RGPD et hébergement : sécurité sur les infrastructures de stockage des informations

Toute structure traitant des données à caractère personnel va se voir assujettie aux dispositions de la RGPD. Cette mise en conformité par rapport à l’ancienne loi “informatique et libertés” concerne aussi bien les professionnels du secteur public ou privé (ou même des associations), du moment que vous collectez des données personnelles.

Il faut remarquer que depuis quelques années, de plus en plus d’internautes et clients sont informés de leurs droits, inquiétés par les destinations des données personnelles, et sollicitent une sécurité informatique et une attention accrues quant au respect de ces droits.

Le RGPD est une refonte du cadre légal sur la sécurité des données en ligne, modifiant en profondeur les aspects liés aux traitements des données sur Internet er au respect des droits des internautes ; c'est un texte de loi dense (99 articles et plus de 173 considérations), afin de ne pas laisser place à des interprétations.

Clés de compréhension de la loi RGPD

Pour bien saisir le cadre étendu de la loi RGPD, il est nécessaire de maîtriser quelques clés de compréhension/notions :

• données à caractère personnel : toute information qui identifie ou permet d’identifier une personne physique. Du nom à la photo, de l’empreinte digitale au numéro de carte bancaire en passant par une adresse IP...toute information qui, directement ou indirectement, permet à une personne physique d’être identifiable ou identifiée.
  
  
• données personnelles de personnes physiques : la protection de la loi GDPR s’applique uniquement à des personnes physiques, et l’enregistrement de données concernant des personnes. Ces personnes ont des droits qu’elles peuvent exercer à tout moment.
  
  
• traitement : enregistrement dans un outil de données ou d’ensembles de données à caractère personnel, effectué ou non à l'aide de procédés automatisés (Exemples : collecte, enregistrement, stockage, organisation, transmission, conservation, extraction, consultation, utilisation, interconnexion, etc.). Tout traitement est soumis à ce règlement.
  
  
• responsable du traitement : défini dans l’article 4 du RGPD, c’est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement (à quoi sert ce dernier).
  
  
• sous-traitant : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.

Par exemple tout site Web possédant une base de données  client, enregistrant des infos de type : adresse mail, nom, prénom, etc.

Obligations du sous-traitant gérant l'hébergement de votre site web

Alteo, en sa qualité de sous-traitant pour des prestations d'hébergement ou de traitements réalisés pour le compte d’un client, s’engage notamment à mettre en œuvre les actions suivantes :

• vous accompagner dans le respect de vos obligations réglementaires par le biais d’une documentation adéquate de nos services ainsi qu’à l’aide  à la rédaction de closes contractuelles en accord avec la législation.
• transférer vos données vers un pays tiers uniquement s'il dispose d'un niveau de protection conforme aux conditions de la Commission européenne (sous réserve que le datacenter choisi se situe dans une zone géographique hors UE).
• traiter les données à caractère personnel uniquement aux fins de bonne exécution des services (pas d’exploitation à des fins marketing, publicité, etc.).
• vous prévenir de tout recours à des sous-traitants qui pourraient traiter vos données à caractère personnel.
• formaliser et appliquer une procédure de sécurité à haut niveau de sécurisation afin de fournir une protection adaptée à nos services.
• vous informer dans les meilleurs délais en cas de violation de vos données.

Obligations du responsable des données/du traitement

L'agence web Alteo peut être amené à être responsable du traitement, dès lors qu’il est amené à définir les buts et les méthodes des traitements de données personnelles.

En sa qualité de responsable des données, s’engage notamment à mettre en œuvre les actions suivantes :

• la garantie d'un accès à vos données restreint uniquement aux personnes strictement autorisées à les traiter et mettre en oeuvre des mesures de sécurité .
• le transfert de ces données à des tiers uniquement à des sociétés de sous-traitance dont l’intervention sera préalablement prévue et détaillée dans le cadre du contrat liant Web-Hébergement à son client.
• la restriction de la collecte de données personnelles uniquement à celles utiles.
• la garantie d'une non-utilisation des données collectées à d’autres fins que celles pour lesquelles elles l’ont été initialement.
• la garantie d'une durée de conservation des données à caractère personnel n'excédant pas celle nécessaire aux finalités de leur traitement.

Sécurité des infrastructures d'hébergement - Les garanties

Alteo a établi une politique de sécurité exigeante de ses systèmes d’information et formalisé ses mesures de sécurité, afin de préserver les données à caractère personnel traitées de tous risques quant à leur sécurité et leur confidentialité.
Cette politique de sécurité vise à empêcher que les données soient endommagées, déformées, et que des tiers non-autorisés y aient accès.

Ainsi, l'agence Alteo s’engage à mettre en oeuvre :

• des procédures de sécurité physique visant à prévenir tout accès non-autorisé aux locaux et aux infrastructures dans lesquels sont stockées les données du client
• un accès limité aux locaux et aux données uniquement aux personnes ayant besoin d’y accéder dans le cadre de leurs fonctions et de leur périmètre d’activité
• la limitation de l’accès aux données aux seules personnes ayant besoin de les connaître.
• un système d’isolation des clients traités.
  mettre en place une politique de procédures d’authentification poussées (gestion régulière de mots de passe, double authentification via YubiKey) pour toute personne amenée à effectuer un traitement de données
• garantir l’intégrité des informations et leur restauration en cas d’altération de ces dernières.
• des mécanismes permettant de tracer l’ensemble des actions réalisées sur une information et de la reconstituer, si besoin, conformément à la réglementation en vigueur, des rapports en cas d’incident affectant les données du client.