Un fichier envoyé au mauvais destinataire, un dossier partagé trop largement, des données confidentielles copiées dans un outil d’intelligence artificielle : les occasions de divulguer des informations sont nombreuses. Les solutions DLP peuvent limiter ces risques, à condition de bien définir ce qu’elles contrôlent et les garanties qui encadrent leur utilisation.
La DLP, pour Data Loss Prevention, désigne les dispositifs de prévention des pertes et des fuites de données. Leur principe est simple : repérer les informations sensibles et intervenir lorsqu’une opération risque de les exposer. Selon les règles retenues, le système peut avertir un utilisateur, alerter une équipe de sécurité ou bloquer un transfert.
Pour une entreprise, l’intérêt est concret. Une erreur de destinataire peut suffire à divulguer un fichier de paie ou des données de santé. Mais la protection de ces informations ne justifie pas tous les contrôles. Dès lors qu’une DLP analyse les échanges ou les opérations des salariés, son déploiement devient aussi un sujet de protection des données personnelles.
Que contrôle réellement une solution DLP ?
Une DLP s’intéresse au contenu des informations et à leur circulation. Elle peut, par exemple, rechercher des données bancaires dans un document ou détecter l’envoi d’un fichier confidentiel vers une adresse extérieure.
Sa couverture dépend du produit choisi, des licences et des fonctionnalités activées. Elle peut porter sur :
- Les données stockées, dans les serveurs, les postes de travail ou les espaces cloud.
- Les données utilisées, lors d’une copie sur une clé USB, d’une impression ou d’une manipulation de fichier.
- Les données transmises, par courriel, application web ou service de partage.
Il faut donc examiner les capacités réelles de la solution. Un outil qui contrôle les courriels ne couvre pas nécessairement les transferts vers toutes les applications utilisées dans l’entreprise. La réponse apportée peut également varier : afficher un avertissement, demander une justification, bloquer une opération ou placer un élément en quarantaine. Tout dépend de la règle configurée et du risque identifié.
Une fuite de données ne commence pas toujours par un piratage
Les erreurs ordinaires méritent autant d’attention que les attaques informatiques. Un salarié sélectionne un homonyme dans sa messagerie. Un dossier devient accessible à toute personne disposant du lien. Un document est transmis à un service externe pour gagner du temps.
Prenons un service de prévention et de santé au travail. Un collaborateur s’apprête à envoyer un fichier contenant des informations sur plusieurs milliers de salariés suivis. Une DLP correctement configurée peut repérer certaines données, détecter une destination non autorisée et empêcher l’envoi. Ce résultat suppose toutefois que le canal soit couvert et que les informations soient reconnues. Installer une DLP ne suffit pas : il faut définir les situations à détecter, tester les règles et organiser le traitement des alertes.
Le dispositif doit aussi tenir compte du travail réel. Bloquer un échange professionnel légitime sans prévoir de solution de remplacement encourage les contournements et fragilise la sécurité.
Le RGPD impose-t-il de s’équiper d’une DLP ?
Le RGPD n’impose pas expressément l’achat ou le déploiement d’une solution DLP. Son article 32 exige des mesures techniques et organisationnelles adaptées aux risques. Le responsable de traitement doit donc apprécier les informations qu’il détient, les conséquences possibles d’une divulgation et les protections nécessaires. Une structure qui manipule des données de santé ou des fichiers volumineux devra examiner avec attention les risques d’extraction et de transmission non autorisée.
Une DLP peut contribuer à la confidentialité des données, à la détection des incidents et à la démonstration des mesures prises. Elle ne rend pas pour autant une organisation conforme au RGPD. Des droits d’accès trop larges, des comptes mal protégés ou des données conservées sans limite restent des problèmes, même avec une DLP. La prévention des fuites doit s’appuyer sur un ensemble cohérent : habilitations, authentification, chiffrement, sensibilisation et procédures de gestion des incidents.
AIPD : une obligation à examiner avant le déploiement
La liste publiée par la CNIL vise expressément certains dispositifs DLP parmi les traitements nécessitant une analyse d’impact relative à la protection des données.
Dans la catégorie des traitements destinés à surveiller de manière constante l’activité des employés, elle cite les dispositifs de cybersurveillance analysant les flux de courriels sortants pour détecter d’éventuelles fuites d’informations.
Lorsqu’une DLP relève de cette catégorie, l’AIPD est obligatoire et doit précéder sa mise en œuvre.
Il serait cependant excessif d’affirmer que toute fonctionnalité commercialisée sous le nom de DLP impose automatiquement une AIPD. Un dispositif limité à certaines opérations de classification documentaire doit être examiné selon ses caractéristiques et les risques qu’il présente. Il faut également vérifier si d’autres critères rendent l’analyse obligatoire.
L’examen doit porter sur le fonctionnement concret du système : quels contenus sont analysés, quelles opérations sont suivies, quelles informations sont enregistrées et qui peut les consulter ? L’AIPD permet d’évaluer la nécessité des contrôles, leur proportionnalité et leurs conséquences pour les personnes. Si un risque élevé subsiste malgré les garanties prévues, une consultation préalable de la CNIL est requise dans les conditions de l’article 36 du RGPD.
Protéger les informations sans instaurer une surveillance permanente
Une alerte DLP peut révéler l’identité d’un salarié, le destinataire d’un message, l’heure d’un transfert et parfois un extrait de son contenu. Ces informations doivent elles-mêmes être protégées.
La finalité de sécurité ne donne pas un accès illimité aux échanges des collaborateurs. Le dispositif doit rester justifié, proportionné et transparent.
Cela suppose notamment de :
- Informer les salariés des contrôles, des données collectées et de leur utilisation.
- Limiter les analyses aux opérations nécessaires à la prévention des fuites.
- Réserver l’accès aux alertes à des personnes expressément habilitées.
- Définir des durées de conservation adaptées.
- Encadrer les usages ultérieurs des informations recueillies.
- Prévoir les garanties nécessaires pour les correspondances et fichiers identifiés comme personnels.
Le CSE doit également être informé et consulté lorsque les conditions légales applicables sont réunies.
Une attention particulière doit être portée au contenu des alertes. Copier systématiquement des extraits de fichiers médicaux ou de documents de paie dans une console accessible à de nombreux administrateurs créerait une nouvelle exposition des données. Lorsque des métadonnées suffisent à qualifier une situation, la reproduction du contenu doit être évitée.
Partir des risques, puis définir les règles
Un projet DLP devrait commencer par une question concrète : quelles divulgations cherchons-nous à empêcher ?
Pour y répondre, la direction, les équipes informatiques, le RSSI et le DPO doivent identifier les informations prioritaires et leurs usages. Les dossiers médicaux, les fichiers de paie ou les bases clients ne circulent pas de la même manière et n’appellent pas nécessairement les mêmes restrictions.
Il faut ensuite examiner les scénarios de fuite : courriel envoyé à une adresse personnelle, partage cloud mal configuré, téléchargement massif, copie sur un support amovible ou transmission à une application externe.
Les règles peuvent alors être définies et testées. Une phase d’observation aide à repérer les faux positifs et les échanges légitimes avant de généraliser certains blocages. Pour les situations présentant un risque élevé déjà établi, des restrictions immédiates peuvent toutefois être nécessaires.
Le fonctionnement quotidien mérite autant de préparation que le paramétrage initial :
- Qui reçoit les alertes et dans quels délais ?
- Qui peut autoriser une exception ?
- Comment l’utilisateur obtient-il une solution lorsqu’un transfert légitime est bloqué ?
- Quand les règles sont-elles réexaminées ?
Une alerte laissée sans traitement protège peu. Une règle devenue inadaptée peut, quant à elle, perturber durablement l’activité.
Intelligence artificielle : contrôler ce qui quitte l’entreprise
Un collaborateur peut transmettre un contrat, un fichier de paie ou des informations médicales à un assistant conversationnel pour obtenir une synthèse. Selon le service et sa configuration, cette opération peut communiquer les données à un prestataire externe et soulever des questions de transfert international. Certaines DLP savent détecter ou restreindre ces transmissions. Leur efficacité dépend néanmoins des applications, des navigateurs et des canaux couverts. L’entreprise doit donc définir les usages autorisés de l’intelligence artificielle, sélectionner les services appropriés et préciser les données qui peuvent leur être confiées. Les salariés doivent disposer de consignes compréhensibles et d’outils compatibles avec leurs besoins professionnels.
La DLP aide à faire respecter ces règles. Elle ne remplace ni leur définition ni l’examen des garanties contractuelles du prestataire.
Des limites à connaître et à tester
La détection n’est jamais parfaite. Des données peuvent échapper à l’analyse lorsqu’elles figurent dans une image, une archive chiffrée ou un format mal pris en charge. À l’inverse, un document anodin peut déclencher une alerte. Ces limites doivent être intégrées aux tests. Il faut vérifier les scénarios couverts, les contournements possibles et les effets sur l’activité.
Une DLP ne dispense pas non plus de protéger les comptes, de corriger les vulnérabilités et de contrôler les habilitations. Les sauvegardes, l’authentification multifacteur et la supervision conservent leur place dans la sécurité du système d’information.
La valeur du dispositif se mesure aux risques effectivement réduits et à la qualité du traitement des alertes.
Le DPO doit intervenir dès la conception
Le DPO conseille le responsable de traitement et contrôle le respect des exigences relatives aux données personnelles. Il apporte notamment son analyse sur la base légale, la proportionnalité des contrôles, l’information des salariés, les contrats et la nécessité d’une AIPD. Les durées de conservation demandent une attention particulière. La recommandation générale de la CNIL visant une conservation des événements journalisés comprise entre six mois et un an ne constitue pas une durée uniforme applicable à tous les contenus d’une DLP. Un journal technique, une alerte comprenant un extrait de message et un dossier d’investigation ne répondent pas forcément aux mêmes besoins. Leurs durées doivent être définies et justifiées en conséquence.
Le projet doit enfin être réévalué lorsque son périmètre évolue. L’activation d’une nouvelle fonctionnalité d’analyse peut modifier sensiblement les risques pour les salariés.
Documenter et suivre le projet avec DPO SUITE
Le déploiement d’une DLP produit des décisions et des engagements qu’il faut pouvoir retrouver : périmètre des contrôles, garanties retenues, responsabilités, durées de conservation et actions correctrices. DPO SUITE, distribué par DPO FRANCE, permet d’organiser ce suivi dans la démarche de conformité RGPD. Le traitement peut être documenté dans le registre, les prestataires identifiés, les analyses d’impact renseignées et les mesures à mettre en œuvre intégrées au plan d’action. Les incidents et violations peuvent également faire l’objet d’un suivi.
Cette documentation doit refléter le fonctionnement réel du dispositif et ses évolutions. Elle aide le responsable de traitement à expliquer ses choix et à démontrer leur suivi.
La décision de déployer une DLP doit ainsi partir d’un besoin établi, avec des contrôles ciblés et des responsabilités claires. Prévenir une fuite est utile ; pouvoir démontrer que cette protection respecte aussi les droits des salariés est tout aussi nécessaire.
Sources et références
- CNIL, Liste des traitements nécessitant une AIPD, notamment les dispositifs DLP analysant les flux de courriels sortants dans le cadre d’une surveillance constante de l’activité des employés.
- CNIL, Le contrôle de l’activité des personnes employées.
- CNIL, Guide de la sécurité des données personnelles.