Protection des données

La BCBE est consciente de sa responsabilité en matière de gestion des données. Elle protège la sphère privée des personnes dont elle traite les données et révèle de quelle manière et dans quel but elle les traite.

Pertinence du thème

Les violations des dispositions relatives à la protection des données, en particulier la divulgation de données personnelles à des personnes non autorisées, peuvent causer des préjudices importants aux personnes concernées. C’est pourquoi les banques accordent une grande importance à la protection des données et à la sécurité des informations. Des normes élevées quant aux mesures de sécurité techniques et organisationnelles doivent être appliquées tant au sein de l’infrastructure de l’entreprise que chez les prestataires de services, afin de réduire les risques notamment de cyberattaques, d’erreurs humaines ou d’actes malveillants.

Le non-respect des exigences légales en matière de protection des données peut exposer les banques à des risques de compliance et de réputation. En revanche, une banque peut renforcer la confiance de la clientèle en respectant les exigences en matière de protection des données et en faisant preuve de transparence lorsqu’elle traite des données et en cas de violation de la protection des données. De plus, elle a la possibilité de mettre en place des mesures afin d’empêcher ce genre d’incidents, d’y remédier et de faire en sorte qu’ils ne se reproduisent pas.

Concepts, mesures et activités

La BCBE tient à gérer les données et les informations de manière soigneuse. Le code de conduite de la BCBE contient dès lors un certain nombre de principes en la matière. La banque accorde la plus haute importance à ce que toutes les informations à caractère personnel soient traitées conformément aux règles en vigueur en matière de protection des données. Cela englobe non seulement le respect des prescriptions légales, mais aussi la mise en œuvre de mesures de sécurité de pointe dans le but de réduire au minimum les risques.

Le secret bancaire sert à protéger la clientèle contre tout accès non autorisé aux informations sur sa relation bancaire. La directive de la BCBE relative à la protection des données règle par ailleurs le respect des dispositions en matière de protection des données et définit la gestion des données à caractère personnel et des données client ainsi que les principes régissant le traitement des données. Elle établit aussi la gouvernance des données en matière de protection des données au sein de la structure organisationnelle de la BCBE et définit des structures d’escalade claires en cas de violation du secret bancaire, de la protection des données ou de l’obligation de garder le secret au regard de la loi fédérale sur la prévoyance professionnelle vieillesse, survivants et invalidité (LPP).

Des formations internes, dont la formation en ligne « Formation à la protection des données », présentent les bases de la loi sur la protection des données à l’ensemble du personnel. De plus, le conseiller à la protection des données dispense à divers services spécialisés des formations spécifiques à leurs activités en relation avec le traitement de données. La formation « Sécurité de l’information » est axée sur la gestion sûre des données personnelles physiques et électroniques (y compris les données de la clientèle). En outre, le personnel est régulièrement sensibilisé à l’utilisation des moyens de communication électroniques en toute sécurité.

Durant l’exercice sous revue, la BCBE a lancé une vaste campagne de formation et de sensibilisation à la gestion des risques en matière de cybersécurité. Tous les membres du personnel ont été tenus de suivre des modules d’apprentissage en ligne spécifiques sur la plateforme de sensibilisation « SoSafe ». Une évaluation de la culture de sécurité (Security Culture Assessment) a en outre été réalisée. Ses résultats ont servi à développer des mesures de formation et de sensibilisation.

Le conseiller à la protection des données, qui est rattaché au Service juridique de la BCBE, est l’interlocuteur privilégié pour toute demande interne ou externe en lien avec la protection des données. Les signalements de cas de violation de la protection des données lui sont aussi adressés. Les clientes et clients et les instances externes peuvent trouver ses coordonnées dans la déclaration de protection des données. Pour les entités internes, les coordonnées figurent également sur intranet et dans la directive sur la protection des données.

Sécurité de l’information

Le système de gestion de la sécurité de l’information (ISMS) de la BCBE se fonde sur la série internationale de normes ISO/IEC 2700x. Il constitue une base centrale pour la protection des données personnelles (y compris les données client) et des processus de gestion. La banque met en œuvre des mesures techniques et organisationnelles étendues (cryptage, contrôles d’accès, journalisation des incidents de sécurité) et, régulièrement, engage des mesures de sensibilisation pour les collaboratrices et collaborateurs. Les systèmes informatiques font l’objet d’un contrôle continu et automatisé visant à en détecter les vulnérabilités logicielles.

L’efficacité du ISMS est régulièrement évaluée au moyen d’audits internes, de contrôles externes indépendants et de contrôles techniques de sécurité tels que des tests de pénétration. En outre, des contrôles externes garantissent le respect des prescriptions légales et des exigences des autorités de surveillance. Dans le cadre d’un examen prudentiel annuel, la société d’audit examine périodiquement, entre autres, la « gestion des risques liés aux technologies de l’information et de la communication (TIC) », la « gestion des cyberrisques », la « gestion des risques des données critiques », le « business continuity management (BCM) » et la « résilience opérationnelle ». Aucun incident impliquant des données personnelles (données client y comprises) n’a été constaté lors de ces audits. Tout élément identifié comme pouvant être amélioré l’est sans délai en fonction des risques.

Par ailleurs, le secteur Gestion des risques consigne dans ses rapports les principaux résultats concernant le respect de la tolérance au risque et des indicateurs de risque en matière de sécurité de l’information et, notamment, de confidentialité des données personnelles (données client y comprises).

Objectifs et chiffres-clés

La BCBE entend prévenir toute violation de la protection des données à caractère personnel et des données client ou la perte de telles données.

Au cours de l’exercice sous revue (tout comme durant l’exercice précédent), aucune plainte fondée des autorités de surveillance n’a été reçue en relation avec une violation de la protection de données à caractère personnel ou de données client ou la perte de telles données.