Le CLOUD Act : ce que vous devez savoir

Où résident mes informations personnelles et dois-je m'en soucier ? Cette question devient plus pertinente à mesure que nous approchons de la fin d'une décennie numérique et du début d'une autre.

Implications pour les données à la fin des années 2020

Au XXe siècle, peu de gens réalisaient l'ampleur de la bataille pour les données qui allait suivre. Quiconque possède un appareil informatique et/ou un accès à Internet a un intérêt dans le jeu. Les enjeux comprennent le profit, l'influence, le contrôle et la capacité d'accéder aux informations d'un individu ou d'une entreprise en coulisses.

Alors que les entreprises poursuivent leur quête d'intégration et de connexion avec leur clientèle, le besoin de confidentialité et de protection des données augmente. Comme il n'y a pas de frontières claires pour une entreprise disposant d'une adresse web, le terrain est propice à l'escalade de la fraude internationale et de la cybercriminalité. Cela ouvre à son tour la porte aux gouvernements pour rédiger de nouvelles lois et franchir les frontières à la recherche de pistes de données ; leurs actions étant justifiées par la nécessité de protéger les données des individus. Ainsi, le fossé entre la confidentialité des données et la divulgation des données s'accentue. Dans le même temps, le principe de territorialité, fondement du droit international, s'estompe lentement.

Le CLOUD Act

L'introduction récente du « Clarifying Lawful Use of Overseas Data Act » (autrement connu sous le nom de CLOUD Act) par le gouvernement américain, sert à renforcer les arguments en faveur de la surveillance gouvernementale transfrontalière. Principalement, le CLOUD Act modifie le Stored Communications Act (SCA) de 1986. Il permet aux forces de l'ordre fédérales de contraindre les entreprises technologiques basées aux États-Unis, par le biais d'un mandat ou d'une assignation, à fournir les données demandées stockées sur des serveurs, que ces données soient stockées aux États-Unis ou sur un sol étranger. Jusqu'au 23 mars 2018, le seul moyen pour le gouvernement américain d'accéder à des données à l'étranger était de conclure un traité d'entraide judiciaire mutuelle, un accord par lequel deux pays consentent à partager des informations et à collaborer pour résoudre une enquête judiciaire.

Le CLOUD Act accorde une attention particulière au chiffrement des données. Il décourage également le gouvernement de l'utiliser pour exiger que les entreprises affaiblissent leur chiffrement. Il s'agit d'un processus essentiel à la sécurité des données. Néanmoins, beaucoup considèrent que la loi présente des lacunes fondamentales. Entre autres préoccupations, il convient de noter que la loi a été rédigée de manière abrupte. De plus, elle a été publiée sans débat public approfondi dans le cadre du projet de loi de finances du gouvernement, l'Omnibus. De plus, le CLOUD Act permet à des pays étrangers de conclure un « accord exécutif » avec le président des États-Unis, le département d'État ou le procureur général, et de demander des données stockées aux États-Unis en contactant directement les entreprises, contournant ainsi efficacement le contrôle du gouvernement. En conséquence, une vague de réactions négatives s'est déchaînée sur le web en réaction aux implications mondiales prévisibles pour les droits de l'homme et le droit international.

Application du CLOUD Act

Le CLOUD Act s'applique déjà aux entreprises technologiques telles que Google, Facebook, Twitter et Instagram. Facebook et Google ont d'ailleurs contribué à la rédaction du nouveau projet de loi, aux côtés d'Apple et de Microsoft. La collaboration du gouvernement avec ces entreprises indique un déplacement de l'équilibre vers les fournisseurs de solutions techniques à grande échelle. Toutes les entreprises auront la responsabilité de désigner un représentant légal pour les questions de divulgation de données. De leur côté, les entités plus petites, les start-ups et les innovateurs, pourraient avoir du mal à faire face à la charge administrative supplémentaire.

L'agenda mondial

En raison du Cloud Act, la Commission européenne a pris une initiative législative pour permettre les demandes d'informations sur les données. La Commission ouvrira également la voie à l'utilisation de preuves électroniques stockées par des entreprises enregistrées dans l'UE, indépendamment des lois spécifiques sur la protection de la vie privée des États membres. Il s'ensuit logiquement que la loi entraînera une réaction en chaîne. D'autres pays imiteront les lois sur la divulgation des données et exigeront également des informations au-delà des frontières. À son tour, cela pourrait entraîner une dégradation globale du niveau de confidentialité des données à travers le monde.

Qu'est-ce que cela signifie pour CloudSigma ?

CloudSigma occupe une position unique au milieu d'un océan d'incertitude entourant le Cloud Act. CloudSigma cloisonne chaque emplacement cloud qu'elle exploite où qu'il soit dans le monde. Par exemple, une entité australienne gère ses emplacements en Australie. Ainsi, ils ne sont soumis qu'à la loi australienne. De même, ses emplacements suisses ne sont soumis à aucune juridiction de l'UE, des États-Unis ou de tout autre pays, à l'exception de la Suisse. Par conséquent, les clients de CloudSigma peuvent facilement contrôler sous quelles juridictions opérer.

De plus, les clients peuvent s'assurer qu'ils respectent eux-mêmes les exigences en matière de protection des données auxquelles ils peuvent être soumis. Cela contraste fortement avec l'approche mondialisée de nombreux autres fournisseurs. Cette approche expose les clients à de potentiellement nombreuses juridictions, y compris les États-Unis et d'autres pays. Ainsi, les données pourraient être accessibles contre leur gré et en violation des lois locales sur la confidentialité des données. En conséquence, les données pourraient à leur tour les exposer à une responsabilité sans qu'il y ait faute de leur part. Un tel scénario peut être évité en faisant appel à un fournisseur tel que CloudSigma.