Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2017 - n°423 - 140

doctrine
Cela signifie que les contrats de cloud
computing doivent préciser les obligations des sous-traitants, et notamment :
■ une liste des mesures techniques
et organisationnelles ;
■ une obligation imposée sur
les sous-traitants de traiter des
données à caractère personnel
uniquement sur instruction écrite,
y compris en cas de transfert de
données à caractère personnel en
dehors de l'Union européenne,
■ une obligation de confidentialité
doit peser sur les sous-traitants ;
■ une obligation de coopération
avec le responsable du traitement
afin de répondre aux demandes
des individus pour accéder à
leurs données, savoir où elles sont
logées et dans quel objectif, pour
les faire rectifier, supprimer, s'opposer à un tel traitement ou encore
en exiger la portabilité ;
■ au terme du contrat, prévoir une
obligation de rendre ou de supprimer les données, au choix du
responsable du traitement ;
■ imposer une obligation de notification des failles de sécurité et d'établissement d'études d'impact ;
■ imposer une obligation de coopération dans le cadre d'audits, y
compris d'audits initiés par le
responsable de traitement ;
prévoir la possibilité de sous-traiter avec le seul accord préalable du
responsable de traitement.

IMPACT SUR LA
CONTRACTUALISATION DU
NUAGE INFORMATIQUE
Les traitements réalisés par les FCC
se doivent d'être soumis à un contrat
établissant :
■ l'objet et la durée du traitement ;
■ la nature et l'objectif du traitement ;
■ le type de données à caractère
personnel et les catégories d'individus concernées ; et
■ les obligations et les droits du
responsable de traitements.
Le contrat se doit également de stipuler
que le sous-traitant doit :
■ réaliser des traitements uniquement sur la base d'instructions
documentées du responsable

140

■
■
■

■

■

■

de traitement (avec une attention toute particulière en cas de
transfert des données hors Union
européenne) ;
garantir la confidentialité ;
prendre des mesures adaptées en
termes de sécurité ;
coopérer avec le responsable du
traitement pour que le responsable
du traitement puisse se conformer
à ses obligations en termes de
réponse à l'exercice des droits des
personnes, en ce compris le droit à
l'oubli, et
s'assurer que le FCC rend ou
efface toute donnée personnelle
ayant fait l'objet d'un traitement
dans le nuage informatique, et
qu'il n'en conserve aucune copie
à moins qu'une telle copie ne soit
requise par ailleurs à la demande
d'un Etat membre ;
garantir la portabilité des
données : les individus sont en
droit de recevoir leurs données à
caractère personnel du responsable de traitement, et de pouvoir,
s'ils le souhaitent, changer de
prestataire de services ;
inclure les obligations de notification de manquements.

Le RGDP rentre en vigueur le
24 mai 2018, mais la plupart des entreprises requièrent d'ores et déjà de leurs
FCC de s'aligner à ces changements
majeurs.
Cela étant, un des écueils potentiels
réside dans le fait que le RGDP a été
rédigé de façon binaire autour de
l'hypothèse d'un monde où seuls des
responsables et des sous-traitants
existent.
Pour autant, la réalité d'un grand
nombre d'écosystèmes de cloud
computing reflète plutôt l'existence de
groupes de sociétés acquérant des
services, et bien souvent à travers des
distributeurs des FCC, avec des opérations, et des hébergements éclatés et
souvent sous-traités à travers le monde
entier.
Cela étant dit, il ne fait nul doute que
l'impact financier de la non-conformité devra - quoi qu'il en soit - accroître
l'attention réservée aux clauses

EXPERTISES AVRIL 2017

de sous-traitance et de protection de
données à caractère personnel dans
les contrats de cloud computing.

Noémie WEINBAUM
Of Counsel
ARAMIS Société d'Avocats

Notes
(1) Article 4.1 du GDPR
(2) Cass Civ 1ère, 3 novembre 2016, n°15-22595
(3) h t t p : / / w w w . l e m o n d e . f r / p i x e l s /
article/2017/02/09/le-conseil-d-etat-empeche-definitivement-jcdecaux-de-pister-les-telephones-des-passants_5077186_4408996.html
(4) h t t p s :/ / w w w. c n i l . f r / e n / c l o u d - c o m p uting-cnils-recommendations-companies-using-these-new-services
(5) http://www.acpr.banque-france.fr/uploads/
media/201307-The-risks-associated-withcloud-computing.pdf
(6) https://www.cnil.fr/fr/reglement-europeensur-la-protection-des-donnees-ce-quichange-pour-les-professionnels
(7) Lignes directrices du G29 en matière de
DPO - Décembre 2016 -https://www.cnil.fr/
sites/default/files/atoms/files/dpoen.pdf

http://www.lemonde.fr/pixels/article/2017/02/09/le-conseil-d-etat-empeche-definitivement-jcde-caux-de-pister-les-telephones-des-passants_5077186_4408996.html https://www.cnil.fr/en/cloud-computing-cnils-recommendations-companies-using-these-new-services http://www.acpr.banque-france.fr/uploads/media/201307-The-risks-associated-with-cloud-computing.pdf https://www.cnil.fr/fr/reglement-europeen-sur-la-protection-des-donnees-ce-qui-change-pour-les-professionnels https://www.cnil.fr/sites/default/files/atoms/files/dpoen.pdf

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2017 - n°423