Choisir des outils de collaboration : critères de protection des données et d’intégration

Du cas particulier à l’équipement de base : pourquoi les outils de collaboration font aujourd’hui partie de l’infrastructure essentielle

Le travail à distance repose sur une bonne communication et des échanges fluides. Sans les outils adéquats, les équipes atteignent rapidement leurs limites.

Les outils de collaboration sociale centralisent les informations, facilitent la coordination et maintiennent une collaboration à distance efficace et transparente.

Pour les PME suisses, le chat, les vidéoconférences, la gestion documentaire et la planification de projet font partie de l’infrastructure de base et ne sont plus des solutions de niche.

La protection des données et l’intégration figurent parmi les principaux critères de sélection ; s’y ajoutent la facilité d’utilisation, l’évolutivité et la consommation de ressources.

Clarifier d’abord le flux de travail, puis choisir l’outil

Le logiciel approprié dépend du besoin concret et du budget, et non de l’étendue des fonctionnalités.

Celui qui clarifie d’abord le flux de travail – qui travaille avec qui, sur quelles données et à quelles étapes – en déduit les critères pertinents.

Les domaines d’application typiques sont le chat, les vidéoconférences, la gestion documentaire et la planification de projet ; toutes les équipes n’ont pas besoin des quatre.

Une équipe qui coordonne beaucoup mettra l’accent sur d’autres aspects qu’une équipe qui gère principalement le versionnement de documents.

La facilité d’utilisation, la sécurité des données et l’évolutivité sont des critères importants ; leur pondération varie selon le domaine d’application.

En matière de protection des données, trois aspects doivent être examinés en priorité : le recours à des sous-traitants et sous-sous-traitants, la sécurité du traitement des données et le transfert de données personnelles vers des pays tiers.

Sélection en cinq étapes : du flux de travail à la décision motivée

Qui traite les données de qui ? La sous-traitance comme question centrale pour les services cloud

Avec les services cloud, le prestataire agit généralement en tant que sous-traitant du client au sens de l’art. 9 LPD.

Le client peut être lui-même responsable du traitement des données ou agir à son tour en qualité de sous-traitant.

En tant que responsable, le client a la responsabilité de veiller à ce que les traitements soient conformes à la législation sur la protection des données et à ce que les droits des personnes concernées ne soient pas diminués par l’externalisation.

L’utilisateur du cloud doit s’assurer et garantir contractuellement qu’il respecte les exigences relatives à la sous-traitance selon l’art. 9 LPD.

Le PFPDT renvoie pour cela à ses explications sur l’externalisation, respectivement la sous-traitance.

Les sous-sous-traitants font partie de cette chaîne. Le PFPDT cite le recours à des sous-traitants et sous-sous-traitants comme un aspect de la protection des données qui requiert une attention particulière dans le cadre des services cloud.

La sécurité du traitement des données comprend le chiffrement de bout en bout pendant le transfert et au repos, ainsi que le chiffrement des données au repos (Data At Rest Encryption) sur les serveurs.

Le contrôle d’accès et l’authentification englobent la 2FA/MFA, des paramètres d’accès individuels et le contrôle des mots de passe, ainsi qu’un accès basé sur les rôles.

Avec Microsoft Teams, les fichiers de phishing dans les chats, l’ingénierie sociale et la manipulation de la MFA sont des risques connus. Les contre-mesures incluent une authentification résistante au phishing avec vérification numérique, des règles d’accès conditionnel, une restriction aux domaines approuvés et des accès invités vérifiés.

Pour Slack, la 2FA/MFA et les listes blanches de domaines sont pertinentes ; les canaux partagés avec l’extérieur doivent être surveillés.

Liste de contrôle de la protection des données pour les outils de collaboration cloud

Lieu de stockage et communication de données à l’étranger : ce qui doit être clarifié avant l’introduction

Si l’utilisation de services cloud entraîne une communication de données à l’étranger, il convient de vérifier avant cette communication si elle satisfait aux exigences légales.

Le PFPDT souligne, pour les services cloud, outre la sous-traitance, la sécurité du traitement des données et le transfert de données personnelles vers des pays tiers.

Pour évaluer un outil, il faut concrètement clarifier : où les données sont-elles stockées ? Qui peut y accéder ? Quels sous-sous-traitants sont impliqués ?

Pour l’examen de la communication de données à l’étranger, le PFPDT renvoie à ses explications correspondantes.

Facilité d’utilisation et évolutivité : des critères déterminants pour l’acceptation et la croissance

La facilité d’utilisation décide si un outil est effectivement utilisé au quotidien.

Questions à examiner : combien de temps faut-il pour que de nouveaux collaborateurs rejoignent l’outil ? L’utilisation fonctionne-t-elle sur les appareils réellement utilisés dans l’équipe ? Combien d’étapes nécessite une coordination typique ?

L’évolutivité détermine si un outil grandit avec l’entreprise.

Questions à examiner : peut-on intégrer d’autres équipes ou sites sans changer de solution ? Les coûts et l’administration restent-ils maîtrisables lorsque le nombre d’utilisateurs augmente ?

Vérifier l’interaction avec les applications existantes

Les outils de collaboration sont rarement isolés.

Le PFPDT cite comme exemples de services cloud contenant des données personnelles les outils Office 365 pour la collaboration en ligne, les outils de gestion en ligne des adresses e-mail, les systèmes CRM en ligne ainsi que le téléchargement de fichiers sur un serveur accessible via Internet.

S’il manque des interfaces entre un outil de collaboration et des applications déjà utilisées telles que l’e-mail, le CRM ou le dépôt de documents, les données sont doublonnées ou des détours sont nécessaires.

Cela augmente la charge de travail et peut nuire à la qualité des données.

Du point de vue de la protection des données, il faut examiner quelles données personnelles circulent entre quelles applications, si ces flux sont nécessaires pour l’objectif visé et qui y a accès.

Avant l’introduction, il faut donc clarifier quelles applications existantes doivent être connectées et où vont les données.

OAuth est une plateforme d’authentification permettant aux applications de partager des identifiants de connexion ou d’accéder à d’autres services. Les autorisations OAuth sont souvent permanentes et peuvent créer des failles de sécurité involontaires.

L’intégration non sécurisée de fournisseurs tiers compte parmi les risques de sécurité des outils de collaboration tels que Slack, Microsoft Teams ou Zoom.

Une intégration insuffisante avec les anciens systèmes, une communication décentralisée et l’erreur humaine augmentent le risque.

Pour la conformité, la conservation des données, l’accès et l’archivage doivent être réglementés selon des normes définies.

Consommation d’énergie et de données : un critère de sélection rarement pris en compte

Greenspector a examiné en 2021 un total de 19 applications de vidéoconférence sur un Samsung S7 avec Android 8.

Trois scénarios d’une minute chacun ont été testés : conférence audio pure, audio avec vidéo des deux côtés, ainsi qu’audio avec partage d’écran.

La consommation d’électricité, le flux de données et les émissions estimées de CO2 ont été mesurés.

Microsoft Teams a consommé le moins d’électricité par minute dans tous les scénarios (27,27 mAh), suivi de Go To Meeting (28,79 mAh) et Google Meet (30,11 mAh).

Teams n’a nécessité que la moitié de l’énergie du dernier de la liste, Discord.

L’application suisse Infomaniak kMeet a occupé la 12e place sur les trois scénarios.

Une minute de conférence audio pure consomme en moyenne 39 % moins d’énergie qu’une conférence avec caméra activée ; par rapport au scénario avec partage d’écran, c’est 1,5 % de moins.

Pour le flux de données, Bigbluebutton a dominé dans tous les scénarios (4,49 mégaoctets par minute), suivi de Tixeo (6,21 Mo) et Google Meet (6,30 Mo).

Bigbluebutton a généré 10 fois moins de données que le dernier de la liste, Discord.

Infomaniak kMeet se situait ici au 17e rang, mais à la deuxième place pour le partage d’écran avec audio.

Dans le bilan estimé des émissions de CO2, Google Meet était en tête (0,164 gramme d’équivalent CO2), suivi de Tixeo (0,166 gEqCO2) et Microsoft Teams (0,167 gEqCO2).

Google Meet a émis 2,5 fois moins de CO2 que Discord.

Ces chiffres complètent la protection des données, la facilité d’utilisation, l’évolutivité et l’intégration en tant que critère de sélection. Les besoins en ressources diffèrent de manière mesurable selon le scénario d’utilisation et l’application.

Consommation d’électricité par minute des applications de vidéoconférence les plus économes (en mAh)

Énergie, flux de données et CO2 : autres valeurs mesurées du test Greenspector 2021

Preuve : maintenir à jour les activités de traitement, les mesures et les contrats

Le choix d’un outil implique un travail de documentation.

L’utilisateur du cloud doit, en tant que responsable, s’assurer et garantir contractuellement que la sous-traitance satisfait aux exigences selon l’art. 9 LPD.

Un logiciel de gestion de la protection des données peut soutenir ce travail.

Selon son éditeur, l’application ELIZA Datenschutzmanagement permet de documenter et gérer les activités de traitement, de réaliser des analyses d’impact relatives à la protection des données (AIPD), de définir et suivre les mesures techniques et organisationnelles (MTO) ainsi que de fixer les bases légales.

Elle sert également à gérer et documenter les sous-traitants, à traiter les demandes des personnes concernées et à créer automatiquement des contrats de sous-traitance (AVV) au format Word.

Une documentation à jour facilite les audits et le traitement des demandes d’information des personnes concernées, car les traitements, les mesures et les contrats sont consignés de manière traçable.

Les tâches récurrentes incluent : enregistrer les nouveaux traitements, vérifier les MTO, tenir à jour la liste des sous-sous-traitants et actualiser les contrats de sous-traitance en cas de modifications.

Tâches récurrentes pour la preuve de conformité

Pondérer les critères et motiver la décision

Chaque entreprise pondère les critères selon ses propres besoins et son budget.

La protection des données, la facilité d’utilisation, l’évolutivité, l’intégration et la consommation de ressources n’ont pas le même poids pour chaque équipe.

La décision devrait être documentée : quels critères ont été déterminants ? Quelles exigences en matière de sous-traitance et de communication de données ont été clarifiées ? Quelles interfaces sont nécessaires ?

Pour un changement ultérieur, l’entreprise reste compatible si les données sont exportables, si les contrats régissent la restitution ou la suppression et si la documentation consigne de manière traçable les traitements et les sous-sous-traitants.

Pour la protection des données, le chiffrement, le contrôle d’accès et l’authentification doivent être clarifiés avant l’introduction.

Pour l’intégration, il faut vérifier quelles autorisations OAuth existent et si elles sont limitées.