Stocker des données en Europe n’est pas synonyme de les contrôler
La souveraineté des données est souvent considérée comme une question de géographie. En pratique, il s’agit tout autant d’une question de portée juridique et de contrôle opérationnel.
Eurojust, l’agence européenne qui soutient la coopération judiciaire en matière pénale, a expliqué que la loi américaine CLOUD Act stipulait explicitement que les fournisseurs de services américains pouvaient être tenus de conserver et de produire les données qu’ils contrôlent, quel que soit l’endroit où ces données sont stockées.
En langage clair : L’hébergement dans l’UE ne supprime pas automatiquement l’exposition au risque juridique américain lorsque le fournisseur reste soumis à la juridiction des États-Unis.
Pour les organisations qui utilisent la vidéo corporelle, cette distinction est importante. Ces systèmes traitent souvent des séquences sensibles, impliquent des incidents en contact avec le public et se trouvent dans des environnements où la responsabilité et la chaîne de possession sont importantes.
Le risque s’aggrave lorsque
- le fournisseur est soumis à la juridiction des États-Unis en raison de sa propriété, de son contrôle ou de son lien opérationnel
- l’assistance ou l’administration peuvent accéder aux données depuis l’extérieur de l’EEE (Espace économique européen)
- les sous-traitants se trouvent dans des pays tiers, ou les services clés dépendent d’entités situées en dehors de l’EEE
L’arrêt Schrems II de la CJUE a souligné l’importance de cette question. La législation de l’UE exige une protection essentiellement équivalente lorsque des données à caractère personnel sont exposées à l’accès des autorités publiques d’un pays tiers.
Le point de départ des tensions : L’accès légal aux États-Unis contre les règles de protection des données de l’UE
Le GDPR n’est pas la source du problème. Le vrai problème est que la législation américaine peut obliger certains fournisseurs à divulguer des données sous leur contrôle, alors que la législation européenne sur la protection des données fixe des limites strictes quant au moment où les données à caractère personnel peuvent être divulguées ou transférées.
Cela crée une tension directe pour les organisations qui traitent des vidéos corporelles sensibles. Même si les données sont stockées dans l’UE, l’exposition à un fournisseur relevant de la juridiction américaine peut toujours soulever des questions de souveraineté et de conformité.
Le Comité européen de protection des données a précisé qu’un ordre d’un gouvernement étranger ne crée pas automatiquement une base légale en vertu du GDPR pour la divulgation ou le transfert. En d’autres termes, le fait de recevoir un ordre ne signifie pas que l’on est autorisé à s’y conformer en vertu de la législation de l’UE.
Pour les équipes juridiques et les responsables des achats, cela signifie que l’évaluation des fournisseurs doit aller au-delà de l’emplacement de stockage.
Liste de contrôle pour les affaires juridiques et la passation de marchés
Lors de l’évaluation d’un fournisseur, les questions clés sont simples :
- Qui est la contrepartie légale et quelle est la juridiction qui la régit ?
- Qui peut techniquement accéder aux données, y compris l’assistance et la réponse aux incidents ?
- Quelle est la procédure documentée pour les demandes des pays tiers, y compris la contestation, la notification et le rapport de transparence ?
- Qui contrôle les clés de chiffrement et le fournisseur peut-il y accéder ?
Les recommandations 01/2020 de l’EDPB expliquent également pourquoi des mesures supplémentaires, y compris un cryptage fort et des contrôles organisationnels, peuvent être nécessaires lorsque les outils de transfert ne fournissent pas à eux seuls une protection équivalente à celle de l’UE.
Ce que cela signifie en pratique
Pour de nombreuses organisations, la leçon pratique est simple : Le stockage des données dans l’UE ne suffit pas. Si des données vidéo sensibles peuvent encore être accessibles via la juridiction américaine, la véritable évaluation doit porter sur la structure du fournisseur, l’accès opérationnel, les sous-traitants et la gouvernance.
Cela est particulièrement important pour la police, les services d’application de la loi, les services d’inspection et d’autres secteurs publics où les séquences enregistrées peuvent contenir des données à caractère personnel, des preuves ou des éléments sensibles sur le plan juridique.
La place de ZEPCAM
Pour les organisations qui souhaitent réduire leur exposition potentielle à la juridiction américaine, une solution plus structurelle consiste à choisir un fournisseur de vidéos corporelles dont la propriété, le modèle d’hébergement et la structure opérationnelle sont conçus pour minimiser autant que possible cette exposition.
ZEPCAM est un fournisseur européen de vidéosurveillance corporelle dont le siège social se trouve aux Pays-Bas et qui dispose d’une base juridique et opérationnelle néerlandaise. Il propose des options de déploiement qui permettent de renforcer le contrôle local sur les données vidéo sensibles, notamment l’hébergement géré par ZEPCAM dans certaines juridictions et l’infrastructure contrôlée par le client le cas échéant. et l’installation sur site.
ZEPCAM met également en avant des certifications reconnues en matière de sécurité de l’information, de sécurité du cloud et de contrôle de la confidentialité, notamment ISO 27001, ISO 27017 et ISO 27018, lorsqu’elles sont applicables dans le cadre de son modèle de service.
Cela ne supprime pas toutes les obligations de conformité, mais cela peut aider les organisations à réduire les risques juridiques et opérationnels par rapport aux modèles de fournisseurs qui restent plus étroitement liés à la juridiction non européenne.
Dernière réflexion
Si la vidéo corporelle fait partie de votre flux de travail opérationnel ou juridique, la bonne question n’est pas seulement de savoir où vos données sont stockées. La question la plus importante est de savoir qui peut être contraint d’y accéder.
C’est là que la différence entre le stockage et la souveraineté devient très réelle.