Protection des données : Quel rôle pour Cloud ?

Publié par Décideur Public - Systèmes d'Information sur 6 Janvier 2014, 19:55pm

Catégories : #Actualité

La sécurité des données est plus que jamais au cœur des préoccupations des entreprises.

Les garanties et les niveaux de services offerts par les meilleurs opérateurs du marché permettent aux entreprises et organisations d’héberger sereinement leurs données les plus sensibles dans le Cloud. Les questions de conformité avec la législation Européenne sur la protection des données restent souvent négligées, alors qu’elles constituent un risque potentiel juridique et financier majeur pour les entreprises et leurs dirigeants.Les deux angles principaux de la sécurité des données sont : leur sensibilité stratégique et leur sécurité physique. En tant qu’hébergeur, le datacenter est directement impliqué dans la sécurité de ce patrimoine informationnel.

L’usage en Europe de services Cloud contraint le responsable du traitement à se conformer à la législation européenne. Si un fournisseur SaaS est une société américaine, ou filiale d’une société américaine, il est soumis à la législation américaine sur l’accès aux données, notamment la loi « USA Patriot Act », quel que soit le lieu d’hébergement physique des données, en Europe ou ailleurs. La NSA a ainsi le droit d’exiger d’accéder aux données hébergées et le prestataire a l’interdiction d’informer ses clients sur cette requête. Cette obligation légale heurte frontalement la réglementation européenne sur la protection des données.

Afin de se protéger du risque juridique et financier, les entreprises qui font appel à des solutions Cloud de type datacenters ou SaaS doivent être attentives à plusieurs critères contractuels tels que :

Le lieu d’hébergement des données, des backups et dispositifs de PRA (Plan de Reprise d’Activité) au sein de l’Union Européenne,

La présence exclusive dans la chaîne de services Cloud de sociétés de droit Européens pouvant démontrer qu’elles ne sont pas soumises à la législation américaine,

L’encadrement explicite du droit de transfert des données à un tiers, avec obligation d’approbation préalable par le Client,

Le respect des clauses préconisées par la CNIL sur la protection des données.