Envoyer des informations personnelles identifiables par e-mail: Considérations de sécurité et de conformité

Si votre entreprise reçoit des informations personnelles identifiables par e-mail de la part de clients, de contractants ou d’autres individus, vous devez respecter des réglementations strictes pour éviter des amendes coûteuses.

Est-il sûr d’envoyer des informations personnelles identifiables par e-mail ? Non, vous ne devriez jamais envoyer d’informations personnelles identifiables par e-mail. Cependant, si vous devez envoyer des informations personnelles identifiables par e-mail, elles doivent être chiffrées et certains protocoles de sécurité doivent être respectés pour garantir que, si elles sont interceptées, les informations personnelles identifiables ne seront pas lisibles.

Qu’est-ce que les informations personnelles identifiables (PII) ?

En termes simples, les informations personnelles identifiables (PII) sont toutes les informations qui permettent à quelqu’un de « déduire » directement ou indirectement l’identité d’une autre personne. « Déduire », dans ce cas, peut signifier tout ce qui rend l’identité d’une personne déterminable.

Bien que cela semble évident, les informations personnelles identifiables sont plutôt mal définies aux États-Unis. De ce fait, il peut être difficile de distinguer ce qui constitue des PII et ce qui n’en constitue pas, surtout lorsque différents contextes peuvent changer la signification de la divulgation d’informations confidentielles.

Directives du NIST SP 800-122 sur la catégorisation des PII

Le National Institute of Standards and Technology (NIST) divise les PII en deux catégories : liées et non liées. Les informations liées peuvent permettre à quelqu’un de déterminer une identité directement. Les exemples de PII dans cette catégorie incluent :

• Prénom et Nom
• Adresse personnelle
• Adresse professionnelle
• Numéro de sécurité sociale (SSN)
• Numéro de téléphone (professionnel, personnel ou mobile)
• Informations sur les biens personnels (numéros d’identification de véhicule, etc.)
• Date de naissance
• Numéros de carte de crédit ou de débit
• Adresses e-mail
• Informations associées aux TI (adresses MAC spécifiques à l’appareil, adresses IP, numéros de série, etc.)

Les informations non liées sont moins directes et nécessitent qu’une partie externe combine deux ou plusieurs éléments d’information pour identifier quelqu’un. Les informations non liées comprennent :

• Noms et prénoms communs
• Catégories raciales et de genre
• Âge
• Intitulé de poste
• Éléments d’adresse plus larges (ville, état, pays ou code postal)

Les informations personnelles identifiables non liées peuvent sembler « plus sûres » que les informations personnelles identifiables liées ; cependant, vous ne savez pas quelle combinaison d’informations personnelles identifiables non liées révélera accidentellement l’identité de quelqu’un. Il est donc important d’utiliser des plateformes, des outils et des processus qui protègent les données dans vos cas d’affaires spécifiques.

Dans cet esprit, les informations personnelles identifiables sont définies et traitées légèrement différemment en vertu des différentes réglementations sur la protection des données :

• Selon la Loi sur la portabilité et la responsabilité de l’assurance maladie (HIPAA), les informations personnelles identifiables sont mieux comprises comme des informations médicales protégées (PHI). L’HIPAA définit les PHI dans sa Règle de confidentialité comme toute information concernant la santé d’un patient, les soins de santé ou le traitement, ou la facturation et le paiement liés à la santé et au traitement.
• La norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS) met l’accent sur les données de paiement par carte, donc les informations personnelles identifiables envoyées par e-mail se référeront presque exclusivement aux numéros de carte de crédit ainsi qu’à toute combinaison de nom, adresse, numéro de téléphone ou adresse e-mail pouvant identifier un client.
• FedRAMP est divisé en trois niveaux d’impact (Faible, Modéré, Élevé) et les types d’informations personnelles identifiables varient selon le niveau. Par exemple, de nombreux systèmes à faible impact pourraient ne pas contenir d’informations personnelles identifiables autres que les identifiants de connexion (nom d’utilisateur et mot de passe) tandis que les systèmes à impact élevé peuvent traiter des données telles que les informations médicales protégées. L’envoi d’informations personnelles identifiables par e-mail est interdit sous FedRAMP à moins qu’elles ne soient chiffrées.

Les informations personnelles identifiables sont-elles différentes des données personnelles ?

Alors que la notion d’informations personnelles identifiables est quelque peu mal définie aux États-Unis, l’Union européenne a pris des mesures pour rendre la définition plus concrète. C’est pourquoi le concept de « Données Personnelles », tel que défini dans le cadre du Règlement Général sur la Protection des Données (RGPD), est explicité dans le cadre juridique et mentionné à plusieurs reprises dans les documents et exigences légaux.

Qu’est-ce que les informations personnelles identifiables selon le Règlement Général sur la Protection des Données (RGPD) ?

Selon les réglementations du RGPD, les données personnelles sont spécifiquement liées à toute information “se rapportant à une personne physique identifiée ou identifiable (le sujet des données)… directement ou indirectement.” Le RGPD précise également les éléments généraux qui relèvent des données personnelles, y compris tout nom, numéro d’identification, identifiant en ligne, ou “un ou plusieurs éléments spécifiques à l’identité physique, physiologique, génétique, économique, culturelle ou sociale de cette personne physique.”

Bien que les informations personnelles identifiables et les données personnelles ne diffèrent que légèrement, les ramifications juridiques sont beaucoup plus diversifiées. Tout ce qui peut être utilisé pour identifier une personne est considéré comme des données personnelles et doit rester sécurisé, privé et confidentiel. Cela inclut des éléments tels que les journaux de sécurité, les formulaires de consentement, les cookies et tout tag ou jeton utilisé pour maintenir la présence ou l’expérience d’un client sur une plateforme en ligne.

Cela signifie également que vous pourriez faire face à des pénalités sévères—comme jusqu’à 4% de votre chiffre d’affaires total—pour l’envoi d’informations personnelles identifiables sous la juridiction du RGPD.

Techniques de chiffrement pour sécuriser les informations personnelles identifiables

Le chiffrement est une technique largement utilisée pour sécuriser les informations personnelles identifiables (IPI) avant de les envoyer par e-mail. Protéger les IPI est crucial car elles contiennent des informations sensibles qui peuvent causer du tort si elles tombent entre de mauvaises mains, telles que le vol d’identité, la fraude à la carte de crédit et d’autres activités malveillantes. Le chiffrement offre une couche supplémentaire de sécurité aux e-mails contenant des IPI, garantissant que les informations restent confidentielles et sécurisées. C’est un outil essentiel pour les organisations afin de protéger les informations confidentielles de leurs clients pendant le transit. En chiffrant les IPI, les organisations s’assurent que les informations sont sécurisées et inaccessibles aux individus non autorisés. Voici quelques méthodes courantes pour chiffrer les IPI :

Chiffrement symétrique pour la protection des informations personnelles identifiables

La technique de chiffrement symétrique utilise une clé secrète unique pour chiffrer et déchiffrer le contenu. Cette méthode est idéale pour sécuriser les informations personnelles identifiables car elle garantit la confidentialité et l’authenticité du contenu. La clé est gardée secrète et seul les utilisateurs autorisés peuvent y accéder.

Chiffrement asymétrique pour la protection des informations personnelles identifiables

La technique de chiffrement asymétrique utilise deux clés : une pour chiffrer le contenu et l’autre pour le déchiffrer. L’expéditeur chiffre le contenu en utilisant la clé publique du destinataire et ce dernier déchiffre le contenu avec sa clé privée. Cette technique est particulièrement utile pour sécuriser le contenu des informations personnelles identifiables pendant la transmission.

Le hachage pour la protection des informations personnelles identifiables

Le hachage est une technique qui crée une empreinte digitale unique du contenu des informations personnelles identifiables qui ne peut être inversée. Elle est particulièrement utile pour sécuriser les informations personnelles identifiables car même si un attaquant accède au contenu haché, il est pratiquement impossible de retrouver le contenu original à partir de celui-ci.

La tokenisation pour la protection des informations personnelles identifiables

La tokenisation remplace le contenu sensible par un identifiant unique, ou jeton, qui n’a aucune valeur ou signification en dehors du système dans lequel il est utilisé. Cette technique est particulièrement utile pour sécuriser les informations personnelles identifiables en stockage ou lors de transactions, car elle assure que le contenu sensible reste protégé même si le système est compromis. La tokenisation permet également un traitement plus efficace des transactions et réduit le potentiel de fuite de données.

Gestion des clés de chiffrement pour la protection des informations personnelles identifiables

La gestion appropriée des clés de chiffrement est cruciale pour maintenir la sécurité du contenu chiffré. Les clés doivent être stockées de manière sécurisée et uniquement fournies aux parties autorisées. La rotation et la révocation des clés sont également importantes pour garantir que des clés compromises ne mettent pas en péril la sécurité des données chiffrées.

Bien que la mise en œuvre d’une combinaison de ces techniques de chiffrement puisse créer une stratégie de sécurité forte et complète pour protéger les informations personnelles identifiables, il est important de revoir et de mettre à jour régulièrement les méthodes de chiffrement pour s’assurer qu’elles sont à jour et efficaces contre les menaces émergentes.

Informations personnelles identifiables et envoi d’informations par e-mail

L’abstinence est le meilleur remède pour protéger les informations personnelles identifiables via e-mail.

Pensez à ce qu’il faut pour gérer les informations personnelles identifiables : des serveurs sécurisés, le chiffrement, des politiques, des procédures, des audits, et plus encore. Votre plateforme de messagerie doit donc adhérer à des exigences de sécurité strictes. Envoyer des informations personnelles identifiables par e-mail public ne respectera aucune exigence de la réglementation sur la confidentialité des données, encore moins pour maintenir la confidentialité des clients.

En plus du chiffrement (couvert ci-dessus), les organisations devraient envisager d’utiliser ces capacités de protection des données pour se conformer aux réglementations énumérées ci-dessus

Éviter l’utilisation de l’e-mail pour le SFTP ou d’autres transferts de fichiers

Le SFTP, configuré correctement, peut offrir un moyen sécurisé et conforme de partager et de transférer des données. Cependant, vous risquez encore d’aliéner le destinataire. Aucun client n’utilisera un programme SFTP pour gérer des données (à moins qu’il n’opère dans une industrie où le SFTP est la norme).

Liens d’e-mail sécurisés

L’email sécurisé combine le meilleur des serveurs sécurisés et des emails en un seul package. Au lieu d’envoyer des données chiffrées, les organisations envoient un lien vers un email sécurisé à un serveur chiffré qui contient le message dans une boîte de réception d’email simple. L’utilisateur doit s’authentifier pour accéder à ce serveur et au message contenant des informations personnelles identifiables.

Cette dernière option est la plus simple et la plus gérable pour protéger les informations personnelles identifiables via email. Elle ne se contente pas d’alléger la charge pour les utilisateurs d’apprendre ou d’adopter de nouvelles technologies, mais elle transfère également la responsabilité de l’utilisateur vers l’infrastructure informatique. Avec les liens d’email sécurisé, vous pouvez vous assurer de respecter d’autres exigences de conformité des emails telles que la journalisation des audits et la gestion de l’accès des utilisateurs.

Problèmes juridiques et de conformité lors de l’envoi d’informations personnelles identifiables par email

Envoyer des informations personnelles identifiables par email peut être peu sûr et conduire à un accès non autorisé à des données privées et confidentielles. La plupart des services d’email ne sont pas chiffrés et peuvent donc être interceptés en transit, permettant aux pirates d’accéder à des données sensibles. Il existe d’autres risques auxquels les organisations sont confrontées lors de l’envoi d’informations personnelles identifiables par email, notamment :

1. Protection des données : Envoyer des informations personnelles identifiables par e-mail peut constituer une violation des lois sur la protection des données dans la juridiction où le destinataire reçoit les données. Les lois sur la protection des données peuvent exiger de l’expéditeur qu’il prenne des mesures supplémentaires pour assurer la sécurité de l’e-mail et que les données ne soient pas divulguées de manière inappropriée.
2. Vie privée et consentement : Envoyer des informations personnelles identifiables par e-mail peut violer les lois sur la vie privée et le consentement dans la juridiction où le destinataire reçoit les données. Dans certains cas, il faut obtenir la permission de l’utilisateur avant que les données personnelles puissent être envoyées.
3. Lois anti-spam : Envoyer des informations personnelles identifiables par e-mail peut violer les lois anti-spam dans la juridiction où le destinataire reçoit les données. Les e-mails non sollicités peuvent être interdits et tout e-mail contenant des informations personnelles identifiables doit être envoyé conformément à la loi.
4. Transferts internationaux : Envoyer des informations personnelles identifiables par e-mail peut également impliquer le transfert de données entre pays, déclenchant des obligations légales et de conformité supplémentaires, telles que le Règlement Général sur la Protection des Données (RGPD).

Normes du NIST sur la protection des informations personnelles identifiables

Le Cadre pour la cybersécurité du National Institute of Standards and Technology (NIST CSF), ainsi que le Cadre de confidentialité du NIST, fournissent des normes pour protéger les informations personnelles identifiables des individus. Le cadre offre aux organisations des orientations lors de la conception et de la mise en œuvre d’un programme de sécurité de l’information. Les normes relatives aux informations personnelles identifiables comprennent des contrôles pour la protection des données dans des domaines tels que la collecte de données, le stockage de données, la transmission de données, le développement de logiciels, le contrôle d’accès physique, les listes de contrôle d’accès et le chiffrement. Les normes spécifient également des exigences d’audit et de rapport.

Les organisations devraient envisager de mettre en œuvre les normes PII du NIST CSF pour protéger les informations personnelles identifiables car il s’agit de directives complètes et opérationnelles, établies par une source fiable et autoritaire, qui fournissent une base solide pour assurer la manipulation sécurisée et responsable des données sensibles des clients. Le suivi de ces normes peut aider à protéger les organisations contre les risques de sécurité potentiels et les violations de la confidentialité des données. De plus, les réglementations sur la confidentialité des données telles que HIPAA utilisent les normes PII du NIST CSF comme exigences de sécurité minimales pour les organisations traitant des informations personnelles identifiables, donc la conformité avec les normes PII du NIST CSF peut aider les organisations à éviter des amendes coûteuses pour violation de ces réglementations.

Envoyez des e-mails sécurisés avec Kiteworks

Le réseau de contenu privé (PCN) de Kiteworks offre une protection avancée et une conformité pour le contenu sensible, telles que les informations personnelles identifiables, et d’autres informations confidentielles que les entreprises partagent avec des partenaires de confiance à travers divers canaux de communication.

Le PCN de Kiteworks fournit des services de courriel sécurisé et de partage sécurisé de fichiers qui sont conformes à plusieurs exigences clés de confidentialité des données sans sacrifier l’utilisabilité ou les fonctionnalités d’entreprise. Il combine une appliance virtuelle durcie, un chiffrement de bout en bout des e-mails, et une journalisation d’audit pour garantir que les employés peuvent partager, collaborer et gérer des informations confidentielles en toute sécurité depuis n’importe quel appareil ou emplacement.

En outre, KiteworksPasserelle de Protection des E-mails automatise la protection des e-mails avec un chiffrement de bout en bout des e-mails pour protéger le contenu privé des e-mails contre les fournisseurs de services cloud et les cyberattaques.

Kiteworks offre également une visibilité détaillée et des pistes d’audit pour s’assurer que les documents restent conformes aux réglementations et normes du secteur, telles que le RGPD, HIPAA, la Certification de Maturité en Cybersécurité (Cybersecurity Maturity Model Certification – CMMC), et bien d’autres. Cela fait de Kiteworks un outil inestimable pour les organisations qui doivent protéger les informations personnelles identifiables et démontrer leur conformité avec les réglementations pertinentes.

Ressources Supplémentaires

• Article Qu’est-ce que la Conformité aux Données PCI ?
• Article de Blog Qu’est-ce qu’un E-mail Conforme à l’HIPAA ?
• Article de Blog Comment Rendre Votre Formulaire d’Abonnement aux E-mails Conforme au RGPD
• Article de Blog Que Signifie un E-mail Conforme ?
• Webinaire Découverte Électronique Transparente des E-mails Chiffrés à Travers les Plateformes d’Archivage