RGPD et Cloud Computing : comment qualifier les responsabilités entre client et fournisseur cloud ?
DPO Consulting Rejoint Grant Thornton
Avec la généralisation des services d'informatique en nuage (Cloud Computing), qu’il s’agisse de SaaS, de PaaS ou de IaaS, l'externalisation des systèmes d'information est devenue la norme. Cependant, cette agilité technologique s'accompagne de défis juridiques majeurs. Sous l'égide du Règlement Général sur la Protection des Données (RGPD), chaque flux de données personnelles doit être cartographié et encadré. Or, identifier précisément qui fait quoi et qui est responsable de quoi s'avère souvent être un véritable casse-tête. Si la répartition des rôles semble simple en théorie, la pratique, notamment lors de prestations cloud complexes, révèle une frontière très poreuse entre les acteurs.
Pour bien comprendre les responsabilités en jeu, il est indispensable de revenir sur les trois formes de responsabilités :
Le responsable de traitement : Il s'agit de la personne physique ou morale (entreprise, autorité publique, organisme) qui, seule ou conjointement avec d'autres, détermine les finalités (le "pourquoi") et les moyens (le "comment") d’un traitement de données à caractère personnel. C'est le décideur principal. Deux acteurs peuvent être considérés comme responsables de traitements distincts sur un même traitement, lorsqu’ils déterminent chacun pour leur compte les finalités et modalités de traitement.
Le sous-traitant : Le sous-traitant traite des données pour le compte du responsable de traitement, en suivant strictement ses instructions contractuelles documentées. Il a des obligations propres, notamment en matière de sécurité, et doit assister le responsable (par exemple, lors d'une notification de violation de données).
La co-responsabilité (responsables conjoints) : On parle de responsables conjoints lorsque deux ou plusieurs entités déterminent ensemble les finalités et les moyens d’un même traitement. Ils doivent définir leurs obligations respectives de manière transparente envers les personnes concernées (souvent via un accord de co-responsabilité interne). Chacun reste garant du respect du RGPD pour les aspects qui lui incombent.
Cette qualification est-elle essentielle, tout d'abord, parce que le responsable de traitement est garant de la conformité de son prestataire. Il doit mettre en place des mesures d’évaluation de contrôle de la conformité de son prestataire.
La nature de la relation doit obligatoirement être précisée et encadrée par un contrat (Article 28 du RGPD).
Or, une mauvaise qualification entraîne un risque de partage flou des responsabilités, notamment pour la gestion des demandes de droits (accès, effacement, etc.), l'information des individus ou la sécurité des données.
Pour faire le bon choix, plusieurs questions clés doivent être posées avant la signature du contrat :
Dans le cadre d’utilisation de solutions cloud, le client est généralement considéré comme responsable de traitement, et le fournisseur cloud (hébergement, maintenance, support) comme son sous-traitant, n'agissant que sur instruction du premier.
Cependant, selon l'évolution du service, les finalités poursuivies, cette répartition varie.
La réutilisation des données par le fournisseur pour améliorer son propre logiciel cloud peut relever de trois qualifications distinctes :
L’amélioration profite uniquement à un client précis, qui a demandé cette amélioration. Le client détermine le but, les moyens essentiels, et donne des instructions explicites au fournisseur. Les données utilisées ne proviennent que de ce client.
Le traitement visant à améliorer le service présente un intérêt commun. Le client et le fournisseur définissent conjointement les objectifs et les caractéristiques de cette amélioration.
L’amélioration est faite à l’initiative exclusive du fournisseur pour ses propres besoins (et ceux de tous ses futurs clients). Le client initial ignore les détails, ne donne aucune instruction technique, et le fournisseur détermine seul comment analyser, agréger ou anonymiser les données provenant d'une multitude de clients.
La gestion des mesures de sécurité cloud peut également impliquer différents niveaux de responsabilité du fournisseur :
Le fournisseur n'est qu'un simple prestataire (sous-traitant) : Concernant le simple stockage et l'usage fait des données logées dans le cloud par le client, le fournisseur n'interfère pas et n'est pas qualifié de responsable.
La co-responsabilité : Elle peut être qualifiée lorsque le client transmet des instructions de sécurité très spécifiques au fournisseur. Le traitement technique qui en découle vise alors à protéger à la fois les systèmes d'information propres au client et l’infrastructure globale IaaS du fournisseur. Le client a ici une influence directe sur les moyens déployés.
Le fournisseur comme responsable de traitement distinct : De manière générale, lorsque la sécurité "globale" profite à l'ensemble du nuage et de ses locataires, le fournisseur agit pour son propre compte. C'est lui qui dispose des compétences techniques, qui a accès aux logs de bas niveau, et qui définit seul la "finalité de sécurité" sans instruction de son client.
Il n'existe pas de modèle unique pour qualifier la relation entre un client et son fournisseur de services Cloud au regard du RGPD. Si la relation de sous-traitance prévaut pour la prestation principale, des traitements annexes (comme l'amélioration de la solution ou la sécurité globale de l'infrastructure) peuvent transformer le prestataire en responsable de traitement autonome, ou faire basculer les parties dans la co-responsabilité.
Cette complexité impose aux directions juridiques et SI d'adopter une vigilance accrue : la qualification des acteurs ne peut être une clause générique insérée en fin de document, mais le fruit d'une analyse rigoureuse des finalités réelles de chaque traitement de données.
Vous souhaitez sécuriser vos contrats cloud, qualifier correctement les rôles RGPD de vos prestataires ou auditer vos transferts de données ?
Les experts de DPO Consulting vous accompagnent dans vos projets cloud, la conformité RGPD de vos fournisseurs et la gestion des risques liés à l'externalisation des traitements.
👉 Découvrez nos services : https://www.dpo-consulting.com/fr-fr/dpo-externalise
.svg)
