Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2017 - n°423 - 137

doctrine

Données personnelles

Impacts du RGDP
sur le nuage informatique
Avec les nouvelles exigences pour les entreprises et les
nouveaux droits concédés aux personnes, il est certain
que le règlement relatif à la protection des personnes
physiques à l'égard du traitement des données à
caractère personnel et à la libre circulation de ces
données, et abrogeant la directive 95/46/CE (RGDP) aura
un impact significatif sur les fournisseurs de services
de cloud computing (les FCC), dont l'activité implique
des traitements de données personnelles. Le règlement
entre en vigueur d'ici quinze mois, il devient donc
urgent pour les FCC de prendre la mesure de l'impact du
RGDP sur leurs activités.

A

titre
liminaire,
notons
que le RGDP s'applique
uniquement aux données à
caractère personnel, et non
pas aux données des clients des FCC,
autres que les données à caractère
personnel. Cela paraît évident, mais ce
n'est pas neutre en termes d'obligations
pour les FCC, ni pour les clients de ces
derniers qui tentent de faire bénéficier du régime protection des données
personnelles à l'ensemble des données.
Pour autant, les données personnelles
ne se limitent pas non plus aux noms
et éléments personnels, voire sensibles
des individus. Il s'agit des données qui
identifient ou permettent l'identification
des individus, et ce aussi bien directement qu'indirectement1.

Citons à titre d'exemple un nom, une
photo, une empreinte, une adresse
postale, une adresse mail, un numéro
de téléphone, un numéro de sécurité sociale, un matricule interne, une
adresse IP, un identifiant de connexion
informatique, un enregistrement vocal,
etc. Peu importe que ces informations
soient confidentielles ou publiques.

Pour que ces données ne soient plus
considérées comme personnelles, elles
doivent être rendues anonymes de
manière irréversible car s'il est possible
par recoupement de plusieurs informations (âge, sexe, ville, diplôme, etc.) ou
par l'utilisation de moyens techniques
divers, d'identifier une personne, les
données sont toujours considérées
comme personnelles.
C'est une définition qui a peu
évolué depuis la directive 95/46/EC
qui demeure en vigueur jusqu'au
24 mai 2018 prochain (la « Directive »).
Pour autant, c'est une définition qui
nourrit un contentieux fourni. A titre
d'exemple, le Conseil d'Etat a encore
confirmé en novembre dernier le
caractère personnel de la donnée
relative aux adresses IP2, ou encore
très récemment, le Conseil d'Etat s'est
opposé au traçage des données des
téléphones portables par les panneaux
publicitaires de JC Decaux3.
Voyons à présent dans les grandes
lignes ce que le RGDP réserve aux
FCC.

EXPERTISES AVRIL 2017

LA FIN DE LA GRANDE
PARTIE DE CACHE-CACHE
Sous l'ère de la Directive, le droit de la
protection des données a essentiellement concerné les responsables de traitements, c'est-à-dire les organismes qui
déterminent les finalités et les modalités
de traitement de données personnelles.
En matière de nuage informatique, les
responsables du traitement sont les
clients et non pas les fournisseurs de
prestations informatiques.
Jusqu'à présent, l'article 17 de la
Directive s'est borné à imposer au
responsable du traitement de nommer
un sous-traitant présentant les mêmes
garanties de conformité aux lois nationales transposées sur la base de la
Directive que celles qui s'appliquent au
responsable du traitement.
Pour ce faire, un engagement écrit
précisant que le sous-traitant devait
agir uniquement sur instruction écrite
du responsable du traitement et qu'il
s'engageait à assurer la sécurité des
données à caractère personnel était
suffisant.

137
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2017 - n°423
