Sécurité des données pour les petites entreprises — ce qu'il faut vraiment

Quelles obligations de sécurité des données s'appliquent à une petite entreprise ?

L'obligation ne découle pas de la taille de l'entreprise mais de l'existence même d'une base de données. Le Règlement israélien sur la protection de la vie privée (sécurité des données), 5777-2017 s'applique à toute base de données numérique — fichier clients, dossiers de travail, agenda de rendez-vous — et son application ne dépend pas du tout de la question de savoir si la base doit être enregistrée.

C'est l'idée reçue qu'il faut corriger en premier : l'amendement 13 à la loi israélienne sur la protection de la vie privée a fortement réduit l'obligation d'enregistrement, mais l'obligation de sécurité est restée en place — et depuis le 14 août 2025, l'Autorité israélienne de protection de la vie privée peut la faire respecter par des sanctions financières, sans procédure pénale. Nous l'avons détaillé dans l'article sur l'amendement 13 à la loi sur la protection de la vie privée.

Et la bonne nouvelle : le règlement n'exige pas la même chose de tous. Il gradue ses exigences selon la sensibilité et l'ampleur des données — et l'échelon d'une petite entreprise est bien plus bas qu'on ne le dépeint d'habitude.

De quel niveau de sécurité relève une petite entreprise ?

L'article 1 du règlement fixe quatre régimes : la base gérée par un particulier, et les niveaux de sécurité de base, intermédiaire et élevé. Le classement dépend du type de données, du nombre de personnes concernées et du nombre de titulaires d'autorisation — pas du chiffre d'affaires de l'entreprise.

Le régime le plus léger est la « base gérée par un particulier » — une base gérée par un particulier, ou par une société détenue par un particulier, où seuls le particulier et au plus deux autres titulaires d'autorisation l'utilisent. Mais l'article 1 en exclut expressément une base contenant des données sur 10 000 personnes ou plus, une base de courtier en données — et une base contenant des données couvertes par le secret professionnel. Un avocat, un médecin ou un thérapeute n'entre pas dans ce régime, même en travaillant entièrement seul.

Le niveau de sécurité intermédiaire s'applique, selon la première annexe, aux bases contenant des données sensibles — médicales et psychiques, génétiques, biométriques, données sur la situation financière d'une personne, casier judiciaire, opinions politiques et croyances religieuses, entre autres. Sur le papier, cela englobe presque toute entreprise qui détient autre chose qu'un nom et un téléphone.

Et voici l'allègement le plus important à connaître : le point 2(2) de la première annexe renvoie une telle base au niveau de base si le nombre de titulaires d'autorisation chez le propriétaire de la base ne dépasse pas dix. En clair — une entreprise où au plus dix personnes accèdent aux données relève presque toujours du niveau de base, même quand les données elles-mêmes sont sensibles.

Le niveau de sécurité élevé est réservé, selon la deuxième annexe, aux bases sensibles contenant des données sur 100 000 personnes ou plus, ou comptant plus de 100 titulaires d'autorisation — des ordres de grandeur sans rapport avec une petite entreprise.

Qu'exige concrètement le niveau de base ?

L'article 21 précise quels articles s'appliquent à chaque niveau. Au niveau de base, la liste est plus courte qu'il n'y paraît, et en voici le cœur :

• Un document de définition de la base (article 2) — une courte description des données collectées, de leurs finalités, de qui les détient et des principaux risques de sécurité ; plus une vérification annuelle qu'on ne conserve pas plus de données que nécessaire.
• Une procédure de sécurité (article 4) — un document couvrant, entre autres, la sécurité physique, les droits d'accès et la gestion d'un incident de sécurité.
• Des droits d'accès par rôle (article 8) — chaque rôle ne voit que ce dont il a besoin, avec un registre à jour des autorisations.
• Identification et authentification (article 9) — s'assurer que seuls les titulaires d'autorisation entrent, et révoquer les droits dès qu'un employé quitte ses fonctions.
• Sélection et formation (article 7) — vérifier l'adéquation et expliquer les obligations avant de donner à un employé l'accès aux données.
• Documentation des incidents de sécurité (article 11) — tout soupçon d'usage abusif des données ou d'atteinte à celles-ci est consigné.
• Des systèmes à jour (article 13) — mises à jour continues, et aucun système que l'éditeur ne prend plus en charge.
• Chiffrement et communications (article 14) — les données transmises par un réseau public ou par Internet utilisent des méthodes de chiffrement acceptées, et l'accès à distance passe par identification et authentification.
• Sous-traitance (article 15) — un prestataire externe qui accède aux données exige un contrat définissant ce qu'il peut faire et ce qu'il advient des données à la fin de la relation.

Notez ce qui ne figure pas dans la liste : la journalisation automatique des accès (article 10), les audits périodiques (article 16) et les procédures de sauvegarde et de restauration (article 18) ne sont exigés qu'à partir du niveau intermédiaire. Cela ne rend pas les sauvegardes facultatives en pratique — cela signifie que le régulateur n'impose pas à une petite entreprise les mécanismes de contrôle d'une grande organisation.

Qu'est-ce qui est résolu par le logiciel, et qu'est-ce qui exige une procédure ?

Voici maintenant la partie qui fait économiser de l'argent : l'essentiel de la liste ci-dessus n'est pas du tout un « projet sécurité ». Dans un système bien construit, les exigences côté système existent déjà dans le logiciel lui-même — et ce qui reste à l'entreprise, ce sont quelques documents courts qui reflètent la réalité.

Cette distinction est aussi un test d'achat. Quand vous examinez un système de gestion — sur étagère ou sur mesure — les bonnes questions sont exactement celles du règlement : y a-t-il des droits d'accès par rôle ? Une journalisation ? Les données sont-elles chiffrées et sauvegardées ? Si la réponse est « c'est inclus dans la formule étendue », ce n'est pas un système construit avec la sécurité — c'est un système qui la vend à part. Nous avons développé le principe dans un système bâti autour de votre façon de travailler.

Pourquoi un classeur de procédures n'est-il pas de la sécurité ?

Toute une industrie vend aux petites entreprises la « conformité » sous forme de classeur : des dizaines de pages de procédures génériques, des tableaux de risques, des déclarations. Le classeur est archivé, et l'entreprise continue de travailler dans un tableur partagé dont tout le monde connaît le mot de passe.

Le règlement lui-même est construit à l'envers de cela. L'essentiel de ce qu'il exige au niveau de base se passe — ou ne se passe pas — dans le système : droits d'accès, authentification, chiffrement, mises à jour. Une procédure qui décrit une réalité inexistante non seulement ne protège pas ; elle est la preuve écrite que vous saviez ce qui était exigé et ne l'avez pas fait.

Un vrai minimum de sécurité des données pour une petite entreprise ressemble à ceci : les données vivent dans un seul système au lieu d'être éparpillées entre un tableur, WhatsApp et une boîte mail ; chaque utilisateur a sa propre connexion et ses propres droits ; les données sont chiffrées et sauvegardées ; et un court document de définition décrit ce qui se passe réellement. C'est moins impressionnant qu'un classeur — et c'est ce qui tient face à un contrôle.

Chez appotto, c'est le réglage par défaut et non une option : droits d'accès par rôle, chiffrement et sauvegardes entrent dans chaque projet dès le premier jour, et chaque question de vie privée et de sécurité des données passe par un examen juridique en règle auprès du conseiller juridique de la maison de logiciel. La barre la plus haute, nous l'avons construite dans notre CRM pour cabinets d'avocats, où le secret professionnel de l'avocat impose une séparation complète entre dossiers et des droits d'accès par dossier — et quand on franchit cette barre, le niveau de base est loin derrière.

Et si vous envisagez de remplacer le tableur par un système et voulez comprendre ce que cela signifie pour votre budget, le plus rapide est de nous écrire un court message sur les données que vous détenez et votre façon de travailler aujourd'hui.