La souveraineté numérique et les transferts de données
Qui a autorité sur des données : lois à portée extraterritoriale, transferts hors de l'Union selon le RGPD, arrêts Schrems, cadre de 2023 avec les États-Unis et réponses européennes comme SecNumCloud.
- 24 cartes
- 5 thèmes
- Gratuit
Le programme, thème par thème
Le poids de chaque thème suit celui que lui donne l'examen.
- Notions
- Questions
- Ranger et relier
- Sur la frise
- Mises en situation
Quelques cartes du deck
Souveraineté des données : de quoi s'agit-il ?
Voir la réponse
Capacité d'un État ou d'une organisation à garder ses données sous son seul contrôle et sous le seul droit qu'il a choisi, à l'abri de l'ingérence d'une loi étrangère.
Le lieu du serveur ne suffit pas à l'assurer : ce qui compte est le droit qui s'applique à celui qui contrôle les données.
Une société française confie sa paie à un prestataire établi en Inde, pays sans décision d'adéquation. Que doit-elle prévoir ?
- Des garanties, comme des clauses types, après examen de la loi locale
- Rien de plus qu'un contrat de sous-traitance classique avec le prestataire indien
- Une simple information des salariés sur l'existence du transfert de leurs données
- Une déclaration préalable à la CNIL, qui vaut autorisation du transfert vers l'Inde
Voir la réponse
Des garanties, comme des clauses types, après examen de la loi locale
Sans adéquation, il faut un fondement du chapitre V : garanties appropriées (clauses types, règles d'entreprise contraignantes) ou, pour un cas ponctuel, une dérogation. Informer les salariés est dû, mais ne légitime rien.
À défaut de décision d'adéquation, un transfert peut reposer sur des … ou, au sein d'un groupe, sur des ….
Voir la réponse
À défaut de décision d'adéquation, un transfert peut reposer sur des clauses contractuelles types ou, au sein d'un groupe, sur des règles d'entreprise contraignantes.
Ce sont les deux garanties appropriées les plus courantes. Les dérogations (consentement explicite, nécessité du contrat) ne servent que pour des cas ponctuels.
Transfert hors de l'Union : de quoi s'agit-il ?
Voir la réponse
Communication ou mise à disposition de données personnelles à un destinataire situé dans un pays extérieur à l'Espace économique européen ; le chapitre V du RGPD l'encadre.
Un simple accès à distance depuis un pays tiers, par exemple pour du support technique, compte déjà comme un transfert.
Des données de santé sont hébergées à Paris par la filiale d'un groupe américain. Quel est le risque, et quelle parade ?
- La loi américaine suit la société, pas le lieu ; offre qualifiée SecNumCloud ou chiffrement aux clés du client
- Aucun risque, le serveur étant à Paris : seul le droit français s'y applique
- Un transfert illicite faute d'adéquation ; il suffit de signer des clauses contractuelles types
- Le RGPD interdit tout hébergeur d'un groupe étranger ; il faut changer de filiale
Voir la réponse
La loi américaine suit la société, pas le lieu ; offre qualifiée SecNumCloud ou chiffrement aux clés du client
Le contrôle d'une maison mère américaine expose les données à une demande fondée sur le Cloud Act malgré la localisation. SecNumCloud ou un chiffrement aux clés du client réduisent ce risque ; des clauses types ne règlent rien, puisqu'il n'y a pas de transfert au sens du chapitre V.