Le problème d'incohérence des plateformes post-COVID
La normalisation du travail à distance et hybride a créé un défi de conformité GDPR que peu d'organisations avaient anticipé : les employés travaillant depuis différents endroits utilisent désormais différents outils, avec des configurations différentes, sous la même obligation de conformité.
La norme pré-COVID était simple : tous les employés travaillaient depuis des postes de travail gérés dans des environnements de bureau contrôlés. Les logiciels d'entreprise étaient déployés de manière uniforme. L'informatique appliquait la même configuration sur chaque machine. L'environnement de conformité était relativement homogène.
Post-COVID, l'environnement de conformité est hétérogène :
- Les travailleurs en bureau utilisent des postes de travail gérés avec des logiciels d'entreprise déployés par l'informatique
- Les travailleurs à distance utilisent des postes de travail à domicile, parfois gérés par l'entreprise et parfois BYOD
- Les travailleurs mobiles utilisent n'importe quel appareil disponible, avec un contrôle de configuration limité
- Les travailleurs hybrides alternent entre des configurations en bureau et à distance
Chaque environnement peut avoir des outils différents disponibles, des configurations d'outils différentes et des contrôles techniques différents. L'obligation GDPR — que les données personnelles soient protégées par des mesures techniques appropriées — s'applique de manière identique dans les quatre environnements.
La norme juridique après la jurisprudence de 2025
Les décisions de la Cour générale de l'UE de 2025 sur la responsabilité en cas de violation de données ont clarifié que les organisations ne peuvent pas se fier aux politiques seules pour démontrer la conformité à l'article 32 du GDPR. La position de la Cour :
"Démontrer que des mesures techniques et organisationnelles appropriées ont été mises en œuvre nécessite des preuves de contrôles techniques spécifiques qui étaient opérationnels au moment du traitement. La documentation de politique indiquant que les employés 'devraient' anonymiser les données personnelles n'est pas une preuve d'un contrôle technique."
Cette décision a des implications pour les organisations dont l'approche de conformité est : "Nous avons une politique de confidentialité qui exige que les employés anonymisent les données avant d'utiliser des outils d'IA. Les employés à distance lisent la politique."
La politique n'est pas le contrôle. La mesure technique qui permet l'anonymisation — peu importe où l'employé travaille — est le contrôle. Si la mesure technique n'est pas déployée de manière cohérente dans les environnements en bureau et à distance, le contrôle n'est pas cohérent.
L'exigence de cohérence de configuration
Pour les contrôles techniques d'anonymisation PII, la cohérence de configuration entre les environnements signifie :
Même couverture d'entités : Que l'employé traite un document au bureau ou à domicile, les mêmes 285+ types d'entités PII sont détectés. Pas "environ les mêmes" — les mêmes. Si l'application de bureau en bureau et l'application web à distance utilisent des moteurs de détection différents, la cohérence de couverture ne peut pas être garantie.
Même seuils : Le seuil de confiance pour l'anonymisation automatique est le même dans les deux environnements. Une entité détectée avec 87 % de confiance déclenche une anonymisation automatique à domicile et au bureau — pas d'anonymisation automatique au bureau mais seulement un avertissement à domicile.
Même préréglages : Le préréglage "Standard GDPR" configuré par la conformité s'applique de manière identique que l'employé accède à l'outil depuis son poste de travail de bureau ou son ordinateur portable à domicile. La synchronisation des préréglages garantit que les changements de configuration se propagent à tous les points d'accès.
Même piste de vérification : Les traitements effectués depuis chez soi et ceux effectués au bureau apparaissent dans la même piste de vérification centralisée. Il n'y a pas de "journal de traitement à distance" séparé du "journal de traitement en bureau."
Pourquoi la distinction entre l'application web et l'application de bureau est importante
De nombreuses organisations ont déployé une application de bureau pour les utilisateurs en bureau et s'appuient sur une application web pour les utilisateurs à distance. Si ce sont des produits différents de différents fournisseurs, ils peuvent avoir des moteurs de détection différents.
Mais même s'il s'agit des produits du même fournisseur — une application de bureau et une application web du même fournisseur — ils peuvent avoir des :
- Cycles de mise à jour différents (l'application de bureau peut être plusieurs versions en retard par rapport à l'application web)
- Héritage de configuration différent (le préréglage de l'application de bureau peut ne pas se synchroniser avec les changements de préréglage de l'application web)
- Comportement de journalisation différent (l'application de bureau peut enregistrer localement tandis que l'application web enregistre de manière centralisée)
Pour la documentation de conformité, la question pertinente est : pouvez-vous démontrer que la même détection a été appliquée peu importe quelle interface l'employé a utilisée ? Si la réponse nécessite de concilier deux formats de journal d'audit différents provenant de deux systèmes différents, la réponse est "avec difficulté."
Approche pratique : couverture indépendante de la plateforme
L'objectif de conformité pratique est une couverture indépendante de la plateforme : la même protection s'applique peu importe quelle interface un employé utilise.
Ceci est réalisable grâce à :
API de détection côté serveur : Toutes les interfaces (application de bureau, application web, extension Chrome) appellent la même API de détection côté serveur. Le modèle de détection s'exécute une fois (côté serveur), pas séparément dans chaque interface. Même modèle, mêmes résultats, quelle que soit l'interface.
Préréglages synchronisés : Les préréglages de configuration sont stockés côté serveur et chargés par toutes les interfaces au moment de l'exécution. Un changement de préréglage se propage immédiatement à toutes les interfaces. Il n'y a pas de "préréglage de bureau" séparé du "préréglage web."
Journalisation d'audit centralisée : Tous les événements de traitement de toutes les interfaces sont enregistrés dans la même base de données d'audit. La piste de vérification montre quelle interface a été utilisée, permettant une analyse de conformité des modèles de traitement à travers les environnements.
Déploiement cohérent : L'informatique déploie l'extension Chrome et configure l'application web pour les employés à distance avec la même configuration de préréglage que l'application de bureau pour les employés en bureau. La documentation de configuration couvre tous les environnements.
Cas d'utilisation : mise en œuvre d'une équipe hybride d'entreprise
Une équipe de conformité d'entreprise de 35 personnes — 20 en bureau (siège à Munich), 15 à distance (répartis à travers l'Allemagne et les Pays-Bas) — a identifié l'incohérence de la plateforme comme un écart de conformité lors d'un audit interne.
Écart identifié : L'équipe en bureau utilisait un outil PII de bureau Windows avec une configuration d'entreprise (285 types d'entités, préréglage GDPR). L'équipe à distance accédait à un outil basé sur le web fourni par un autre fournisseur avec une couverture d'entités différente (environ 80 types d'entités, pas de préréglage spécifique au GDPR). Même membres de l'équipe, mêmes données, outils différents.
Déploiement unifié :
- Même plateforme déployée pour tous les 35 membres de l'équipe
- En bureau : Application de bureau installée sur des postes de travail gérés (Windows/Mac)
- À distance : Application web accessible via le navigateur, même configuration de préréglage que l'application de bureau
- Extension Chrome installée sur tous les postes de travail et appareils distants pour l'utilisation de l'IA dans le navigateur
- Configuration de préréglage unique gérée par l'informatique, synchronisée à travers toutes les interfaces
Documentation d'audit après unification :
- Unique "Documentation des mesures techniques" couvrant tous les 35 membres de l'équipe et toutes les interfaces
- Piste de vérification unique pour tous les traitements (journalisation centralisée de toutes les interfaces)
- Vérification de la cohérence de configuration : l'informatique effectue un contrôle trimestriel pour s'assurer que toutes les interfaces montrent la même version de préréglage
La constatation de l'audit interne a été clôturée dans les 8 semaines suivant le déploiement unifié.
Sources :