Dans le cadre du Service Public de la Donnée (SPD), la base SIRENE des entreprises et de leurs établissements (SIREN, SIRET) fait partie des 9 jeux de données identifiés comme données de référence.

Cette base SIRENE contient donc les informations concernant les entreprises et les établissements immatriculés au répertoire interadministratif Sirene depuis sa création en 1973, y compris les unités fermées.

Grâce à son API SIRENE, l’INSEE nous offre ainsi un accès pour retrouver ces informations.

Nous avons implémenté cette API dans notre service en ligne DFIS, ce qui permet ainsi à nos utilisateurs de créer une fiche d’un clic, à partir d’un SIRET.

Vous savez, moi je ne crois pas qu’il y ait de bonne ou de mauvaise durée de conservation des logs !

 En informatique, on a l’habitude de conserver une trace de chaque opération réalisée dans des journaux, d’où le mot Journalisation. En général les utilisateurs de logiciels ne voient pas ces informations. Pourtant, elles peuvent contenir certaines de leurs données personnelles.

Donc si on raisonne uniquement en terme de RGPD, on pourrait être tenté d’avoir une durée de conservation très courte.

Mais d’un autre côté, ces informations stockées sont précieuses en terme de sécurité informatique. Les effacer trop tôt représente donc un danger car cela facilite le travail des hackers qui souhaitent effacer leurs traces.

Je me rappelle avoir reçu un jour un coup de fil d’un ami ingénieur système. Il me disait que la police venait d’arriver dans sa structure car une société victime de piratage avait porté plainte. La police avait remonté la trace du piratage jusqu’à son organisation ! C’est grâce à l’examen attentif des anciens logs qu’ils ont réussi à trouver que son organisation avait elle-même été hackée et que le piratage ne venait pas de chez lui !

L’arbitrage sur la durée de conservation n’est donc pas si aisé, alors la CNIL a publié fin 2021 une recommandation qui préconise une durée comprise entre 6 mois et un an, mais tolère un allongement de cette durée sous conditions.

Pour rappel, le règlement général sur la protection des données (RGPD) s’applique dans tous les pays membres de l’Union Européenne depuis le 25 mai 2018. Et ses deux objectifs principaux sont :

– améliorer la protection des personnes concernées par un traitement de leurs données personnelles,

– responsabiliser les acteurs de ces traitements de données personnelles.

Depuis sa mise en place, les organisations doivent donc garantir et pouvoir prouver leur conformité en matière de protection des données personnelles. Concrètement, chaque organisation doit tenir à jour un registre de traitement des données.

Pour cela, la CNIL (Commission Nationale de l’Informatique et des Libertés) préconise un plan d’action en 6 étapes :

1) Nommer une personne responsable : le délégué à la protection des données (DPO),

2) Recenser les traitements de données,

3) Définir les actions correctives,

4) Analyser les risques et les conséquences,

5) Etablir des procédures internes,

6) Tenir à jour le registre des traitements

La CNIL propose un guide pratique composé d’une vingtaine de fiches concrètes afin d’aider les organisations à mettre en place les mesures de sécurité.