Traitement des données dans le cloud : obligations selon la loi suisse sur la protection des données

Quand l’utilisation du cloud relève du droit de la protection des données

Techniquement, le cloud computing permet de fournir à la demande, via un réseau – par exemple Internet –, des applications et logiciels, des capacités de stockage, des outils de développement, des capacités réseau ou de la puissance de calcul auprès d’un prestataire de services cloud. Le Préposé fédéral à la protection des données (PFPD) cite comme applications typiques les outils de collaboration en ligne entre collaborateurs ainsi que les outils de gestion en ligne pour les adresses e-mail utilisées dans le cadre de newsletters et du service à la clientèle. Cela inclut les systèmes CRM en ligne, le téléchargement de vidéos sur des plateformes de streaming et le stockage de fichiers sur un serveur accessible via Internet.

L’utilisation ne devient pertinente au regard du droit de la protection des données que lorsque des données personnelles sont transférées vers le cloud. Selon la pratique courante, on est en présence d’une sous-traitance dès lors qu’un prestataire a accès à des données personnelles ou peut les traiter. Ce n’est pas l’intitulé du contrat qui est déterminant, mais le lien de subordination : le prestataire ne doit pas décider lui-même des moyens et des finalités du traitement. Le fait qu’un fournisseur de cloud propose ses services préconfigurés ne change rien à son rôle.

La simple utilisation d’un service cloud ne constitue donc pas en soi une sous-traitance. Les obligations découlant de l’art. 9 LPD s’appliquent lorsque des données personnelles sont concernées et que le prestataire les traite sur instruction – par exemple lorsque des dossiers du personnel, des données clients ou des listes de contacts sont gérés dans une application cloud et que le prestataire y a accès. Si seules des données qui ne sont pas des données personnelles sont traitées dans le cloud, la question de la sous-traitance ne se pose pas.

Rôles dans le triangle client, prestataire et personne concernée

Le responsable du traitement est, selon l’art. 5 LPD, celui qui décide des paramètres essentiels d’un traitement de données, c’est-à-dire des finalités et des moyens ; il est principalement responsable du respect de la protection des données. L’entreprise qui propose des services cloud agit généralement en tant que sous-traitant du client au sens de l’art. 9 LPD. Le client peut lui-même être responsable du traitement ou – par exemple en tant que prestataire de services informatiques pour un tiers – être à son tour sous-traitant ; dans ce rôle, il doit satisfaire aux exigences définies par le responsable du traitement pour ses propres traitements de données.

L’externalisation ne fait pas disparaître la responsabilité : en tant que responsable du traitement, le client est tenu de veiller à ce que les traitements effectués par le fournisseur de cloud pour son compte soient conformes à la protection des données et que les droits des personnes concernées ne soient pas diminués. La conséquence en matière de responsabilité n’est pas seulement théorique : selon l’ordre juridique suisse, les amendes – contrairement au RGPD – ne visent pas l’entreprise elle-même, mais les personnes physiques, avec un montant maximal de 250 000 francs.

Toute transmission de données au sein d’une entreprise ne constitue pas une sous-traitance. Le traitement des données au sein d’une même personne morale – succursale, unité administrative, collaborateurs – ne constitue fondamentalement pas un traitement par un sous-traitant. Celui qui implique des structures de groupe, des filiales ou des prestataires externes sort de ce cadre et doit déterminer séparément les rôles pour chaque destinataire.

Responsable du traitement et sous-traitant : qui décide de quoi

Les obligations du responsable du traitement selon l’art. 9 LPD

L’art. 9 al. 1 LPD n’autorise le transfert à un sous-traitant que sous deux conditions cumulatives : les données doivent être traitées de la manière dont le responsable du traitement serait lui-même autorisé à le faire, et aucune obligation légale ou contractuelle de secret ne doit interdire le transfert. Le premier point exige un lien de subordination – le sous-traitant traite les données transmises exclusivement selon les instructions du mandant – et prévoit en outre une règle concernant la transmission de ces instructions. Le second point concerne les situations où les données sont soumises à des obligations légales ou contractuelles de secret, telles que le secret professionnel, bancaire ou officiel ; il convient d’examiner au préalable si l’externalisation de telles données viole l’obligation de secret du responsable du traitement.

L’art. 9 al. 2 LPD exige que le responsable du traitement s’assure notamment que le sous-traitant est en mesure de garantir la sécurité des données. Le PFPD résume la situation des obligations comme suit : le responsable du traitement doit choisir son sous-traitant avec soin, l’instruire de manière appropriée et le surveiller dans la mesure nécessaire ; analogue à la responsabilité du maître pour ses auxiliaires selon l’art. 55 CO, il doit prévenir les violations de la LPD. Concrètement, cela nécessite une documentation qui atteste trois éléments : l’examen ayant conduit à la sélection, les instructions données ainsi que la voie de transmission, et les contrôles effectués.

Le sous-traitant peut invoquer les mêmes motifs de justification que le responsable du traitement (art. 9 al. 4 LPD). Cela aide à examiner si un traitement concret est admissible, mais ne libère pas le responsable du traitement de ses obligations de sécurisation.

Conditions et obligations selon l’art. 9 LPD

Retransmission à des sous-sous-traitants

Selon l’art. 9 al. 3 LPD, le sous-traitant ne peut transmettre le traitement à un tiers qu’avec l’autorisation préalable du responsable du traitement. La réserve d’autorisation n’est pas déclarative : sans consentement préalable, la retransmission est inadmissible et le responsable du traitement perd le contrôle sur la chaîne de prestataires.

Les services cloud sont fournis sous forme de solutions standardisées. L’art. 9 al. 3 LPD exige une autorisation préalable. En pratique, il faut régler la manière dont le responsable du traitement accorde cette autorisation et comment il s’assure que les modifications apportées à la chaîne de prestataires restent couvertes par l’autorisation. De plus, la voie hiérarchique doit être réglementée : les instructions du responsable du traitement passent par le sous-traitant principal, qui doit les transmettre à ses sous-sous-traitants.

Le contrôle comprend une vue d’ensemble actualisée des autres entités impliquées dans le traitement – exploitants de centres de données, organisations de support, services de sauvegarde et de surveillance, envoi d’e-mails ou facturation. Chacune de ces entités doit figurer sur la liste, indépendamment du fait qu’elle soit engagée directement par le client ou par le prestataire.

La sécurité des données comme question centrale d’examen

Le point de départ est l’art. 8 LPD : le responsable du traitement garantit la sécurité des données par des mesures techniques et organisationnelles.

En cas d’externalisation, s’ajoute l’art. 9 al. 2 LPD, qui exige l’assurance de la capacité du sous-traitant.

Le PFPD précise cela en indiquant que le responsable du traitement ne doit pas seulement s’assurer, mais aussi examiner les mesures techniques et organisationnelles prises par le sous-traitant pour protéger ses systèmes et les données traitées, et les sécuriser contractuellement.

Il convient également de réglementer la gestion des incidents de sécurité, car le prestataire doit signaler les violations de la sécurité des données afin que le responsable du traitement puisse s’acquitter de son obligation de notification envers le PFPD selon l’art. 24 al. 1 LPD.

Le PFPD a mis à jour et élargi ses lignes directrices sur les mesures techniques et organisationnelles (MTO) ; parmi les mesures, il cite notamment l’ancrage des ordinateurs au bureau.

Les lignes directrices ne se réfèrent pas uniquement à la garantie de la sécurité des données selon l’art. 8 al. 1 LPD, mais à la gestion de la protection des données en général selon l’art. 7 al. 1 LPD.

Selon sa propre présentation, elles sont censées aider à mettre en œuvre des mesures assurant une protection optimale et appropriée des données personnelles et conformes aux réglementations et normes actuelles. Toutefois, les lignes directrices ne sont pas contraignantes. Le PFPD souligne lui-même qu’il n’est pas un conseiller juridique, qu’il reprend les dispositions de la loi sur la protection des données principalement à titre informatif et qu’il ne doit ni les exécuter, ni les commenter, ni les préciser ; elles ne constituent pas une base pour l’application ou l’interprétation des règles.

Dans le débat spécialisé, on fait remarquer que certains éléments des lignes directrices ne correspondent pas au droit suisse actuel en matière de protection des données et qu’elles ont un effet unilatéral dans le contexte des logiciels cloud. Il est également souligné que le PFPD va au-delà de la situation juridique selon la jurisprudence Helsana+ en ce qui concerne le principe de licéité.

En revanche, sont considérées comme des orientations utiles la clarification concernant l’anonymisation – modifier les données personnelles de manière irréversible de sorte qu’elles ne permettent plus, sans effort disproportionné, de tirer des conclusions sur une personne concrète – et l’aperçu de l’importance que peuvent avoir ISO 27001 et d’autres normes.

Pour l’examen, cela signifie : les certifications et ouvrages de référence comme ISO 27001 sont un indice et facilitent la sélection, mais ne remplacent pas l’évaluation des circonstances concrètes. Il convient d’examiner les mesures effectivement mises en œuvre, les preuves de leur efficacité, la réglementation de la notification des incidents au responsable du traitement et la question de savoir si les mesures correspondent à la nature et à l’ampleur des données personnelles traitées.

Communication de données à l’étranger dans le cas de clouds transfrontaliers

Pour la communication de données personnelles à l’étranger, il faut une protection des données reconnue dans le pays de destination ou des garanties telles que des clauses contractuelles types (art. 16 et 17 LPD). Si l’utilisation de services cloud entraîne une communication de données à l’étranger, il faut examiner avant la communication si elle satisfait aux exigences légales. Cet examen doit être effectué avant la première transmission et non a posteriori, et doit être répété à chaque modification de la chaîne de prestataires.

L’examen fait également partie de l’information des personnes concernées : l’art. 19 LPD exige, lors de la collecte de données personnelles, une information appropriée sur qui traite les données, dans quel but, à qui elles sont communiquées et dans quels pays. Celui qui traite des données personnelles dans un cloud dont l’exploitant ou le sous-traitant est situé à l’étranger doit pouvoir nommer ces pays – ce qui suppose une liste actualisée des prestataires.

Les pièges typiques ne résident pas uniquement dans le siège social du prestataire. Il faut examiner le support fourni par des équipes dans d’autres pays, les sauvegardes dans une autre région, les sous-traitants ayant leur propre siège à l’étranger ainsi que les possibilités d’accès aux données par des sociétés du groupe ou de services étrangères. Chacun de ces accès peut constituer une communication à l’étranger ou une retransmission nécessitant une autorisation ultérieure. En tant que client étant lui-même sous-traitant, il faut en outre respecter les prescriptions du responsable du traitement concernant la communication à l’étranger.

Points de contrôle lors d’une communication de données à l’étranger

Ce que le prestataire doit – et ce que le client en fait

Le sous-traitant doit respecter ses obligations envers le responsable du traitement. Concrètement, il doit traiter les données exclusivement sur instruction, signaler les violations de la sécurité des données au responsable du traitement – afin que ce dernier puisse s’acquitter de son obligation de notification envers le PFPD selon l’art. 24 al. 1 LPD – et s’abstenir de traiter les données pour ses propres fins. S’il souhaite utiliser les données pour ses propres fins, il a besoin d’un propre motif de justification ; il peut invoquer les motifs de justification du responsable du traitement selon l’art. 9 al. 4 LPD, mais uniquement pour le traitement transmis, pas comme un laissez-passer pour de nouvelles finalités.

Du côté du client, il s’est avéré utile de demander une liste de facturation à la comptabilité afin de recenser les relations de sous-traitance. Sur la base de cette liste, il est possible d’examiner quels prestataires traitent effectivement des données personnelles ; avec eux, il convient le cas échéant de conclure un contrat de sous-traitance. La liste sert également de base à l’évaluation des chaînes de prestataires et des communications à l’étranger.

Dans un deuxième temps, les rôles doivent être fixés pour chaque prestataire et les contrats ainsi que les voies hiérarchiques doivent être examinés : qui donne des instructions, par quel canal, avec quel délai, et comment les modifications des sous-sous-traitants sont signalées. Il n’y a pas de sous-traitance lorsque le prestataire gère les données qui lui sont confiées de manière autonome, c’est-à-dire lorsque le responsable du traitement lui laisse la conception substantielle – la décision sur les moyens et la finalité du traitement des données – et ne dispose ni juridiquement ni effectivement de droits d’instruction et de contrôle. Les prestations financières, fiscales et de conseil sont considérées comme des cas classiques ; elles doivent figurer dans une catégorie distincte dans l’aperçu afin qu’elles ne soient pas traitées par erreur comme de la sous-traitance.

De la liste de facturation à l’aperçu de la sous-traitance