Vous avez certainement dû entendre parler du RGPD, ce texte européen sur la protection des données personnelles qui va bientôt entrer en vigueur. Mais vous êtes peut être resté sur votre faim, entre les présentations anxiogènes d’où on ressort avec les idées plus embrouillées qu’en y rentrant, et, pire, les prophéties apocalyptiques de certains qui usent du marketing de la peur pour placer des packs de conformité.
Nous nous sommes dit chez O2Switch que c’était donc l’occasion de faire le point et, en conformité avec nos valeurs, de partager avec vous notre réflexion, car nous sommes profondément convaincus que ce texte est une formidable opportunité.
Pour cela nous avons demandé à Maitre Alexandre Archambault, avocat au barreau de Paris et fin connaisseur de ce sujet en particulier et du numérique en général pour avoir traité de ces problématiques au sein de Free pendant 15 ans, de nous livrer son éclairage.
Tout d’abord, le RGPD, c’est quoi et c’est pour quand ?
C’est pour très bientôt, dans un mois tout juste, le 25 mai 2018 !
Le RGPD, pour Règlement Général sur la Protection des Données, est un texte européen d’application directe. Sa valeur est supérieure à celui d’une directive qui nécessite une transposition par une loi nationale (avec tous les aléas associés, en termes de délais de transposition et de « personnalisation », compliquant en pratique toute approche commune sur l’ensemble des pays de l’Union). Publié en 2016, c’est donc un texte qui s’applique d’autorité dans l’ensemble des pays de l’Union européenne à l’issue d’un certain délai, ici le 25 mai 2018.
Quel est l’objectif du RGPD ?
C’est vrai qu’en France, pays précurseur en matière de protection des données personnelles avec la loi Informatique & Libertés qui vient de fêter ses 40 ans, on pourrait se poser la question de l’utilité d’un énième texte venant se superposer aux textes déjà existants. Et pourtant, l’apport du RGPD nous allons le voir est essentiel à plus d’un titre.
Plus qu’un texte d’harmonisation comme peut l’être une directive – avec à la clé des divergences d’interprétation entre les états membres -, le RGPD est avant tout un texte d’uniformisation des règles et des pratiques à l’échelle européenne, s’efforçant de tenir compte des tenant compte des récentes évolutions technologiques (Cloud, BigData, Objets Connectés, Algorithmes et Intelligence Artificielle) : enfin un cadre commun à l’ensemble des acteurs intervenant sur le marché Européen.
Une autre caractéristique fondamentale du RGDP est qu’il s’agit malgré les apparences d’un texte profondément libéral, qui mise sur la confiance et le développement de bonnes pratiques à l’échelle du territoire européen : terminé le temps où il fallait autant d’interlocuteurs qu’il y avait de CNIL dans chaque pays européen, désormais comme pour l’audiovisuel, le pays d’établissement sera référent pour l’ensemble des états membre. Par ailleurs, le texte vise une meilleure responsabilisation de l’ensemble des maillons de la chaine, ce qui passe par une documentation à jour des procédures, flux, accès, et typologie de données collectées, traitées et stockées. Au final tout le monde va gagner en efficacité en disposant d’une meilleure visibilité, car trop souvent tout cela repose encore sur des développements empiriques et peu documentés.
C’est par ailleurs une profonde erreur de limiter le RGPD à son seul volet répressif, qui peut en effet impressionner (pour une entreprise les sanctions peuvent s’élever à 4% du chiffre d’affaire mondial, ce qui peut trancher avec les sanctions d’avant le RGPD qui pouvait plafonner à quelques dizaines de secondes de chiffre d’affaire des géants mondiaux de l’Internet, les GAFAM).
Il faut avoir à l’esprit que ce qui sera sanctionné avant tout, ce n’est pas tant la fuite de données (les auteurs de ce texte sont parfaitement conscients que le risque 0 en la matière n’existe pas) que le manque d’organisation et la mauvaise collaboration avec les autorités de contrôle. C’est l’esprit même de ce texte, œuvrer pour une montée en compétence générale sur tous les maillons de la chaîne, car la privacy est une attente forte des consommateurs, et autant prendre de l’avance sur ce sujet pour se démarquer de compétiteurs issus de pays peu enclins à la protection des données personnelles. Au final, une formidable opportunité de développement !
Qui est concerné par le RGPD ?
Tout acteur (qu’il soit privé comme public, entreprise comme association) mettant directement (responsable de traitement) ou indirectement (sous-traitant) un traitement de données visant des résidents de l’Union européenne.
Très important, le critère retenu par le RGPD est la cible du traitement : alors que le précédent cadre retenait la nationalité ou le lieu d’établissement d’un responsable de traitement, le RGPD inverse totalement le dispositif. Dès lors qu’un traitement de données cible un ressortissant Européen, le RGPD s’applique, peu importe que le responsable de traitement soit établi dans l’Union ou non. C’est une avancée majeure, notamment pour garantir de meilleures règles de concurrence entre acteurs, certains pouvant préférer s’établir dans des pays moins regardant en matière de protection des données pour mieux s’affranchir des règles. Tout cela est désormais terminé !
Les principes du RGPD
On l’a vu, loin d’être un texte purement répressif, le RGPD est un dispositif participant d’une montée en compétence généralisée sur la protection des données personnelles, un sujet qui constitue une forte attente de la part des citoyens et consommateurs Européens.
Terminé le temps où un responsable de traitement pouvait se défausser sur son sous-traitant pour tenter d’échapper à ses responsabilités : avancée notable du RGPD, le responsable de traitement ainsi que son (ou ses) sous-traitant(s) sont coresponsables et doivent, à ce titre, entretenir une collaboration de bonne foi. Le responsable de traitement doit clairement exposer les finalités du traitement ainsi que les consignes associées à son sous-traitant, qui de son côté est tenu à une obligation de conseil envers le responsable de traitement.
Lorsque le traitement atteint une certaine taille (le RGPD parle de grande échelle), ou lorsque les données y figurant sont sensibles, le responsable de traitement devra nommer un Délégué à la protection des données (le fameux DPO), qui peut être aussi bien un salarié (à condition de lui attribuer les moyens de sa mission) qu’un conseil extérieur.
Concernant les traitements, le RGPD pose six grands principes à suivre lors de la collecte, du traitement et du stockage des données personnelles. Le responsable du traitement des données est chargé de faire respecter ces principes et doit pouvoir démontrer les pratiques de conformité, aussi bien en interne que par son sous-traitant.
1. Légitimité, loyauté et transparence
Le premier principe est relativement évident : on doit s’assurer que les pratiques de collecte des données ne violent pas la loi, qu’elles sont présentées de façon loyale en amont aux personnes concernées : terminé le temps des cases pré-cochées, ou des renvois sybillins !
Concrètement, vous devez indiquer le type de données collectées, la raison pour laquelle vous les sollicitez ainsi que la durée de conservation.
2. Limitation du traitement
Les entreprises ne doivent collecter des données personnelles qu’à des fins spécifiques, indiquer clairement leur objectif et ne conserver les données que pour une durée nécessaire afin d’atteindre cet objectif. De même, à tout moment la personne dont vous collectez et traitez les données doit être en mesure de s’y opposer, dans des conditions aussi faciles que la collecte, charge ensuite au responsable de traitement de répercuter l’information auprès de l’ensemble de la chaine. Il s’agit ici d’une consécration du droit à l’oubli reconnu par la jurisprudence européenne puis nationale. Par ailleurs, le RGPD vient instaurer une obligation de portabilité des données, ce qui va constituer une formidable opportunité pour fluidifier le marché !
Si vous êtes une personne publique, vous pouvez bénéficier de certaines dérogations, notamment pour les traitements réalisés à des fins d’archivage dans l’intérêt public ou à des fins scientifiques, historiques ou statistiques.
3. Minimisation des données
C’est ce qu’on appelle le « privacy by design ». On ne doit collecter, traiter et stocker les données uniquement nécessaires pour atteindre l’objectif initial. Cela présente deux avantages majeurs. Tout d’abord, en cas de violation de données, la personne non-autorisée n’aura accès qu’à une quantité limitée de données. Deuxièmement, la minimisation des données permet de conserver des données plus facilement exactes et à jour.
4. Exactitude
L’exactitude des données personnelles fait partie intégrante de la protection des données. Au delà d’une contrainte, c’est une formidable opportunité dans la mesure où la donnée est désormais un actif majeur, qui s’entretient et se protège. Le RGPD rappelle que « toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder. »
Concrètement, cela implique de proposer aux personnes dont vous sollicitez les données un droit d’accès similaire à celui qui était déjà en vigueur avec la Loi Informatique et Libertés. Le RGPD vient rappeler ici que ce droit d’accès et de rectification doit s’exerce aussi simplement que pour la collecte.
5. Limitation de la durée stockage
Avec le RGPD, un responsable de traitement doit supprimer les données personnelles lorsqu’elles ne sont plus nécessaires au traitement.
C’est peut être le point le plus délicat, car il peut y avoir conflit entre plusieurs normes. C’est ainsi qu’en matière comptable ou fiscale, la durée de conservation peut être plus longue qu’en matière commerciale : le fisc peut en effet vous demander des information sur une personne qui n’est plus client chez vous depuis plusieurs années.
Il ne faudra pas hésiter à consulter des spécialistes, ce qui ne pourra qu’établir votre bonne foi en cas de contrôle, établissant que vous aviez identifié le sujet et engagé une réflexion approfondie.
6. Intégrité et confidentialité
L’actualité de ces derniers mois a permis de mettre en évidence que la plupart des fuites de données résultent avant tout d’un manque de organisation en termes de procédures et de règles de sécurité régissant la collecte, le traitement ainsi que le stockage des données personnelles. La SSI étant un corollaire indispensable à la protection des données personnelles, le RGPD s’appuie logiquement sur un principe de sécurité.
Le RGPD indique que les données à caractère personnel doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées. »
Le RGPD est délibérément générique quant aux mesures que les responsables de traitement et sous-traitants devraient prendre, car les meilleures pratiques technologiques et organisationnelles évoluent constamment.
Mais la base reste de chiffrer les échanges et stockages de données personnelles, qui doivent être pseudonymisées dès que possible.
Votre sous-traitant sera toujours de bon conseil sur ce sujet, n’hésitez pas à le solliciter.
Quelles sont les sanctions ?
C’est la partie du RGPD que les médias ont un peu trop facilement mise en avant, en insistant sur les conséquences en cas de non application qui peuvent être importantes pour les responsables de traitement qui risquent des sanctions financières allant jusqu’à 4 % de leur chiffre d’affaires mondial annuel ou 20 millions d’euros, le montant le plus élevé étant retenu dans le cadre d’une entreprise.
Mais cela serait très réducteur de ne retenir que ce seul critère. En effet l’esprit du volet répressif du RGPD est de mettre en avant une certaine graduation dans les sanctions (y compris financières), à des fins plus incitatives que répressives, avec toute une palette de mesures allant du contrôle à la sanction pour non respect d’une mise en demeure, en passant par la recommandation publique, l’injonction. De même il est tenu compte de la bonne foi du responsable de traitement : une organisation irréprochable, des procédures documentées et actualisées, une collaboration avec les autorités de contrôle seront autant d’éléments qui influeront dans leur appréciation des responsabilités lors d’une fuite de données.
De plus, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du RGPD a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. La médiatisation de tels manquements constituerait une atteinte à l’image des entreprises et il n’est pas certain que ces dernières soient prête à prendre ce risque, sans compter la perte de confiance et donc d’opportunités qui en découlerait, comme vient de nous le démontrer encore récemment l’actualité concernant un célèbre réseau social.
Et O2Switch dans tout cela ?
Nous avons lancé un chantier sur ce sujet sans attendre le 25 mai. Nos conditions générales vont rapidement convenir une clause « RGPD ». Nous serons très probablement amenés à refondre dans un proche avenir nos conditions générales, peut être en les complétant par des conditions spécifiques qui traduiront au mieux ces aspirations légitimes.
Nous ambitionnons plus que jamais de nous positionner comme un véritable partenaire, sur la durée, en vous accompagnant avec lucidité sur ces sujets. C’est ainsi que O2Switch compte bien évidemment solliciter la procédure de certification, lorsque celle-ci sera pleinement effective, ce qui n’est pas encore le cas (donc méfiance face à des prestataires qui mettraient un peu trop en avant une certification RGPD… qui pour l’instant n’existe pas !).
Et la concurrence ?
Le RGPD est un texte qui vient corriger une profonde situation de distorsion de concurrence, entre des acteurs établis sur le territoire national, astreints à toute une série de règles contraignantes en matière de protection des données personnelles et de sécurité informatique, et des acteurs de l’hébergement établis en dehors de l’Union Européenne et qui se retranchaient derrière leur statut extra-européen pour s’affranchir de ces règles essentielles et proposer des conditions commerciales proches du dumping fiscal, social et privacy.
Désormais ce sont les mêmes règles du jeu, les mêmes obligations pour tout le monde : cibler des clients Européens est une formidable opportunité. Elle implique donc de grandes responsabilités, et en premier lieu mettre en place de véritables procédures permettant de respecter les standards européens en matière de fiscalité et de protection des données personnelles.
Même établis en dehors de l’Union Européenne, ces acteurs devront être en mesure de prouver qu’il respectent non seulement sur le papier mais par leur pratiques avec leurs clients et les tiers les standards européens. L’actualité de ces dernières semaines nous montre au contraire qu’il y a de sérieuses raisons de douter de leur volonté à implémenter au plus vite ces règles.
Pour autant, un acteur de droit américain ou canadien, pour ne citer que ces exemples courants, restera également contraint par les lois de son pays, qui autorisent l’accès des autorités aux données hébergées en dehors du territoire national dès lors qu’elles font l’objet de traitements mis en œuvre sous l’autorité de centres de décisions relevant de la compétence de ces pays. C’est le cas du Cloud Act (Cloud pour Clarifying Lawful Overseas Use of Data), un texte récemment promulgué aux Etats-Unis. Ce texte donne la possibilité aux Etats-Unis d’accéder aux données dès lors qu’elles sont hébergées par des prestataires d’hébergement américains, sans que les utilisateurs en soient informés, quand bien même ces données seraient stockées en France, en Europe ou concerneraient un ressortissant européen, et ce sans passer par les tribunaux.
Sur ces cas, le RGPD risque de rentrer en conflit avec les lois des pays concernés, ce qui peut faire peser un risque sur la confidentialité des données confiées à ces acteurs, dont on relèvera qu’ils n’ont pas manqué de contester devant les juridictions compétentes la capacité des autorités US à exiger la communication de données hébergées en dehors du territoire américain.
Choisir un acteur de l’hébergement, tel qu’O2Switch, établi de longue date en France et déjà rôdé à ces impératifs légitimes vous apporte de véritables garanties que les données hébergées resteront sous la juridiction des autorités françaises et européennes.
Et c’est justement le choix opéré depuis son origine par O2Switch qui :
– est une structure française, à taille humaine, dont l’actionnariat stable est composé d’entrepreneurs passionnés parce que natifs du numérique,
maitrise son infrastructure, tant physique que logique :
- en opérant directement son propre datacenter situé en Auvergne (et pour lequel on vous prépare de belles surprises pour les prochains mois), dans lequel nos propres équipes peuvent intervenir H24 7J/7,
- en étant son propre opérateur (déclaré auprès de l’ARCEP, l’Autorité de Régulation des Communications Electroniques et des Postes) Internet, disposant de son propre AS (AS50474) permettant de négocier directement ses interconnexions avec les opérateurs de transit et opérateurs d’abonnés,
- en ayant la main sur les développements logiciels des éléments critiques : gestion du bâtiment et de ses ressources critiques, supervision, OS et briques logicielles des serveurs et routeurs,
– privilégie le recours à des briques logicielles « Open Source » que nous intégrons nous-mêmes avec une équipe de développeurs compétents et passionnés : pas de sous-traitance auprès de prestataires s’appuyant sur des acteurs établis dans des pays à bas coûts ou peu sensibilisés aux problématiques de sécurité informatique, la garantie de voir appliqués les correctifs de sécurité dans les meilleurs délais,
– réinvestit une part conséquente de son chiffre d’affaires dans la formation de ses équipes ainsi que la recherche & développement,
– est transparent et réactif avec ses clients !
Au final, tout simplement parce que c’est l’esprit même du RGPD, et d’une manière générale de la sécurité informatique : le risque 0 n’existera jamais ! Plutôt que de courir après le mirage d’une société sans risque, il vaut mieux privilégier la mise en place d’organisation souples et procédures réactives permettant de minimiser l’impact d’incident (par exemple par le privacy by design et la tempérance en matière de collecte de données), de favoriser des interventions rapides pour corriger les brèches, en tirer tous les enseignements pour améliorer ses procédure et gagner en résilience.
Nous espérons que ces quelques éléments auront répondu à vos interrogations. Nous serons ravis de pouvoir échanger avec vous !
Pour aller plus loin :
Le texte officiel du RGPD
http://www.eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679
Comme souvent, le site NextInpact a réalisé un très bon travail d’explication du RGPD article par article.
https://www.nextinpact.com/news/106135-le-rgpd-explique-ligne-par-ligne-articles-1-a-23.htm
La CNIL a mis en place un espace d’information très complet et didactique, avec tout un ensemble de ressources pouvant vous aider (logiciel d’aide à la réalisation d’une étude d’impact, modèle de clauses de sous-traitance, registres, de formulaires de notification de violation de données…)
https://www.cnil.fr/fr/comprendre-le-reglement-europeen
https://www.cnil.fr/fr/nouveautes-sur-le-pia-guides-outil-piaf-etude-de-cas
https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
L’article Parlons RGPD ! est apparu en premier sur o2switch - Blog.
Connexion
