MAPA:

Du point de vue technique, notre plus grande préoccupation concernait notre système SAP, c'est-à-dire notre système ERP. Pour assurer la cohérence de nos données, nous évitons généralement de supprimer des données du système. Avec les fonctions standard SAP, les enregistrements de données sensibles ne peuvent pas être supprimés sans traitement supplémentaire. Ces données sont simplement stockées dans un emplacement différent au moyen de l'archivage. Le problème, c'est qu'il peut y être restauré. La rédaction des champs individuels au sein des registres de données n'était pas non plus une option dont nous disposions.

La solution SAP pour résoudre le défi du RGPD a été présentée lors d'une réunion au DSAG (Groupe d'Utilisateurs SAP en Allemagne). Cela nous a permis de confirmer le problème, mais la solution SAP nous a semblé inadaptée, notamment en raison des coûts et de l'effort de mise en œuvre. En fin de compte, nous sommes arrivés à la conclusion qu'il ne serait pas possible, avec les outils SAP standard existants, de supprimer des données du système SAP conformément aux exigences du RGPD.

Nous devions déterminer en détail quelles données personnelles étaient stockées et où elles étaient stockées dans l'environnement SAP. Dans la documentation du processus, nous avons pu, dans un premier temps, démontrer quels registres de données devaient être potentiellement supprimés : ce document a été préparé pour la conversion technique et étendu au niveau de détail des différents champs

MAPA:

Depuis plusieurs années, nous anonymisons rapidement et facilement les données de test SAP avec Data Secure d'EPI-USE Labs, qui fait partie de leur suite de produits Data Sync Manager, dans nos environnements non productifs. C'est pourquoi nous avons fait confiance à la précision technique de l'anonymisation, même pour les structures de données critiques et complexes, telles que le module SAP HCM. Pour mettre en œuvre le règlement sur la protection des données personnelles (RGPD), les registres de données individuelles doivent toutefois être supprimés dans les systèmes de production. L'approche adoptée par EPI-USE Labs avec la suite GDPR Compliance était en accord avec notre approche :

Avec Data Disclose, l'ensemble des systèmes SAP sont recherchés et les données sensibles localisées. L'ensemble des données personnelles d'une personne est trouvée, récupérée et mise à disposition. Pour plus d'automatisation, Data Disclose recherche également les systèmes non-SAP dès qu'ils sont intégrés via des API.

MAPA:

Le premier jalon a été la préparation générale du système SAP. Avant l'installation des moyens de transport fournis, des exigences techniques minimales devaient être remplies. Au départ, notre système n'était pas entièrement préparé à l'utilisation de la Suite GDPR Compliance. Comme EPI-USE Labs s'appuie sur la technologie de surface moderne FIORI, nous en avons profité pour préparer notre base pour l'avenir et pour importer les packages de support nécessaires. Les exigences techniques générales pour la Suite GDPR Compliance sont NetWeaver 7.0 et la passerelle Fiori.

Data Disclose peut alors être activé immédiatement. Sur la base du modèle fourni, les données personnelles pertinentes ont été affinées et les bases ont été définies pour répondre aux exigences de l'article 15 du RGPD (droit d'accès) applicable au système SAP.

Au cours de la prochaine phase du projet, le droit de suppression conformément à l'article 17 du RGPD sera mis en œuvre. EPI-USE Labs offre également la solution appropriée pour la rédaction des données. Dans le cadre de la Suite GDPR Compliance pour SAP, Data Redact peut rapidement et facilement rendre illisible (Rédaction) les données sensibles ou personnelles sans supprimer les registres entiers de données. Cela signifie que les données ne peuvent plus être liées à une personne spécifique (ou à une personne concernée), mais que les rapports peuvent être créés comme d'habitude sans affecter l'intégrité référentielle des données.

Avant la mise en application de Data Redact, nous devions définir quels champs devaient être rendus anonymes en faisant face au conflit entre les politiques de conservation et économie des données. Les extensions spécifiques devaient également être prises en compte. L'effort requis en plus du modèle dépend généralement de la mesure dans laquelle la structure de données propre au système est conservée avec la structure SAP standard.

MAPA:

Le plus grand bénéfice est que l'intégrité des données est toujours garantie. Ainsi, par exemple, les commandes des clients sont toujours traçables puisque seules les données sensibles des clients sont effacées alors que toutes les commandes et les articles vendus peuvent encore être consultés. Seule la désignation du client n'est plus possible. Cela signifie que tous les systèmes de test restent entièrement fonctionnels et que les commandes de test peuvent toujours être traitées. Si des ensembles entiers de données doivent être archivés, l'intégrité des données en souffrirait.

MAPA:

Le traitement proportionné des données à caractère personnel conformément à l'article 5 du RGPD est un autre élément clé du respect du règlement sur la protection des données. Lorsque nous avons introduit Data Secure, nous avons discuté de l'utilisation de la solution Client Sync d'EPI-USE Labs pour copier sélectivement les données SAP. Il s'agit d'une tranche de temps du système de production sur les systèmes de test et de formation pour créer des données de test. Cette copie sélective du mandant remplace la copie du système et garantit le respect de l'article 5.

Nous supposons également que la législation deviendra plus stricte à l'avenir. Nous prévoyons d'utiliser la Suite GDPR Compliance dans tous les secteurs de l'entreprise. L'utilisation de la Suite ne doit pas rester une tâche centrale de l'informatique, mais être décentralisée pour permettre à chaque service de retrouver les bonnes données et de les rendre anonymes.