FR EN

Toute l'actualité d'Altij

22.03.2024 10:34

DEEP FAKES PORNOGRAPHIQUES : Que dit la loi ?

La diffusion de deepfakes pornographiques mettant en scène la chanteuse Taylor Swift à la fin du...


Cat: Droit de la Propriété Intellectuelle, Droit des Technologies Avancées, Droit Social, Veille Juridique
20.03.2024 14:52

Cession de marque : Les dangers de la gratuité !

La Cour d’appel de Paris vient de confirmer que la cession des titres de propriété industrielle...


Cat: Droit de la Propriété Intellectuelle, Propriété industrielle (Marques, Dessins et modèles), Veille Juridique
19.03.2024 14:25

Altij Avocats au Forum International de Cybersécurité

Du 26 au 28 mars 2024, l'équipe ALTIJ sera présente aux côtés de notre legal...


Cat: Données - Bases de données – RGPD / DPO - Big Data et intelligence artificielle, Droit de la Propriété Intellectuelle, Droit des Technologies Avancées, Informatique, libertés et vie privée , Veille Juridique
15.02.2024 11:10

Les enjeux de souveraineté des données de santé en France

L’Internet Society France demande l’annulation de la délibération de la CNIL autorisant...


Cat: Données - Bases de données – RGPD / DPO - Big Data et intelligence artificielle, Recours collectifs, Veille Juridique
12.02.2024 16:49

Congés payés : Les règles d’acquisition ont changé !

Le Conseil constitutionnel s’est prononcé à son tour (2/2)


Cat: Droit Social, Contentieux prud'homal et licenciements , Droit pénal du travail , Hygiène, Santé et sécurité , Relations individuelles et contrat de travail, Les essentiels, Veille Juridique
10.01.2024 14:55

Droit social : Attention à la rédaction de l’avis d’inaptitude !

A la suite d’un avis d’inaptitude d’un salarié, l’employeur est dispensé de toute recherche de...


Cat: Droit Social, Contentieux prud'homal et licenciements , Hygiène, Santé et sécurité , Relations individuelles et contrat de travail, Veille Juridique
10.01.2024 10:39

Proposition d’un CDI à l’issue d’un CDD : une nouvelle formalité incombe aux employeurs

Depuis le 1er janvier 2024, une nouvelle procédure est en vigueur pour les employeurs souhaitant...


Cat: Droit Social, Contentieux prud'homal et licenciements , Droit pénal du travail , Gestion des départs négociés , Relations individuelles et contrat de travail, Veille Juridique
voir les archives ->
< Cession au profit du dirigeant : un dispositif non-repris et incompris
12.03.2021 15:44 Il y a: 3 yrs
Categorie: Données - Bases de données – RGPD / DPO - Big Data et intelligence artificielle
Auteur : Altij

Incendie chez OVHcloud : quels impacts en matière RGPD ?


Alors que la société OVHcloud préparait son introduction en Bourse sur le marché financier parisien [1], l’un de ses data centers a été entièrement ravagé par un incendie dans la nuit du 9 mars et quatre des huit salles d’un deuxième datacenter ont été endommagées, touchant ainsi l’activité de 3,6 millions de site internet [2].

Au-delà des dégâts causés par l’incendie sur les data centers, c’est l’activité du cloud français qui est impactée. En effet, par précaution, la société a coupé l’électricité sur le site, empêchant ainsi l’activité des deux autres datacenters du site, lesquels devraient être redémarrés selon le PDG de la société progressivement les 15 et 19 mars prochains.

Cette destruction est l’occasion de rappeler aux responsables de traitement et aux sous-traitants les impacts d’un tel incendie en matière de protection des données et notamment en cas de violation des données sur la relation avec les sous-traitants, tels que les hébergeurs, et sur les obligations en matière de sécurité.

Pour mémoire, l’article 4. 12) du RGPD définit « une violation de données à caractère personnel comme une violation de la sécurité entrainant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données ».

S’agissant de l’incident d’OVHcloud, ce dernier pourrait – dans la mesure où des données à caractère personnel sont concernées – revêtir la qualification de violation de données. En effet, sauf à ce que les clients aient souscrit à des prestations de sauvegarde sur le même site ou un site différent, ou aient effectué de telles opérations en interne ou par le biais d’autres prestataires, l’incendie a engendré une perte de données pour les clients, notion explicitement visée par l’article précité.

Lorsqu’une violation de données à caractère personnel est constatée, il appartient au responsable de traitement de notifier la violation en question à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance.

Dans le cas présent, OVHcloud agit, bien généralement, en qualité de sous-traitant de ses clients, lequel est lui-même soumis à une obligation de notification aux responsables de traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance [3]. Dans le contexte – très médiatisé – de l’incendie chez OVHcloud, l’on peut se demander quand il sera considéré que les responsables de traitement ont eu connaissance de la violation de données : dès la médiatisation du dommage, lors de la confirmation explicite par OVH cloud à ces derniers de ce que leurs données ont été endommagées ? Il ne peut être exclu que cet incident apporte quelques éclairages sur les obligations de notification de chacun, notamment dans un contexte d’hypermédiatisation de la perte des données. 

L’on notera par ailleurs, que le défaut de notification d’une violation de données à caractère personnel, en sus d’être susceptible de faire l’objet d’une amende administrative pouvant aller jusqu’à 10 millions d’euros ou 2% du chiffre d’affaire annuel mondial total de l’exercice précédent, est également constitutif d’une infraction pénale pouvant donner lieu à 300 000 euros d’amende et cinq ans d’emprisonnement [4].

Aussi, l’interdépendance du responsable de traitement et du sous-traitant est l’occasion de rappeler qu’il appartient aux responsables de traitement – dans le cas présent, les clients d’OVH – de faire appel à des sous-traitants – dans le cas présent, OVH – présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement.

Cet incident n’est ainsi pas sans rappeler l’importance de la négociation des contrats entre responsables de traitements et sous-traitants. En effet, en vertu de l’article 28.3 du RGPD, le traitement par un sous-traitant est régi notamment par un contrat, lequel doit reprendre les clauses obligatoires prévues par l’article précité, en ce compris notamment le fait que le sous-traitant doive aider le responsable de traitement à remplir ses obligations en matière de violation des données et que le sous-traitant prenne les mesures requises par l’article 32.

A ce titre, l’article 32 du RGPD, relatif à la sécurité du traitement prévoit, que le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins notamment :

« b) des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;

c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans délais appropriés en cas d’incident physique ou technique 

d) une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. »

Aussi, la négociation des contrats de sous-traitance est primordiale pour les responsables de traitement, lesquels doivent non seulement s’assurer que le contrat réponde aux exigences formelles de l’article 28.3 mais également que celui-ci se révèle être un véritable outil pour la mise en œuvre pratiques des traitements effectués en leur nom et pour leur compte par les sous-traitants.

A cet égard, l’on relève notamment l’importance capitale d’analyser, et le cas échéant de négocier, les éventuelles clauses de responsabilité présentes au sein des contrats de sous-traitance. En effet, il est en pratique très fréquent que les contrats de sous-traitance prévoient des plafonds de limitation de responsabilité, lesquels ne sont notamment pas applicables en présence d’une faute lourde.

Pour une illustration, l’on peut mentionner un arrêt du Tribunal de commerce de Nanterre, du 23 avril 2019 Haulotte Group / Capgemini France [5]. La société Haulotte, fabricant de nacelles élévatrices, faisait appel à la société Euriware, reprise depuis par Capgemini, pour des prestations d’archivage et sauvegarde informatique. A la suite d’une panne informatique, plusieurs fichiers appartenant au client ont été endommagés, entrainant une perte significative d’informations techniques.

Afin que soit écarté le plafond de responsabilité fixé à une année de rémunération, soit 537.896,04 euros – alors que la société Haulotte sollicitait le paiement de la somme de 7 237 500 euros – la société Haulotte a soutenu que la société Capgemini avait commis une faute grave. Le tribunal rejeta toutefois l’argument au motif que le comportement de la société Capgemini montre une volonté de mettre un terme au dysfonctionnement constaté et qu’ainsi, son comportement n’est pas constitutif d’une faute grave et intense.

Cette décision est la démonstration de l’intérêt, lorsque cela est rendu possible en pratique de négocier les éventuels plafonds de responsabilité en amont, dans la mesure où, bien que des outils juridiques permettent d’en contester l’applicabilité, ces arguments demeurent tributaires de l’aléa judiciaire.

Cet incendie est de surcroit le rappel de ce que :

D’une part, si bon nombre de structures s’évertuent, conformément à leurs obligations, à mettre en place des politiques de sécurité accrues pour réduire le risque d’une cyberattaque, la violation de données recouvre aussi la réalité très pragmatique et patente de l’incendie et plus globalement, tous les risques naturels et/ou industriels qui pourraient engendrer la destruction des données. Aussi, une des leçons de cet incendie est l'informatique reste soumise aux lois du réel, que le « cloud » et l’informatique résiliente ont un coût incompressible.

D’autre part, si certains responsables de traitement font le choix d’externaliser leurs traitements par des solutions de cloud, ils demeurent toutefois responsables et soumis aux obligations du RGPD. Aussi, le recours à un prestataire tiers ne leur permet pas de s’exonérer d’auditer leurs sous-traitants et de contrôler les modalités de traitement de leurs données par des structures telles qu’OVH, bien au contraire. En vertu du principe d’accountability issu du RGPD, et malgré une responsabilisation de l’ensemble des acteurs de la chaîne contractuelle, il est ainsi primordial pour le responsable de traitement de garder une maîtrise des traitements effectués par ses sous-traitants.

Dès lors, si cet évènement devait donner lieu à des sanctions et/ou des engagements de responsabilité, il conviendra ainsi que soient déterminés les partages de responsabilité de chaque acteur en vertu des fautes et/ou violations commises par chacun d’entre eux. L’on peut à cet égard mentionner les délibérations « Darty » et Hertz » de la CNIL, à l’occasion desquelles ces deux sociétés ont été sanctionnées par l’autorité de contrôle notamment en raison de leur négligence dans le suivi des actions de leurs sous-traitants [6]. De l’intérêt de ne pas confondre externalisation d’une solution et déresponsabilisation.

Nos équipes se tiennent à votre disposition afin de vous accompagner dans la revue, la gestion et la négociation de vos contrats avec les sous-traitants ainsi que plus globalement, la mise en œuvre de l’ensemble de la documentation contractuelle utile à la mise en place d’une stratégie de compliance dynamique.

Nos pensées vont naturellement aux équipes d'OVH, à leurs clients, à tous ceux impactés par ce sinistre du datacenter et nos plus vifs remerciements aux pompiers, secouristes.

 

 


Notes :

[1] https://www.usine-digitale.fr/editorial/le-champion-francais-du-cloud-ovh-prepare-son-introduction-en-bourse.N1069124

[2] https://www.zdnet.fr/actualites/incendie-ovhcloud-le-plan-bataille-de-l-entreprise-pour-faire-face-a-l-avenir-et-a-ses-clients-39919273.htm ; https://www.journaldunet.com/web-tech/cloud/1498567-incendie-chez-ovh-les-donnees-ont-elles-ete-sauvegardees/

[3] Article 33 du RGPD.

[4] Article 226-17-1 du Code pénal.

[5] Tribunal de commerce de Nanterre, 5ème ch., jugement du 23 avril 2019.

[6] Délibération SAN-2017-010 du 18 juillet 2017 et Délibération SAN-2018-001 du 8 janvier 2018.