDPR, les entreprises sont sanctionn\u00e9es par une amende de 4% de leur chiffre d\u2019affaires mondial ou 20 M\u20ac (le plus fort montant \u00e9tant retenu).<\/p>\n Ce qui se passe en France prend imm\u00e9diatement effet en Tunisie, notamment avec l\u2019effet transfrontalier du RGDP, qui s\u2019applique \u00e0 toutes les entreprises du monde qui g\u00e8rent des donn\u00e9es personnelles de citoyens europ\u00e9ens.<\/p>\n A ce jour 99% des entreprises tunisiennes ne sont pas conformes \u00e0 la GDPR, hors l\u2019\u00e9conomie tunisienne d\u00e9pend \u00e0 80% de l\u2019Europe et les entreprises du tourisme, des centres d\u2019appel et des services informatiques ne peuvent vivre sans leurs clients europ\u00e9ens.<\/p>\n Pourtant, \u00e0 ce jour, un nombre consid\u00e9rable d\u2019entreprises tunisiennes ne sont pas conformes.<\/p>\n Chawki Gaddes, pr\u00e9sident de l\u2019Instance nationale de protection des donn\u00e9es personnelles (INPDP), l\u2019autorit\u00e9 de contr\u00f4le tunisienne, pr\u00e9cise que les soci\u00e9t\u00e9s tunisiennes ne sont toujours pas conformes avec les lois tunisiennes existantes : \u00abLa preuve. La loi est l\u00e0 depuis 2004. Aucune sanction malgr\u00e9 les 80 dossiers devant la justice.\u00a0\u00a0<\/em>Aucun respect de la loi. C\u2019est simpliste. Je donne un autre exemple. La loi sur la s\u00e9curit\u00e9 informatique qui impose l\u2019audit de s\u00e9curit\u00e9. Presque personne ne s\u2019y soumet car l\u2019obligation n\u2019est pas assortie de sanction. Pas d\u2019obligation sans sanction la norme est claire.\u00bb<\/em><\/p>\n La soci\u00e9t\u00e9 du num\u00e9rique est une soci\u00e9t\u00e9 bas\u00e9e sur la confiance. La Tunisie vend dans ses contrats des comp\u00e9tences, mais \u00e9galement la confiance, comment maintenir cette confiance quand les entreprises ne sont pas conformes \u00e0 la loi et aux normes internationales ?<\/p>\n Pensez-vous que le Maroc ou la Roumanie ne sont pas capables de r\u00e9aliser les m\u00eames prestations aux m\u00eames prix, tout en donnant, eux, les niveaux de garanties demand\u00e9es?<\/p>\n Contrairement \u00e0 ce que l\u2019on croit, la Tunisie n\u2019est pas un out sourceur pas cher, seul aujourd\u2019hui la d\u00e9valuation du dinar permet de maintenir un semblant de comp\u00e9titivit\u00e9 dans de nombreux domaines.<\/p>\n En France, aujourd\u2019hui, en cumulant les aides des collectivit\u00e9s et de l\u2019Etat, les entreprises arrivent \u00e0 proposer des co\u00fbts d\u2019informaticiens ou d\u2019op\u00e9rateurs de centres d\u2019appel \u00e9quivalent \u00e0 10% pr\u00e8s de ceux propos\u00e9s par les entreprises tunisiennes.<\/p>\n Pensez-vous qu\u2019un grand donneur d\u2019ordre va continuer \u00e0 prendre des risques pour quelques dizaines de milliers d\u2019euros alors que la non-conformit\u00e9 de son sous-traitant tunisien pourrait lui co\u00fbter quelques centaines de millions d\u2019euros voire un milliard d\u2019euros ?<\/p>\n Combien de soci\u00e9t\u00e9s tunisiennes ont des acc\u00e8s s\u00e9curis\u00e9s, un mot de passe de 12 caract\u00e8re alphanum\u00e9riques, un antivirus et un firewall \u00e0 jour, des collaborateurs form\u00e9s \u00e0 la GDPR, un registre des traitements, une proc\u00e9dure en cas de violation de la s\u00e9curit\u00e9, des archives papiers s\u00e9curis\u00e9es, des agendas sans commentaires interdits, un registre des traitements ?<\/p>\n Un diagnostic de maturit\u00e9 et de conformit\u00e9 GDPR ne dure que 48h dans la majorit\u00e9 des cas et les r\u00e9sultats sont connus dans les 72H, pour un budget de d\u00e9part de 2000 TND (www.gdprlab.tn\/diag) contre un risque d\u2019amende de 10M\u20ac !<\/p>\n Au-del\u00e0 du risque individuel, c\u2019est un risque national que font courir ces entreprises, la premi\u00e8re \u00e0 \u00eatre sanctionn\u00e9e et \u00e0 faire sanctionner son client fran\u00e7ais, belge ou italien, ce qui entra\u00eenera une r\u00e9action en cha\u00eene du fameux principe de pr\u00e9caution et le blacklisting de toutes les entreprises tunisiennes.<\/p>\n Le patriotisme se lit dans les actes, pas dans les manifestations, M. de Unamuno disait : \u00abIl y a des moments ou se taire c\u2019est mentir\u00bb. Aujourd\u2019hui, en Tunisie, il y a des moments o\u00f9 ne rien faire c\u2019est trahir !<\/p>\n * Secr\u00e9taire g\u00e9n\u00e9ral du GDPRLAB.<\/em><\/p>\n ** Ne cherchez pas la soci\u00e9t\u00e9 tunisienne qui a \u00e9t\u00e9 condamn\u00e9e, elle n\u2019existe pas encore, nous avons simplement copi\u00e9 le site de la CNIL<\/a>.\u00a0<\/em><\/p>\n![\"\"](\"http:\/\/kapitalis.com\/tunisie\/wp-content\/uploads\/2018\/06\/Christian-Jean.jpg\")
\u00abEn juillet 2017, la CNIL <\/em>(Commission nationale de l’informatique et des libert\u00e9s- France, NDLR) a \u00e9t\u00e9 inform\u00e9e d\u2019une \u00abfuite de donn\u00e9es cons\u00e9quentes\u00bb concernant la soci\u00e9t\u00e9 X. Un contr\u00f4le en ligne a permis aux \u00e9quipes de la CNIL de constater qu\u2019il \u00e9tait possible, en renseignant plusieurs URL dans la barre d\u2019adresse d\u2019un navigateur, d\u2019acc\u00e9der \u00e0 des centaines de factures de clients de la soci\u00e9t\u00e9. Ces factures contenaient des donn\u00e9es telles que les nom, pr\u00e9nom, adresse postale ainsi que des donn\u00e9es de sant\u00e9 (correction ophtalmologique) ou encore, dans certains cas, le num\u00e9ro de s\u00e9curit\u00e9 sociale des personnes concern\u00e9es.<\/em><\/p>\nUne amende de 4% du chiffre d\u2019affaires<\/h3>\n
Au-del\u00e0 du risque individuel, un risque national<\/h3>\n