Un assureur qui propose une assurance cybernétique demande généralement une combinaison de documents : un aperçu des données personnelles que vous traitez et à quelles fins, une description de vos mesures de sécurité techniques et organisationnelles, la preuve que vous avez conclu des accords avec les fournisseurs qui traitent les données en votre nom, et un protocole en cas de problème. Certains assureurs demandent ces éléments séparément, d'autres les traitent dans un seul questionnaire numérique.
Il n'existe pas de liste de documents imposée par la loi pour une assurance cybernétique. Le RGPD lui-même impose une obligation de justification : une organisation doit pouvoir démontrer qu'elle réfléchit à la protection des données personnelles et qu'elle a mis les choses en ordre. La façon dont cette justification se présente est déterminée par l'assureur lui-même, non par la loi. C'est précisément ce détail qui est le plus souvent oublié au moment de cet achat : les entrepreneurs cherchent le formulaire ou le certificat qui suffit, tandis que les assureurs veulent en pratique surtout voir qu'il existe un ensemble cohérent.
Ce qu'un assureur veut généralement voir
Le cœur de la plupart des questionnaires est un registre du traitement : un aperçu des données personnelles que vous traitez, à quelles fins, combien de temps vous les conservez et qui y a accès. En outre, on vous demande souvent les contrats de traitement avec les parties qui traitent les données en votre nom, comme votre logiciel comptable, votre système RH ou un outil de marketing. Une troisième partie récurrente est le protocole de violation de données : comment identifiez-vous un incident, qui informez-vous dans votre organisation et comment évaluez-vous si une notification à l'Autorité de protection des données est nécessaire. En cas de doute sur l'applicabilité à un événement, vous pouvez voir en quelques questions où se situe approximativement une situation.
Les assureurs regardent également souvent au-delà du seul RGPD. Les questions sur les sauvegardes, la politique de mots de passe, l'authentification à deux facteurs et qui dans l'entreprise a accès à quels systèmes font partie de la sécurité de l'information au sens large. Cela chevauche la confidentialité, mais n'en est pas synonyme : une entreprise peut avoir un registre de traitement impeccable et en même temps une sécurité technique faible, ou l'inverse. Un aperçu des mesures que vous avez effectivement mises en place aide à relier ces deux aspects ; voir également comment cela est examiné lors de l'évaluation des données et de la confidentialité.
Pourquoi la justification est différente d'une certification
Une question souvent entendue est de savoir si un certificat ISO ou une autre certification remplace la preuve que recherche un assureur. Un certificat peut être pris en considération, mais remplace rarement la question sur votre situation propre : quelles données traite précisément cette entreprise, avec quels fournisseurs travaille-t-elle, et que se passe-t-il si quelque chose se passe mal. Les autorités de contrôle et les assureurs envisagent des points similaires à ce stade, mais avec un objectif différent : l'autorité de contrôle évalue le respect de la loi, l'assureur évalue un risque avant d'émettre une police. Cette différence explique pourquoi deux assureurs demandent parfois des documents légèrement différents, tandis que la base sous-jacente — le registre, les contrats, le protocole — reste toujours la même.
Ce que vous pouvez préparer d'ores et déjà
Il est judicieux de commencer par ce qui existe déjà : quel logiciel et quels fournisseurs votre entreprise utilise-t-elle, et est-ce qu'un contrat de traitement correspond à cela. Il s'agit ensuite de documenter ce qui se passe réellement : quelles données se trouvent où, qui peut y accéder et combien de temps elles sont conservées. Pour les entreprises qui cartographient cela pour la première fois, un aperçu structuré des questions fréquemment posées est un bon point de départ ; voir réponses aux questions qui reviennent plus souvent dans ce type de demandes.
Si vous préférez d'abord comprendre comment un tel ensemble de documents est structuré et sur quoi repose l'information, vous pouvez le lire dans la base de connaissances. Vous y trouverez par sujet une réponse courte avec la source dans le texte officiel, afin que vous puissiez vérifier vous-même d'où vient une exigence ; consultez par exemple la base de connaissances avec explications par sujet avant d'engager une conversation avec un assureur.
Des documents isolés à un registre en cours d'exécution
L'aspect le plus difficile de ce moment d'achat n'est pas la rédaction d'un seul document, mais sa mise à jour. Un registre des activités de traitement établi il y a un an et non mis à jour depuis, ne correspond souvent plus aux outils qu'une entreprise utilise désormais. Un système qui fait évoluer le registre avec les logiciels réellement utilisés, et qui assure le suivi des contrats de sous-traitance manquants, s'avère utile au moment où un assureur les demande soudainement.
Que cela s'applique à votre entreprise à ce moment-ci et quels documents vous avez concrètement besoin, c'est quelque chose que vous discutez au mieux avec l'assureur lui-même ou avec un conseiller ; cet article fournit des explications, non un avis juridique concernant votre contrat spécifique.
Voulez-vous d'abord voir vous-même où se situe votre entreprise à peu près ? L'analyse rapide gratuite donne en quelques questions une indication, et dans la base de connaissances, vous trouverez par sujet la réponse courte avec la source. Si vous souhaitez ensuite maintenir le registre et la surveillance de manière structurée, lisez le coût du système qui en découle ce qui en fait partie.