Data so­ve­reignty : la sou­ve­rai­neté des données expliquée

La data so­ve­reignty, ou sou­ve­rai­neté des données en français, fait référence à l'autorité de disposer des données et sert de terme collectif pour les nom­breuses facettes liées au trai­te­ment des données nu­mé­riques. Celles-ci com­pren­nent la pro­tec­tion, le chif­fre­ment, la trans­mis­sion et le stockage. Toute personne stockant des données dans le Cloud ou utilisant les services in­for­ma­tiques de four­nis­seurs de services externes doit veiller à une pro­tec­tion ap­pro­priée des données et connaître les ré­gle­men­ta­tions légales. Quelles sont les exigences en matière de data so­ve­reignty et comment maintenir cette sou­ve­rai­neté ?

La sou­ve­rai­neté des données (data so­ve­reignty en anglais) est un terme juridique qui fait référence aux di­rec­tives ju­ri­diques relatives aux données. La sou­ve­rai­neté des données est également étroi­te­ment liée à la pro­tec­tion des données, au cloud computing et à la sou­ve­rai­neté tech­no­lo­gique. Les lois sur la sou­ve­rai­neté des données éta­blis­sent des règles con­cer­nant le pouvoir des gou­ver­ne­ments et des en­tre­prises de disposer des données nu­mé­riques des uti­li­sa­teurs et des en­tre­prises. La data so­ve­reignty se réfère donc spé­ci­fi­que­ment aux questions :

• Qui est pro­prié­taire des données ?
• Qui est autorisé à stocker des données ?
• Comment les données peuvent-elles être stockées ?
• Comment les données peuvent-elles être utilisées ?
• Comment les données doivent-elles être protégées ?
• Que se passe-t-il si les données sont mal utilisées ?

Alors que de plus en plus de petites et moyennes en­tre­prises se tournent vers le cloud computing, c'est-à-dire l'ex­ter­na­li­sa­tion des données et des tech­no­lo­gies de l'en­tre­prise vers des serveurs externes, l'im­por­tance de la sou­ve­rai­neté des données ne peut être ignorée. Il est notamment important de clarifier la question de la data so­ve­reignty si les serveurs sont situés dans des pays où les di­rec­tives en matière de pro­tec­tion des données ne répondent pas aux normes eu­ro­péennes.

Les avantages du cloud computing sont bien connus. Cependant, dès que les données sensibles ne sont pas stockées en interne mais sur des serveurs externes et éven­tuel­le­ment dans d'autres pays, des questions de sécurité et de propriété des données se posent.

Sauf si stipulé dans le contrat, les four­nis­seurs tiers courent le risque que les données soient analysées et vendues. Toutefois, les en­tre­prises qui traitent des données per­son­nelles dans l'UE sont tenues de garantir le plus haut niveau de sécurité des données. Il est donc essentiel de disposer d'une pro­tec­tion des données vé­ri­fiable et de di­rec­tives de con­for­mité modernes, tant pour les en­tre­prises qui ex­ter­na­li­sent leur système in­for­ma­tique que pour les en­tre­prises qui offrent des services in­for­ma­tiques. Si une en­tre­prise perd ou néglige la sou­ve­rai­neté sur les données com­mer­ciales et les données des clients, cela peut avoir de graves con­sé­quences ju­ri­diques.

Les données peuvent suivre les trois étapes suivantes sur Internet, dans les réseaux d'en­tre­prise et dans le Cloud :

• Données en cours d'uti­li­sa­tion : données qui sont ac­tuel­le­ment utilisées
• Données en mouvement : données qui sont en train d'être trans­mises
• Données au repos : données stockées lo­ca­le­ment ou dans le Cloud

Avant la montée du numérique, la sou­ve­rai­neté des données con­cer­nait prin­ci­pa­le­ment les données au repos, c'est-à-dire les données stockées. Au­jour­d'hui, d'autres normes s'ap­pli­quent : la sécurité, l'archivage à valeur probante et la sou­ve­rai­neté des données s'ap­pli­quent quel que soit le lieu de stockage, en par­ti­cu­lier lorsque des four­nis­seurs externes traitent les données de l'en­tre­prise. Les en­tre­prises doivent conserver la sou­ve­rai­neté de leurs données pendant les trois étapes. Cette norme élevée de pro­tec­tion des données peut être appliquée grâce à un logiciel de chif­fre­ment qui garantit que seules les en­tre­prises donneuses d'ordre peuvent décoder les données sensibles et chiffrées.

Les en­tre­prises du secteur public et de l'éco­no­mie doivent respecter deux règles de base pour garantir la sécurité des données à l'heure du numérique :

1. L'in­fras­truc­ture in­for­ma­tique doit toujours être sécurisée, flexible et moderne
2. La sou­ve­rai­neté des données sur les clients, les uti­li­sa­teurs et les en­tre­prises doit être garantie

Seules des mesures de sécurité et des accords con­trac­tuels ap­pro­priés per­met­tent aux en­tre­prises de protéger les secrets com­mer­ciaux et de traiter les données per­son­nelles con­for­mé­ment aux di­rec­tives eu­ro­péennes sur la pro­tec­tion des données. Les en­tre­prises doivent toujours savoir comment les four­nis­seurs de services tiers traitent les données et quels sont les droits d'uti­li­sa­tion dont ils disposent. Étant donné qu'il existe également des in­cer­ti­tudes ju­ri­diques et des zones d'ombre en matière de sou­ve­rai­neté des données, il convient de ré­gle­men­ter par contrat ce qu'il advient des données et comment elles sont stockées, traitées et trans­fé­rées.

Exemple :

Si une en­tre­prise souhaite augmenter ses propres per­for­mances, elle peut utiliser les services Cloud et les services Web d'un four­nis­seur de services managés. Grâce à l'analyse des données, ce four­nis­seur peut, par exemple, faire des pré­vi­sions sur les tâches de main­te­nance et dé­ter­mi­ner le potentiel d'op­ti­mi­sa­tion de l'en­tre­prise.

Même si dans ce cas, l'en­tre­prise com­man­di­taire devrait avoir la sou­ve­rai­neté sur les données, cela ne signifie pas qu'elle ait né­ces­sai­re­ment accès à toutes les analyses de données. Sauf accord con­trac­tuel contraire, certaines parties des données pour­raient également être réu­ti­li­sées ou vendues à des tiers. Dans ce cas, l'absence de data so­ve­reignty crée un risque de sécurité et un dé­sa­van­tage con­cur­ren­tiel pour les en­tre­prises.

Qu'il s'agisse d’une petite boutique en ligne ou d'une grande société en réseau, l'éva­lua­tion des données relatives aux clients et aux en­tre­prises est im­por­tante pour adapter la pro­duc­tion et les services aux attentes et au com­por­te­ment des clients. Comme il est presque im­pos­sible au­jour­d'hui de protéger her­mé­ti­que­ment les données contre un accès non autorisé, des règles ju­ri­diques sont né­ces­saires. En plus des accords con­trac­tuels in­di­vi­duels entre les clients et les pres­ta­taires de services, les ré­gle­men­ta­tions na­tio­nales et in­ter­na­tio­nales en matière de pro­tec­tion des données, comme le règlement général sur la pro­tec­tion des données de l'UE (RGPD) et la loi française sur la pro­tec­tion des données, cons­ti­tuent des lignes di­rec­trices décisives en termes de sou­ve­rai­neté des données.

A titre de com­pa­rai­son, il n'existe pas de loi générale sur la pro­tec­tion des données qui fournisse des lignes di­rec­trices de base pour la pro­tec­tion des données per­son­nelles aux États-Unis. Elle est ici basée sur l'en­ga­ge­ment vo­lon­taire des en­tre­prises amé­ri­caines alors qu'il existe des ré­gle­men­ta­tions spé­ci­fiques en matière de pro­tec­tion des données pour les in­dus­tries de l'UE. De plus, les autorités amé­ri­caines ont le pouvoir d’accéder à ces données. Si des en­tre­prises al­le­mandes ou eu­ro­péennes utilisent les services de four­nis­seurs Cloud ou de services Web amé­ri­cains, des lacunes en matière de pro­tec­tion des données peuvent ap­pa­raître.

Selon le RGPD, les en­tre­prises qui traitent des données per­son­nelles doivent mettre en œuvre « les mesures tech­niques et or­ga­ni­sa­tion­nelles ap­pro­priées afin de garantir un niveau de sécurité adapté au risque ». La pro­tec­tion et la sou­ve­rai­neté des données sont donc des tâches complexes pour les en­tre­prises. Il peut notamment s'avérer difficile de trouver un équilibre entre la pro­tec­tion des données de l'en­tre­prise, les données per­son­nelles et une position forte sur le marché. Étant donné que le RGPD se concentre prin­ci­pa­le­ment sur les données per­son­nelles, les en­tre­prises doivent s'assurer que les uti­li­sa­teurs sont informés et con­sen­tent cons­ciem­ment au trai­te­ment ultérieur de leurs données per­son­nelles. En même temps, l'analyse des données des uti­li­sa­teurs est un facteur de succès crucial pour les en­tre­prises nu­mé­riques.

Afin d'har­mo­ni­ser la sou­ve­rai­neté des données, la pro­tec­tion des données et le succès de l'en­tre­prise, il est re­com­mandé d'engager des délégués à la pro­tec­tion des données qui s'oc­cu­pent de la data so­ve­reignty de votre en­tre­prise. De plus, il convient de clarifier in­di­vi­duel­le­ment quelles sont les di­rec­tives de pro­tec­tion et d'uti­li­sa­tion des données des en­tre­prises tierces et des en­tre­prises par­te­naires. Il ne faut pas oublier la politique de con­fi­den­tia­lité obli­ga­toire qui com­mu­nique de manière trans­pa­rente vos mesures pour le trai­te­ment sécurisé des données. Les mesures tech­niques et or­ga­ni­sa­tion­nelles es­sen­tielles que les en­tre­prises doivent observer dans ce domaine sont les suivantes :

• Pseu­do­ny­mi­sa­tion et chif­fre­ment des données
• Con­fi­den­tia­lité et intégrité des systèmes
• Ré­si­lience technique des systèmes
• Ré­cu­pé­ra­tion et dis­po­ni­bi­lité des données après des urgences tech­niques
• Examen, ap­pré­cia­tion et éva­lua­tion réguliers des mesures de pro­tec­tion
• Respect et in­cor­po­ra­tion des mesures de pro­tec­tion des données par les employés

Gaia-X est l'ini­tia­tive eu­ro­péenne pour une in­fras­truc­ture de données hautement sécurisée, conforme à la pro­tec­tion des données et com­mer­cia­li­sable en Europe. Gaia-X se considère comme une contre-pro­po­si­tion aux ré­gle­men­ta­tions ina­dé­quates en matière de pro­tec­tion des données dans les pays non-européens, notamment le Cloud Act américain. Les autorités amé­ri­caines peuvent lé­ga­le­ment accéder aux données sans l'or­don­nance d'un juge si elles sont stockées sur des serveurs soumis au Cloud Act. Cela vaut également pour les four­nis­seurs amé­ri­cains dont les centres in­for­ma­tiques sont situés en Europe.

Avec des par­te­naires tels que IONOS Cloud, Gaia-X travaille sur une in­fras­truc­ture de données qui doit devenir l'al­ter­na­tive eu­ro­péenne au cloud computing d'Amazon Web Services, IBM, Google, Alibaba ou Microsoft Azure. Cela permettra aux en­tre­prises de traiter les données de manière hautement sécurisée dans des centres in­for­ma­tiques intra-européens, de bé­né­fi­cier d'une sécurité et d'une sou­ve­rai­neté maximales en matière de données et d'em­pê­cher la fuite de données in­dus­trielles et per­son­nelles vers des acteurs non européens. Une partie de l'in­fras­truc­ture sera cons­ti­tuée de nœuds de réseau et de centres de données trans­pa­rents et librement sé­lec­tion­nables dont les attributs, les capacités et les exigences seront clai­re­ment com­mu­ni­qués. Les clients devront être en mesure de changer fa­ci­le­ment de four­nis­seur sans devenir dé­pen­dants des four­nis­seurs de services Web et des four­nis­seurs de services managés par le biais du Cloud et du vendor lock-in.