#Cloud #Tribune
Privacy Shield n’est pas le héros que vous attendez
A l’heure actuelle, il n’existe aucune raison de croire que le Privacy Shield permettra d’aboutir à une protection des données personnelles plus complète que celle proposée par le Safe Harbor, ni que ce bouclier de papier permettra de poser un cadre juridique de référence global capable d’encadrer les relations entre les entreprises clientes et les fournisseurs de services.
La disparition du Safe Harbor a eu des conséquences…du moins, sur le papier. Dans les faits, les entreprises utilisatrices de services hébergés aux USA n’ont vu aucune différence de traitement : les contrats cadres et les outils contactuels (Binding Corporate Rules - BCR) ont permis de limiter les impacts de ces mesures.
Au final, qui a pâti de cette décision ? Ce sont les utilisateurs particuliers qui ont perdu tout encadrement de l’utilisation de leurs données. Mais pour les entreprises ? L’impact est minime.
Cependant, l’émergence des pratiques contractuelles est un excellent signal : il permet aux clients de prendre conscience des enjeux du Cloud, surtout en matière de propriété et d’utilisation des données.
Par expérience, on a vu l’influence du cadre européen dans l’usage de services cloud : très limité quand ces derniers sont hébergés aux USA. Le cas PRISM, et le cas Safe Harbor/Privacy Shield, reflètent d’ailleurs une chose : le Cloud n’est pas magique, et se prépare comme n’importe quelle externalisation de service.
Il faut refuser le dogmatisme de “la donnée est à moi, chez moi”; la donnée VOUS appartient où qu’elle soit (et si vous le précisez dans le contrat), mais il est de votre devoir de savoir où elle est traitée, dans quelles conditions, et surtout d’en assurer la confidentialité ! Il faut donc avancer avec ses fournisseurs, et trouver les moyens de coopérer : cartographie des processus, flux de données, classification de la donnée, identification des cadres juridiques applicables, conformité à la réglementation en vigueur, organisation et traitement de la donnée etc.
Le choix d’une solution Cloud, quelle qu’elle soit, fait appel aux expertises de tous.
Les équipes métiers doivent classifier leurs données, les équipes de la DSI doivent être sollicitées en tant que garant technique de l’existant et des intégrations futures, les fonctions juridiques et achats doivent être impliquées dans le processus de choix.
Tribune d’experts par Nuagéo
