Enjeux juridiques
Le RSSI n’est pas un juriste. Certes, il peut avoir une certaine culture en la matière, mais
rien ne l’autorise à s’improviser juriste. Or, il est souvent amené à se prononcer sur des
décisions ayant une dimension juridique. Par exemple, il peut être impliqué dans les
questions suivantes :
choix d’un algorithme de chiffrement ;
chiffrement, ou non-chiffrement, de données à caractère personnel ;
mise en place de journaux permettant de tracer l’activité des utilisateurs ;
archivage et consultation de vidéos de surveillance ;
géolocalisation du personnel ;
consultation des données personnelles des employés ;
etc.
Tous ces domaines sont techniquement du ressort du RSSI, qui peut être tenté de
déployer rapidement des solutions. Pourtant, la possibilité technique ne doit pas aveugler
le RSSI sur les enjeux juridiques. Comment être sûr de ne pas agir dans l’illégalité dans
ces domaines ? N’oublions pas qu’ignorer la loi n’est nullement une excuse face à la
justice. Si le RSSI prend des dispositions contraires à la réglementation, il s’expose luimême, ainsi que sa hiérarchie et son entreprise, à des sanctions pénales et/ou civiles.
En fait, le domaine juridique pose deux problèmes au RSSI. D’une part, il s’agit d’un
domaine dans lequel il faut être expert pour agir pertinemment. D’autre part, lorsqu’une
question juridique se pose, elle exige généralement une réponse très rapide.
Exemple
Lorsqu’un employé est soupçonné de commettre des actes contraires au règlement intérieur, la DRH peut
demander au RSSI de le surveiller. Le RSSI doit donc savoir très vite ce qu’il a le droit de faire et ce qui lui
est interdit en vertu du respect de la vie privée. Tarder à réagir risquerait de permettre à la personne
soupçonnée d’effacer des preuves compromettantes.
Il en ressort que le RSSI a impérativement besoin d’une expertise juridique avant d’agir
dans certains domaines. Le cas idéal est de disposer en interne d’un service juridique
compétent en matière de systèmes d’information et suffisamment disponible pour
répondre très rapidement aux sollicitations.
Dans le cas contraire, il est préférable que le RSSI fasse appel à un conseil juridique qui
lui fournira un service d’assistance. Vu la nature des demandes, il est nécessaire que le
conseil s’engage à répondre dans un délai très bref. L’idéal est que lorsque le RSSI a
besoin de conseil, il appelle l’assistance juridique pour qu’elle le conseille
immédiatement au téléphone sur la conduite à tenir. Ceci permet au RSSI d’agir très vite
et conformément à la loi. La demande, ainsi que la réponse du juriste, seront formalisées
ultérieurement pour régulariser la prestation.
Pour résumer, il est important que le RSSI ne s’improvise pas juriste et qu’il pense et
fasse penser aux aspects juridiques dans le domaine des SI.
Le RSSI n’est pas un juriste. Certes, il peut avoir une certaine culture en la matière, mais
rien ne l’autorise à s’improviser juriste. Or, il est souvent amené à se prononcer sur des
décisions ayant une dimension juridique. Par exemple, il peut être impliqué dans les
questions suivantes :
choix d’un algorithme de chiffrement ;
chiffrement, ou non-chiffrement, de données à caractère personnel ;
mise en place de journaux permettant de tracer l’activité des utilisateurs ;
archivage et consultation de vidéos de surveillance ;
géolocalisation du personnel ;
consultation des données personnelles des employés ;
etc.
Tous ces domaines sont techniquement du ressort du RSSI, qui peut être tenté de
déployer rapidement des solutions. Pourtant, la possibilité technique ne doit pas aveugler
le RSSI sur les enjeux juridiques. Comment être sûr de ne pas agir dans l’illégalité dans
ces domaines ? N’oublions pas qu’ignorer la loi n’est nullement une excuse face à la
justice. Si le RSSI prend des dispositions contraires à la réglementation, il s’expose luimême, ainsi que sa hiérarchie et son entreprise, à des sanctions pénales et/ou civiles.
En fait, le domaine juridique pose deux problèmes au RSSI. D’une part, il s’agit d’un
domaine dans lequel il faut être expert pour agir pertinemment. D’autre part, lorsqu’une
question juridique se pose, elle exige généralement une réponse très rapide.
Exemple
Lorsqu’un employé est soupçonné de commettre des actes contraires au règlement intérieur, la DRH peut
demander au RSSI de le surveiller. Le RSSI doit donc savoir très vite ce qu’il a le droit de faire et ce qui lui
est interdit en vertu du respect de la vie privée. Tarder à réagir risquerait de permettre à la personne
soupçonnée d’effacer des preuves compromettantes.
Il en ressort que le RSSI a impérativement besoin d’une expertise juridique avant d’agir
dans certains domaines. Le cas idéal est de disposer en interne d’un service juridique
compétent en matière de systèmes d’information et suffisamment disponible pour
répondre très rapidement aux sollicitations.
Dans le cas contraire, il est préférable que le RSSI fasse appel à un conseil juridique qui
lui fournira un service d’assistance. Vu la nature des demandes, il est nécessaire que le
conseil s’engage à répondre dans un délai très bref. L’idéal est que lorsque le RSSI a
besoin de conseil, il appelle l’assistance juridique pour qu’elle le conseille
immédiatement au téléphone sur la conduite à tenir. Ceci permet au RSSI d’agir très vite
et conformément à la loi. La demande, ainsi que la réponse du juriste, seront formalisées
ultérieurement pour régulariser la prestation.
Pour résumer, il est important que le RSSI ne s’improvise pas juriste et qu’il pense et
fasse penser aux aspects juridiques dans le domaine des SI.