Protection des données personnelles et respect de la vie privée sont deux aspects cruciaux pour établir la confiance dans les services de cloud et favoriser leur développement. Une entreprise qui utilise un service de cloud computing reste responsable des traitements: cela veut dire que l’entreprise doit s’assurer que son prestataire lui permettra de respecter ses obligations au regard de la loi informatique et libertés, notamment en termes d’information des personnes concernées, d’encadrement des transferts et de sécurité des données…
En ce sens, Microsoft marque un grand coup. Ses offres Azure (IaaS), mais aussi Office 365 et Dynamics CRM Online (SaaS) sont aujourd’hui certifiées ISO/IEC 27018. Ce qui, concrètement, signifie que Microsoft traite «seulement des informations personnellement identifiables selon les instructions fournies par ses clients» et «garantit la transparence en matière de politique sur le retour, le transfert et la suppression des informations personnelles stockées dans nos centres de données» en permettant aux clients de connaître l’emplacement de leurs données dans les data centers de la firme de Redmond, les noms des entreprises qui ont besoin d’accéder aux données ainsi que tout accès non autorisé aux informations personnelles identifiables. Et également d’être tenu au courant en cas de demandes d’accès à des données privées par des États.
Il s’agit de la première application majeure de la norme ISO/IEC 27018 -publiée en juillet 2014. La certification -réalisée par la British Standards Institution- garantit aux entreprises que les données personnelles seront protégées cinq axes:
– Pas de publicité. Les données personnelles ne sont pas utilisées à des fins publicitaires ou marketing, à moins que l’entreprise ait expressément donné son accord.
Contrôle. Les clients contrôlent explicitement la façon dont sont traitées les données personnelles.
– Transparence. Le client est informé des politiques qui gouvernent le retour, le transfert ou la suppression des données personnelles stockées dans les centres de traitement de données, de l’endroit où elles sont stockées, et si des sous-traitants sont utilisés. Le client sera aussi informé si un accès non autorisé à des données personnelles se produisait.
– Accès étatique. Toutes les demandes d’accès aux données personnelles par les forces de l’ordre seront documentées et le client en sera informé, sauf si des lois l’interdisent.
– Sécurité. La norme garantit que les traitements des informations personnelles identifiables, comme la transmission par réseaux publics, le stockage sur des médias, les processus de récupération et de restauration de données, sont soumis à restriction. De plus, toutes les personnes qui traitent ces données personnelles sont liées par une obligation de confidentialité.
La protection des données personnelles est d’autant plus importante pour les entreprises que la plupart sont elles-mêmes soumises à de nombreuses obligations réglementaires concernant la confidentialité des données personnelles de leurs clients.
