RGPD - Les questions que vous vous posez

RGPD signifie littéralement Règlement général sur la protection des données.

La notion de RGPD fait directement référence au règlement n°2016/679 du Parlement et du Conseil de l’Union européenne du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.

Il existe plusieurs textes régissant la protection des données à caractère personnel, de portée générale ou plus précise:

• Sur le plan international: la convention n°108, pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, est un traité contraignant ouvert à tous les pays
• Sur le plan européen: le règlement 2016/679 relatif à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données (RGPD), ainsi que la directive 2016/680 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales.
• Sur le plan national: de très nombreux pays ont adopté des réglementations nationales relatives à la protection des données à caractère personnel. C’est par exemple le cas de l’ensemble des pays membres de l’Union européenne.

La notion de donnée à caractère personnel est définie à l’article 4 du RGPD comme étant « (…)toute information se rapportant à une personne physique identifiée ou identifiable (…) directement ou indirectement (…)».

Autrement dit, une donnée à caractère personnel est une donnée ou un ensemble de données qui permettent d’identifier un individu, par tous les moyens.

Une donnée est indirectement identifiante, lorsque sa simple lecture ne permet pas a priori d’identifier un individu, mais dont des recherches complémentaires peuvent le permettre. C’est typiquement le cas d’une adresse e-mail par exemple.

Oui, dans une certaine mesure. L’une des obligations d’un responsable de traitement est la sélection des sous-traitants présentant l’ensemble des garanties suffisantes pour que les données personnelles soient traitées conformément à la réglementation.
Autrement dit, les garanties offertes par OVH en sa qualité de sous-traitant vous permettent de respecter une partie de vos propres obligations. Parmi ces garanties, on retrouve notamment les mesures de sécurité mises en œuvre par nos soins, les engagements pris en matière de localisation du traitement de vos données, etc.

Les obligations d’un responsable de traitement ne se limitent cependant pas à la sélection d’un prestataire conforme. Elles vont bien au-delà du périmètre d’intervention d’OVH en tant que sous-traitant IT. En votre qualité de responsable de traitement, vous ne pouvez donc prétendre à une entière conformité au RGPD en vous limitant à la sélection d’un sous-traitant. Vous devez également respecter les obligations qui vous incombent : le respect du droit des personnes ou la réalisation d’analyses d’impact sur la vie privée, par exemple.

En tant que prestataire de services cloud, OVH se place dans une position de sous-traitant. À cet effet, OVH prend notamment les engagements suivants :

1. Ne pas réutiliser les données hébergées sur nos services : OVH s’engage à traiter les données à caractère personnel du client aux seules fins de la bonne exécution de ses services et selon ses seules instructions.
2. Permettre la réversibilité de vos données : chez OVH, 100 % de nos solutions cloud sont basées sur des standards, dont un certain nombre de technologies open source. Vous pouvez donc récupérer vos données facilement : la réversibilité et l’interopérabilité sont possibles.
3. Vous indiquer précisément où sont stockées et traitées vos données.
4. Vous garantir une totale transparence en matière de recours à des sous-traitants.
5. Vous notifier en cas de violation de vos données.
6. Produire une documentation complète de nos différents services : OVH s’engage à vous communiquer toute documentation adéquate, comme la description des mesures de sécurité mises en œuvre sur vos services, une attestation de localisation du stockage de vos données, etc.
7. Vous garantir contractuellement nos engagements : les engagements d’OVH ne sont pas de belles promesses. Ils sont intégrés contractuellement à notre Data Processing Agreement (DPA). Ce document prend la forme d’une annexe à nos contrats. Il est disponible sur simple demande pour tous nos clients.

Lorsque vous sélectionnez un service permettant de stocker du contenu, en particulier des données à caractère personnel, la localisation ou la zone géographique du ou des centres de données disponibles sont précisées sur le site web d’OVH. Lorsque plusieurs localisations ou zones géographiques sont disponibles, vous pouvez sélectionner celle de votre choix au moment de la commande.

Le « stockage des données » n’est cependant pas synonyme de « traitement des données ». Le RGPD fixe en effet des règles applicables en matière de « traitement » et non de simple « stockage ». Il convient donc d’être particulièrement attentif lors de l’utilisation de ces deux termes.

Lorsque vous sélectionnez une zone de stockage située dans l’Union européenne, OVH vous garantit qu’il ne traite pas vos informations en dehors de l’Union européenne ou de tout pays reconnu par la Commission européenne comme disposant d’un niveau de protection des données à caractère personnel suffisant (au regard de la protection de la vie privée, des libertés et droits fondamentaux des personnes, ainsi qu'à l'égard de l'exercice des droits correspondants [décision d’adéquation]). De plus, nous nous engageons à ne jamais traiter vos données aux États-Unis.

OVH s’engage à traiter les données à caractère personnel du client aux seules fins de la bonne exécution des services et selon ses seules instructions.

Les données hébergées par le client dans le cadre de nos services restent la propriété du client.

Nous nous interdisons toute revente desdites données, de même que toute utilisation à des fins commerciales (telles des activités de profilage ou de marketing direct).

Afin que les engagements d’OVH puissent vous permettre de respecter une partie de vos obligations, ces derniers doivent être stipulés au sein d’un contrat ou de tout autre acte juridique nous engageant à votre égard.

OVH vous assure cette opposabilité à double titre :

• Les Conditions générales de service régissant l’usage de l’ensemble des services OVH comportent des clauses relatives à la protection des données à caractère personnel ;
• Sur simple demande, OVH vous propose la signature d’un avenant spécifique à votre contrat intitulé Data Processing Agreement (DPA). Ce dernier est entièrement dédié aux garanties offertes par OVH en matière de traitement de données à caractère personnel.