RGPD et stockage cloud : ce que la loi exige vraiment
Le RGPD fait 88 pages. Personne ne les lit. Tout le monde colle un bandeau de cookies sur son site et considère que c’est réglé. C’est un peu comme mettre un extincteur dans le couloir et considérer qu’on a une politique de sécurité incendie. Si vous venez du guide sur la souveraineté et le RGPD dans le cloud, vous savez que la conformité RGPD ne se résume pas à une case cochée : c’est un ensemble d’obligations contractuelles, techniques et organisationnelles qui s’appliquent à chaque donnée personnelle que vous confiez à un tiers. Le texte du Règlement Général sur la Protection des Données est disponible en ligne, gratuitement, en français. Mais comme personne ne le lit, voici ce qu’il dit concrètement quand vous stockez des fichiers dans le cloud.
La réponse tient en trois articles. L’article 28 définit ce que votre contrat avec le fournisseur cloud doit contenir. L’article 32 fixe les mesures de sécurité techniques et organisationnelles. L’article 48 interdit les transferts vers des pays tiers sans garanties adéquates. Si votre fournisseur actuel ne vous permet pas de cocher ces trois cases simultanément, vous avez un problème de conformité.
Article 28 : le contrat qui protège (ou pas) vos données
L’article 28 du RGPD est le texte le plus sous-estimé du règlement. Il ne parle pas de consentement ni de cookies : il parle de la relation contractuelle entre le responsable de traitement (vous) et le sous-traitant (votre fournisseur cloud). Et ce qu’il exige est précis : le contrat doit stipuler la nature et la finalité du traitement, la durée, le type de données, les catégories de personnes concernées, et les obligations et droits du responsable du traitement.
En clair, le contrat standard « terms of service » que vous acceptez en cliquant « J’accepte » sans lire ne suffit pas. Il faut un accord de traitement des données (DPA, pour Data Processing Agreement) qui détaille exactement ce que le sous-traitant peut faire avec vos données, comment il les protège, et ce qu’il fait quand il reçoit une demande d’accès d’une autorité étrangère. La CNIL a publié des guides détaillés sur le contenu minimal de ces accords.
L’article 28 impose aussi que le sous-traitant n’engage pas un autre sous-traitant sans votre autorisation préalable écrite. Chez les hyperscalers (AWS, Google Cloud, Azure), la chaîne de sous-traitance peut compter une dizaine de niveaux. Savez-vous qui sont les sous-traitants de votre fournisseur cloud ? Et les sous-traitants de ses sous-traitants ?
Le Patriot Act complique tout : données européennes, droit américain
C’est là que le cadre légal se complique. Vous pouvez avoir un DPA en béton, un contrat signé par les deux parties, des clauses contractuelles types (SCC) validées par la Commission européenne. Si votre fournisseur est américain, le Patriot Act et le Cloud Act rendent toutes ces garanties inopérantes face à une injonction fédérale. L’article 48 du RGPD est explicite : aucune décision judiciaire ou administrative d’un pays tiers ne peut obliger un responsable de traitement à transférer des données sans passer par un accord d’entraide judiciaire international. Le Cloud Act contourne exactement ce mécanisme.
Le résultat pratique est absurde : un fournisseur américain qui respecte le RGPD viole le droit américain. Un fournisseur américain qui respecte le Cloud Act viole le RGPD. C’est un conflit de lois sans résolution, ce que l’arrêt Schrems II a confirmé en invalidant le Privacy Shield.
Mesures techniques : chiffrement, localisation et contrôle d’accès
L’article 32 exige des mesures techniques « appropriées » au risque. Le terme est volontairement vague : le RGPD n’impose pas une technologie spécifique. Mais les autorités de contrôle (la CNIL en France, l’APD en Belgique) ont précisé ce que « appropriées » signifie en pratique : chiffrement en transit (TLS 1.2 minimum), chiffrement au repos (AES-256), contrôle d’accès basé sur les rôles, journalisation des accès, plan de continuité, et capacité à restaurer les données en cas d’incident.
Le chiffrement zero-knowledge (où le fournisseur ne peut pas lire vos données) est le standard le plus protecteur. Tous les fournisseurs ne le proposent pas, et ceux qui le proposent ne l’activent pas forcément par défaut. Vérifiez. Si votre fournisseur détient les clés de chiffrement, il peut théoriquement accéder à vos données. Ce n’est pas nécessairement un problème si le fournisseur est soumis à une juridiction alignée sur le RGPD (Suisse avec la nLPD, ou un État membre de l’UE). C’est un problème majeur si le fournisseur est soumis au droit américain.
Le RGPD n’est pas un obstacle bureaucratique. C’est une checklist de sécurité. Si votre fournisseur cloud ne peut pas démontrer sa conformité à l’article 28, garantir les mesures de l’article 32, et respecter l’interdiction de l’article 48 : changez de fournisseur. La loi est claire même si personne ne la lit.