Le RGPD en bref, pour qui utilise le cloud

Module 1: Pourquoi un cloud européen ? · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous saurez nommer les rôles et obligations du RGPD qui entrent en jeu lorsque vous utilisez un service cloud, et expliquer pourquoi vous restez responsable, même lorsque les données se trouvent chez un tiers.

Notions clés : RGPD (GDPR), données à caractère personnel, traitement, responsable du traitement, sous-traitant, sous-traitant ultérieur, principes (art. 5), obligation de responsabilité, contrat de sous-traitance (art. 28), sécurité (art. 32), transfert (chapitre V), la CNIL, amendes (art. 83)

Pourquoi le RGPD concerne soudainement ce sujet

Le RGPD (Règlement général sur la protection des données, en anglais GDPR) est un règlement européen : le règlement (UE) 2016/679. Il s'applique directement depuis le 25 mai 2018 dans tous les pays de l'UE. En France, c'est la CNIL (Commission nationale de l'informatique et des libertés) qui exerce ce contrôle ; chaque pays de l'UE dispose de sa propre autorité de contrôle.

Vous pensez peut-être que le RGPD concerne uniquement les grandes entreprises avec des bases de données clients. Mais Bakkerij De Korrel (une boulangerie néerlandaise) y est elle aussi soumise. Sa boîte mail contient des commandes avec des noms, adresses et numéros de téléphone. Ses dossiers en ligne contiennent des plannings, des fiches de paie et une copie d'une pièce d'identité d'un nouvel employé. Son agenda contient les noms de clients associés à des rendez-vous de livraison. Tout cela constitue des données à caractère personnel : toute information concernant une personne physique identifiée ou identifiable (art. 4 point 1). Et les stocker, les envoyer par e-mail, les partager et les supprimer, tout cela constitue un traitement (art. 4 point 2).

Une exception : ce que vous faites à titre purement privé, comme vos propres photos de famille, échappe au RGPD (l'« exception domestique », art. 2 § 2 point c). Dès qu'il s'agit de votre travail, de votre entreprise ou de votre association, le RGPD s'applique.

Ceci est une explication, pas un conseil juridique.

Trois rôles : qui est qui ?

L'idée la plus importante : la responsabilité ne se déplace pas avec les données. La boulangerie reste responsable du traitement, même si les données se trouvent chez un service cloud. Si le service cloud fait une promesse et que quelque chose tourne mal, la boulangerie doit toujours pouvoir démontrer qu'elle a fait un choix raisonnable et a fixé de bons accords. C'est ce qu'on appelle l'obligation de responsabilité (art. 5 § 2 et art. 24).

Attention : un service cloud n'est pas toujours uniquement sous-traitant. Si le prestataire utilise aussi vos données à ses propres fins, comme le développement de produits, la publicité ou l'entraînement de ses propres systèmes, il devient lui-même responsable du traitement pour cette partie-là. C'est un des points à vérifier dans les conditions générales et le contrat de sous-traitance (leçon 9.2).

Les principes qui entrent en jeu pour le cloud

L'article 5 énonce les principes auxquels tout traitement doit se conformer. Pour le choix d'un service cloud, voici les plus importants :

• Limitation des finalités : vous n'utilisez les données que pour la finalité pour laquelle vous les avez obtenues. Un service qui utilise les données de vos clients à ses propres fins entre en conflit avec ce principe.
• Minimisation des données : ne pas conserver plus que nécessaire. Un changement de prestataire est un bon moment pour faire le tri (leçon 3.2).
• Limitation de la conservation : ne pas conserver plus longtemps que nécessaire. Pensez aux anciennes lettres de candidature dans une boîte mail.
• Intégrité et confidentialité : une sécurité appropriée contre la perte, le vol et les accès non autorisés. Ceci est détaillé à l'article 32 : vous prenez des mesures adaptées au risque, comme le chiffrement, la gestion des accès, la récupération après un incident et des tests réguliers.

Quatre obligations que vous rencontrez lors d'un changement

1. Choisir un sous-traitant qui présente des garanties suffisantes (art. 28 § 1). Vous devez donc vérifier comment le prestataire sécurise les données et où il les traite. C'est l'objet du module 2.
2. Conclure un contrat de sous-traitance (art. 28 § 3). Celui-ci doit traiter des sujets obligatoires : ce qui est traité, les instructions, la confidentialité, la sécurité, les sous-traitants ultérieurs, l'aide en cas de violation de données, et ce qui advient des données en cas de résiliation. Nous traitons ce sujet dans la leçon 9.2.
3. Tenir un registre des activités de traitement (art. 30). Une liste de vos traitements : quelles données, pourquoi, avec qui elles sont partagées, combien de temps elles sont conservées. Après un changement, vous mettez à jour les destinataires et le lieu de stockage (leçon 9.3).
4. Respecter les règles de transfert hors de l'EEE (chapitre V, art. 44 à 49). Si des données partent vers un pays situé en dehors de l'Espace économique européen, cela n'est possible que si ce pays offre un niveau de protection adéquat (une décision d'adéquation, art. 45) ou moyennant des garanties supplémentaires comme les clauses contractuelles types (CCT) (art. 46). C'est le sujet de la leçon 1.4.

Que se passe-t-il en cas de problème ?

En cas de violation de données (par exemple un compte piraté contenant des données de clients), le responsable doit la signaler dans les 72 heures à l'autorité de contrôle, sauf si elle n'est probablement pas susceptible d'engendrer un risque (art. 33). Le sous-traitant doit informer le responsable « dans les meilleurs délais » (art. 33 § 2). C'est pourquoi un bon contrat de sous-traitance précise avec quelle rapidité le prestataire vous avertit.

L'autorité de contrôle peut infliger des amendes. Le montant maximal pour les infractions les plus graves est de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 83 § 5). Pour les petites organisations, l'amende est rarement le risque le plus important. Le vrai risque, c'est le préjudice causé aux clients et aux employés, ainsi que la confiance que vous perdez.

Pourquoi cela concerne le choix de votre cloud

Le RGPD n'interdit pas l'utilisation de services cloud américains. Vous devez toutefois pouvoir expliquer en quoi votre choix est raisonnable : quelles données, quels risques, quels accords. Plus les données sont sensibles (santé, enfants, finances, dossiers du personnel), plus cette évaluation doit être poussée. Pour une boulangerie, la situation est simple ; pour un cabinet de kinésithérapie ou une école, elle pèse beaucoup plus lourd. Un service établi dans l'EEE, qui traite les données dans l'EEE et qui n'a pas de sous-traitants ultérieurs en dehors de l'EEE, simplifie considérablement cette évaluation, puisque les règles de transfert ne s'appliquent alors plus.

En pratique : à quoi cela ressemble chez un prestataire

Un prestataire utilisé à des fins professionnelles doit disposer d'un contrat de sous-traitance et d'une liste de sous-traitants ultérieurs. Chez WebOké, la foire aux questions du guide Nextcloud précise que vous concluez un contrat de sous-traitance si vous utilisez Nextcloud à des fins professionnelles et que vous y stockez des données à caractère personnel de tiers. Chez d'autres prestataires, vous trouverez généralement cette information sous « Contrat de sous-traitance », « Data Processing Agreement (DPA) » ou dans les documents juridiques en bas du site.

Résumé

• Même une petite organisation traite des données à caractère personnel dans ses e-mails, son agenda et ses fichiers, et relève donc du RGPD.
• Vous êtes responsable du traitement ; le service cloud est sous-traitant ; ses fournisseurs sont des sous-traitants ultérieurs.
• La responsabilité ne se déplace pas avec les données : vous devez choisir un sous-traitant présentant des garanties suffisantes et pouvoir l'expliquer.
• Articles importants : 5 (principes), 28 (sous-traitant et contrat de sous-traitance), 30 (registre), 32 (sécurité), 33 (violation de données sous 72 heures), 44 à 49 (transfert).
• Des données qui restent dans l'EEE simplifient l'évaluation, puisque les règles de transfert ne s'appliquent alors pas.

Quiz

Exercice

Exercice E1.2 : Vos rôles et vos données. Établissez une courte liste des données à caractère personnel que votre organisation conserve dans le cloud (e-mails, agenda, fichiers, messagerie instantanée). Indiquez pour chaque type qui est responsable du traitement, qui est sous-traitant, et s'il s'agit de données sensibles.

Pour aller plus loin

Les étapes décrites dans ces articles s'appliquent aux services de WebOké ; chez d'autres prestataires, la démarche est comparable.

• Guide Nextcloud 15.13: Questions fréquentes sur la sécurité et la confidentialité
• Guide Nextcloud 3.1: Comment WebOké sécurise-t-il votre Nextcloud ?
• Règlement (UE) 2016/679 (RGPD), articles 4, 5, 24, 28, 30, 32, 33, 44 à 49 et 83, sur EUR-Lex
• La CNIL, rubriques « Contrat de sous-traitance » et « Notifier une violation de données » : https://www.autoriteitpersoonsgegevens.nl