Juridique

Les DSI mauvais juristes

L'éditeur d'une solution de sécurisation des connexions Internet Olfeo a fait passer un QCM à 2000 responsables informatiques. Les résultats sont peu brillants.

Publicité2000 responsables informatiques (DSI, RSSI...) ont répondu, en ligne, à un questionnaire à choix multiples (QCM) sur dix questions de droit de l'informatique. Les résultats sont loin d'être brillants : 4 questions sur 10 ont vu une réponse fausse choisie par la majorité des répondants, 5% seulement ont répondu sans faute, 23% n'ont pas eu la moyenne...
L'expérience était réalisée par l'éditeur d'une solution de sécurisation des connexions Internet, Olfeo.

Réjouissons nous d'abord que la responsabilité directe du DSI soit un concept bien intégré. 82,7% des répondants ont en effet compris que les actes illicites réalisés par un salarié grâce aux outils informatiques de l'entreprise entraînaient la responsabilité tant du dirigeant que du DSI (en plus de celle du salarié, bien sûr). Presque 10% estiment malgré tout que seul l'employé coupable est responsable, ce qui est faux.
De la même façon, les répondants connaissent correctement le droit des sites de jeux d'argent en ligne (illégaux sauf agrément ARJEL) et l'application du droit français à toute société opérant en France.

La durée de conservation des logs de connexion est également bien connue : 52,9% répondent un an (bonne réponse), et presque autant (42,8%) trois ans, ce qui est plus que l'obligation légale. L'usage de ces logs doit se faire évidemment dans le cadre d'une déclaration à la CNIL, notamment s'il y a cybersurveillance des salariés. Et, là, les connaissances juridiques des DSI s'étiolent.

Ainsi seul 1,2% (!!!) des DSI savent qu'ils ont le droit de donner des informations sur les temps de surf des salariés à la direction de l'entreprise ; 55,6% croyant qu'il faut une procédure de licenciement en cours pour en avoir le droit. L'examen détaillé des logs se réalise cependant que dans le cadre d'objectifs de sécurité, ce que seule une petite majorité (51,1%) sait. La cybersurveillance des salariés est, en fait, mal connue : la plupart des répondants ignorent l'obligation d'informer individuellement chaque salarié des contrôles opérés (39,2% de bonnes réponses). De la même façon, les obligations de mise en place d'une Charte Internet et ses limites sont mal connues : une minorité de répondants (48,2%) étant informé de l'obligation d'autoriser un usage personnel raisonnable d'Internet sur le temps de travail.

Au delà de la cybersurveillance, c'est toute la connaissance du droit « informatique et libertés » qui est déficiente. Les obligations déclaratives, avec ou sans présence d'un correspondant aux données personnelles, sont ainsi fort mal connues.