<\/p>\n\n
Auteur : Thierry Julien<\/a>, CEO de TJC Group<\/p>\n\n Les syst\u00e8mes SAP peuvent contenir des ann\u00e9es d\u2019informations personnelles concernant des clients, des fournisseurs, des employ\u00e9s et des enregistrements transactionnels. Prot\u00e9ger ces informations n\u2019est qu\u2019une partie de la conformit\u00e9 \u00e0 la loi br\u00e9silienne sur la confidentialit\u00e9 des donn\u00e9es, la Lei Geral de Prote\u00e7\u00e3o de Dados Pessoais (LGPD)<\/a><\/em><\/p>\n\n Les organisations doivent aussi comprendre pourquoi les donn\u00e9es personnelles sont conserv\u00e9es, combien de temps elles doivent rester disponibles, quand une autre exigence l\u00e9gale emp\u00eache leur destruction, et ce qui se passe lorsqu\u2019il n\u2019y a plus de raison valable de les conserver. C\u2019est l\u00e0 que la LGPD br\u00e9silienne<\/a> devient un sujet de cycle de vie des donn\u00e9es SAP.<\/p>\n\n La LGPD \u00e9tablit des r\u00e8gles pour le traitement des donn\u00e9es personnelles et donne aux individus des droits sur la mani\u00e8re dont leurs informations sont collect\u00e9es, utilis\u00e9es, conserv\u00e9es et partag\u00e9es. Ses principales dispositions sont entr\u00e9es en vigueur en septembre 2020, les sanctions administratives devenant applicables en 2021.<\/p>\n\n Pour les clients SAP, r\u00e9pondre \u00e0 ces exigences va au-del\u00e0 de la publication d\u2019une politique de confidentialit\u00e9. La conservation des donn\u00e9es, les gels juridiques, la destruction et l\u2019anonymisation doivent devenir des processus contr\u00f4l\u00e9s sur l\u2019ensemble des informations en ligne et archiv\u00e9es.<\/p>\n\n Principaux points \u00e0 retenir<\/p>\n\n La Lei Geral de Prote\u00e7\u00e3o de Dados Pessoais, ou LGPD, est la loi br\u00e9silienne de protection des donn\u00e9es. Elle encadre le traitement des donn\u00e9es personnelles par les organisations publiques et priv\u00e9es et \u00e9tablit des droits pour les personnes dont les informations sont trait\u00e9es.<\/p>\n\n La LGPD partage plusieurs principes avec le RGPD de l\u2019UE<\/strong><\/a>, mais les deux r\u00e9glementations ne doivent pas \u00eatre consid\u00e9r\u00e9es comme identiques. Le Br\u00e9sil a ses propres bases l\u00e9gales, sa terminologie, ses r\u00e8gles territoriales et son cadre d\u2019application.<\/p>\n\n L\u2019Ag\u00eancia Nacional de Prote\u00e7\u00e3o de Dados (ANPD)<\/strong><\/a> est l\u2019autorit\u00e9 br\u00e9silienne charg\u00e9e de r\u00e9glementer, d\u2019interpr\u00e9ter et de superviser la conformit\u00e9 \u00e0 la LGPD.<\/p>\n\n La LGPD ne se limite pas aux organisations dont le si\u00e8ge est au Br\u00e9sil. Elle peut s\u2019appliquer lorsque le traitement des donn\u00e9es personnelles a lieu au Br\u00e9sil, lorsque le traitement concerne des personnes situ\u00e9es au Br\u00e9sil, ou lorsque les donn\u00e9es personnelles ont \u00e9t\u00e9 collect\u00e9es sur le territoire br\u00e9silien. Pour les entreprises multinationales, cela signifie qu\u2019un environnement SAP central op\u00e9r\u00e9 en dehors du Br\u00e9sil peut n\u00e9anmoins contenir des informations entrant dans le champ d\u2019application de la LGPD.<\/p>\n\n La LGPD pr\u00e9voit plusieurs bases l\u00e9gales pour le traitement des donn\u00e9es personnelles. Il s\u2019agit notamment du consentement, du respect d\u2019obligations l\u00e9gales ou r\u00e9glementaires, d\u2019exigences contractuelles et des int\u00e9r\u00eats l\u00e9gitimes lorsque les conditions de la loi sont remplies.<\/p>\n\n La base l\u00e9gale applicable influence la raison pour laquelle une organisation peut traiter des informations et la dur\u00e9e pendant laquelle ce traitement reste justifi\u00e9. Les individus disposent \u00e9galement de droits relatifs \u00e0 leurs donn\u00e9es personnelles, notamment l\u2019acc\u00e8s, la rectification et, dans les circonstances pertinentes, l\u2019anonymisation, le blocage ou la suppression des donn\u00e9es.<\/p>\n\n Ces exigences rendent la gestion du cycle de vie particuli\u00e8rement importante. Une organisation doit comprendre non seulement o\u00f9 se trouvent les donn\u00e9es personnelles dans SAP, mais aussi pourquoi elles y restent.<\/p>\n\n La LGPD donne aux autorit\u00e9s br\u00e9siliennes un \u00e9ventail de mesures d\u2019application :<\/p>\n\n L\u2019impact potentiel d\u00e9passe donc la seule sanction financi\u00e8re. De mauvaises pratiques de gestion des donn\u00e9es peuvent aussi cr\u00e9er des perturbations op\u00e9rationnelles et un risque r\u00e9putationnel.<\/p>\n\n D\u2019autres organisations ont d\u00e9j\u00e0 \u00e9t\u00e9 sanctionn\u00e9es dans d\u2019autres pays, apr\u00e8s avoir \u00e9t\u00e9 jug\u00e9es en infraction avec des lois sur la confidentialit\u00e9 des donn\u00e9es. TJC Group a abord\u00e9 ces enjeux dans l\u2019article comment les utilisateurs SAP peuvent minimiser le risque de non-conformit\u00e9 dans les syst\u00e8mes SAP<\/a>.<\/p>\n\n Les donn\u00e9es personnelles sont largement r\u00e9parties dans les syst\u00e8mes SAP. Voici quelques exemples :<\/p>\n\n Le d\u00e9fi ne consiste pas seulement \u00e0 trouver ces informations. Les organisations doivent \u00e9tablir :<\/p>\n\n Ces questions doivent trouver une r\u00e9ponse \u00e0 la fois pour les informations SAP actives et historiques.<\/p>\n\n TJC Group a explor\u00e9 des d\u00e9fis de cycle de vie similaires dans ses recommandations sur la r\u00e9duction du risque de non-conformit\u00e9 \u00e0 la confidentialit\u00e9 des donn\u00e9es dans les syst\u00e8mes SAP<\/a>. Les exigences r\u00e9glementaires diff\u00e8rent selon les juridictions, mais le d\u00e9fi SAP reste similaire : les politiques juridiques doivent devenir des contr\u00f4les pratiques du cycle de vie des donn\u00e9es.<\/p>\n\n TJC Group a couvert les r\u00e9glementations de confidentialit\u00e9 des donn\u00e9es les plus importantes au monde dans une s\u00e9rie sur la confidentialit\u00e9 des donn\u00e9es, notamment le RGPD de l\u2019UE<\/a>, la Loi 25 au Qu\u00e9bec<\/a>, le CCPA en Californie<\/a>, la PIPA en Cor\u00e9e du Sud<\/a>, l\u2019APPI au Japon<\/a>, la PDPA en Argentine<\/a> et bien d\u2019autres. Nous aidons des clients dans le monde entier \u00e0 faire appliquer la conformit\u00e9 sur les syst\u00e8mes SAP. Consultez la s\u00e9rie sur la confidentialit\u00e9 des donn\u00e9es pour en savoir plus.<\/p>\n\n La LGPD ne pr\u00e9cise pas une dur\u00e9e universelle de conservation de toutes les donn\u00e9es personnelles. La dur\u00e9e appropri\u00e9e d\u00e9pend de la raison pour laquelle l\u2019information est trait\u00e9e et du fait qu\u2019une autre exigence l\u00e9gale, r\u00e9glementaire ou contractuelle impose qu\u2019elle reste disponible.<\/p>\n\n Dans un environnement SAP, cela signifie que les r\u00e8gles de conservation des donn\u00e9es peuvent varier selon le type d\u2019information, l\u2019entit\u00e9 juridique, le processus m\u00e9tier et la l\u00e9gislation applicable. Un dossier salari\u00e9, par exemple, peut avoir un cycle de vie diff\u00e9rent de celui d\u2019un contact client ou d\u2019informations personnelles contenues dans un document comptable.<\/p>\n\n L\u2019objectif n\u2019est pas de supprimer les donn\u00e9es le plus vite possible. Il est d\u2019\u00e9viter de conserver ind\u00e9finiment des informations personnelles lorsqu\u2019il n\u2019y a plus de raison valable de les conserver.<\/p>\n\n Arriver au terme d\u2019une dur\u00e9e de conservation standard ne signifie pas toujours qu\u2019un enregistrement peut \u00eatre d\u00e9truit imm\u00e9diatement. Par exemple, certaines informations peuvent devoir rester disponibles en raison d\u2019un contentieux, d\u2019une enqu\u00eate, d\u2019un audit ou d\u2019une autre exigence l\u00e9gale.<\/p>\n\n Un gel juridique emp\u00eache la destruction d\u2019informations pertinentes pour un tel sujet tant que cette obligation reste active.<\/strong><\/p>\n\n Le cycle de vie doit donc tenir compte des deux r\u00e8gles : la dur\u00e9e de conservation normale d\u00e9termine quand l\u2019information devient \u00e9ligible \u00e0 la destruction, tandis qu\u2019un gel juridique valide peut emp\u00eacher que cette destruction ait lieu.<\/p>\n\n Cela devient particuli\u00e8rement important dans les grands environnements SAP o\u00f9 une m\u00eame information peut \u00eatre soumise \u00e0 des exigences de confidentialit\u00e9, fiscales, d\u2019audit et de contentieux.<\/p>\n\n Une fois les exigences de conservation des donn\u00e9es applicables expir\u00e9es et en l\u2019absence de gel valide, les informations personnelles peuvent devenir des donn\u00e9es que vous devez retirer de votre syst\u00e8me, via la destruction ILM.<\/p>\n\n Dans SAP, la m\u00e9thode d\u00e9pend en partie de l\u2019emplacement de l\u2019information. Vous pouvez supprimer des donn\u00e9es en ligne et des donn\u00e9es d\u00e9j\u00e0 archiv\u00e9es en utilisant SAP ILM. Les deux processus existent.<\/p>\n\n Les informations archiv\u00e9es peuvent \u00eatre d\u00e9truites via des processus de cycle de vie contr\u00f4l\u00e9s une fois les conditions pertinentes remplies. Si n\u00e9cessaire, les fichiers d\u2019archive seront scind\u00e9s par date de destruction.<\/p>\n\n Lorsque les donn\u00e9es \u00e0 supprimer restent dans la base de donn\u00e9es en ligne et que SAP fournit l\u2019objet de destruction pris en charge par ILM appropri\u00e9, elles peuvent \u00eatre retir\u00e9es via un processus de destruction contr\u00f4l\u00e9e plut\u00f4t que d\u2019\u00eatre d\u2019abord archiv\u00e9es. Les donn\u00e9es custom peuvent \u00eatre supprim\u00e9es via des objets ILM custom.<\/p>\n\n Cela diff\u00e8re d\u2019une suppression manuelle d\u2019enregistrements en base de donn\u00e9es. Les donn\u00e9es SAP ont souvent des d\u00e9pendances entre objets m\u00e9tier, documents et informations associ\u00e9es ; la destruction doit donc suivre les processus applicatifs pris en charge afin de garantir l\u2019int\u00e9grit\u00e9 de la base de donn\u00e9es et la continuit\u00e9 des processus m\u00e9tier.<\/p>\n\n TJC Group couvre ces sc\u00e9narios plus en d\u00e9tail dans son guide sur la destruction des donn\u00e9es et documents SAP avec diff\u00e9rentes dur\u00e9es de conservation<\/a>.<\/p>\n\n L\u2019anonymisation constitue un autre r\u00e9sultat possible du cycle de vie. La suppression des donn\u00e9es retire l\u2019information. Autrement dit, les donn\u00e9es anonymis\u00e9es ne peuvent pas \u00eatre affich\u00e9es, mais elles restent disponibles pour certains utilisateurs. Les donn\u00e9es supprim\u00e9es sont d\u00e9truites et ne sont plus disponibles pour personne.<\/p>\n\n L\u2019anonymisation ne doit toutefois pas \u00eatre consid\u00e9r\u00e9e comme une alternative automatique \u00e0 la suppression des donn\u00e9es. L\u2019approche appropri\u00e9e d\u00e9pend de la finalit\u00e9 de conservation de l\u2019information et des exigences l\u00e9gales applicables.<\/p>\n\n Elle exige aussi une attention particuli\u00e8re dans SAP. Modifier des informations identifiantes \u00e0 un endroit peut affecter les relations avec des transactions, des documents et d\u2019autres objets m\u00e9tier. L\u2019anonymisation, le masquage et la pseudonymisation ne doivent donc pas \u00eatre trait\u00e9s comme des techniques interchangeables. Attention : l\u2019anonymisation peut \u00e9galement enfreindre les pratiques clean code S\/4HANA<\/a>.<\/p>\n\n SAP Information Lifecycle Management<\/a> fournit un cadre pour appliquer des r\u00e8gles de cycle de vie aux informations SAP. Plut\u00f4t que de traiter la conservation des donn\u00e9es et la destruction comme des activit\u00e9s techniques isol\u00e9es, SAP ILM permet aux organisations de g\u00e9rer l\u2019information selon des politiques couvrant son cycle de vie.<\/p>\n\n Une vue simplifi\u00e9e ressemble \u00e0 ceci :<\/p>\n\nTable des mati\u00e8res<\/h2>
Introduction<\/h2>\n\n
\n
Qu\u2019est-ce que la LGPD au Br\u00e9sil ?<\/h2>\n\n
\u00c0 qui s\u2019applique la LGPD ?<\/h3>\n\n
Bases l\u00e9gales et droits individuels<\/h3>\n\n
Quelles sont les sanctions en cas de non-conformit\u00e9 ?<\/h3>\n\n
\n
Ce que la LGPD implique pour les donn\u00e9es d\u00e9tenues dans les syst\u00e8mes SAP<\/h2>\n\n
\n
\n
Appliquer les exigences de la LGPD sur l\u2019ensemble du cycle de vie des donn\u00e9es SAP<\/h2>\n\n
D\u00e9finir des dur\u00e9es de conservation appropri\u00e9es<\/h3>\n\n
Les gels juridiques peuvent primer sur la destruction normale<\/h3>\n\n
D\u00e9truire les donn\u00e9es lorsque la conservation continue n\u2019est plus justifi\u00e9e<\/h3>\n\n
L\u2019anonymisation est diff\u00e9rente de la suppression des donn\u00e9es<\/h3>\n\n
Comment SAP ILM prend en charge les contr\u00f4les de confidentialit\u00e9 des donn\u00e9es<\/h2>\n\n