Les enjeux du cloud computing pour la protection des données
Le recours aux services cloud (IaaS, PaaS, SaaS) implique nécessairement un transfert de données personnelles vers un prestataire tiers qui en assure le stockage et parfois le traitement. Le fournisseur cloud agit généralement en qualité de sous-traitant au sens du RGPD, ce qui impose de formaliser la relation contractuelle et de vérifier les garanties offertes.
Le choix d’un hébergeur cloud ne peut pas se faire uniquement sur des critères techniques et financiers. La conformité au RGPD, la localisation des données, les certifications de sécurité et les mécanismes de transfert international doivent figurer parmi les critères de sélection.
Les critères de sélection d’un hébergeur conforme
La localisation des centres de données est un critère essentiel. Un hébergement au sein de l’EEE offre les meilleures garanties de conformité. Lorsque l’hébergeur dispose de centres de données dans des pays tiers, il convient de vérifier les mécanismes de transfert mis en place (décision d’adéquation, clauses contractuelles types, règles d’entreprise contraignantes).
Les certifications et codes de conduite apportent des garanties supplémentaires. La certification ISO 27001 atteste de la mise en oeuvre d’un système de management de la sécurité de l’information. La certification HDS (Hébergeur de Données de Santé) est obligatoire pour l’hébergement de données de santé. Le code de conduite CISPE (Cloud Infrastructure Services Providers in Europe) offre des garanties spécifiques de conformité au RGPD.
La transparence du prestataire sur ses pratiques est un indicateur important. Le prestataire doit être en mesure de fournir des informations détaillées sur les mesures de sécurité mises en oeuvre, les sous-traitants ultérieurs auxquels il fait appel, les lieux de traitement des données et les procédures de notification des incidents.
Le contrat cloud et les exigences du RGPD
Le contrat de services cloud doit contenir les clauses prévues à l’article 28 du RGPD pour les contrats de sous-traitance. Il doit préciser l’objet et la durée du traitement, les types de données traitées, les obligations et droits du responsable de traitement, et les mesures de sécurité mises en oeuvre.
Les conditions de réversibilité des données méritent une attention particulière. Le contrat doit garantir la restitution des données dans un format exploitable à la fin de la prestation, ainsi que leur suppression effective des systèmes de l’hébergeur. Les délais de restitution et les formats de données disponibles doivent être clairement définis.
La souveraineté numérique et le cloud de confiance
La question de la souveraineté des données est devenue un enjeu stratégique, en particulier pour les organismes publics et les opérateurs d’importance vitale. Les législations extraterritoriales de certains pays, notamment le Cloud Act américain, peuvent contraindre un hébergeur à fournir les données de ses clients aux autorités de son pays d’origine.
Le label « Cloud de confiance » lancé par l’ANSSI vise à garantir un niveau de protection élevé contre les législations extraterritoriales. Ce label impose que les données soient hébergées en Europe par une entité de droit européen, sans lien capitalistique avec une entreprise soumise à une législation extraterritoriale. Plusieurs offres certifiées sont désormais disponibles sur le marché français.
