Qui peut accéder à vos données ?
L’hébergement, les traitements, les sauvegardes et les accès de support doivent être examinés ensemble. La localisation annoncée d’un serveur ne suffit pas à décrire les intervenants et les accès possibles.
En Suisse et dans l’Union européenne
Le PFPDT rappelle que la LPD suisse s’applique aussi aux traitements de données personnelles utilisant l’IA. Le RGPD peut également s’appliquer selon la situation, notamment pour une activité établie dans l’Union européenne, ou pour l’offre de biens ou services à des personnes qui s’y trouvent et le suivi de leur comportement dans l’Union. Les deux cadres ne sont pas interchangeables.
Pour une étude d’avocats, les obligations liées au secret professionnel doivent aussi être prises en compte. Les accès techniques et les contrats doivent être examinés selon le dossier.
Ce que le CLOUD Act oblige à examiner
Selon les explications du département américain de la Justice, un fournisseur soumis à la juridiction américaine peut être tenu, dans le cadre d’une procédure légale applicable, de produire des données placées sous sa possession ou son contrôle, même si elles sont stockées ailleurs. L’analyse ne se réduit donc pas au pays où se trouve le serveur.
Choisir où et comment traiter les données
Un traitement local, un hébergement dédié, une limitation des données transmises ou une organisation hybride peuvent être envisagés. Les accès, les journaux et les transferts doivent ensuite être vérifiés dans la configuration retenue.
La conformité ne peut pas être certifiée sur le seul nom d’un outil. La description des transferts, des protections et des conditions de service permet de préparer cet examen.
Prévoir la sortie d’un service
Les possibilités d’export, la lisibilité des formats, les sauvegardes indépendantes et le temps de reprise sont à examiner. Un essai permet de vérifier que les données peuvent être récupérées et utilisées ailleurs.
Comparer les approches locales et hébergées