Publicité en cours de chargement...

Publicité en cours de chargement...

RGPD VS Cloud Act

23 mai 2018 - 13:18,
Tribune - Charles Blanc-Rolin
À deux jours de l’entrée en vigueur du RGPD programmée depuis deux ans, on peut s’interroger sur la position des États-Unis qui ont promulgué contre tout attente le 23 mars dernier, soit deux mois avant l’entrée en vigueur du règlement européen une loi qui pourrait bien le « remettre en question ». Sacré pied de nez, non ?

L’article 48 du RGPD(1) nous dit : « Toute décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant d'un responsable du traitement ou d'un sous-traitant qu'il transfère ou divulgue des données à caractère personnelne peut être reconnueou rendue exécutoire de quelque manière que ce soit qu'à la condition qu'elle soit fondée sur un accord international... »

Mais le Cloud Act(2) « autorise » le gouvernement des États-Unis à accéder à l’ensemble des données personnelles de n’importe quel citoyen, peu importe sa nationalité, du moment que les données sont stockées chez des hébergeurs américainspeu importe la position géographique du datacenter, et ce sans avoir à saisir un tribunal et bien évidemment pour couronner le tout, sans avoir à notifier les personnes concernées.

Cette situation extrêmement inquiétante a été dénoncée en vain à plusieurs reprises par l’EFF(3) et d’autres organismes de protection droits de l’homme.

Alors, pour faire simple, je suis européen, j’ai des données à caractère personnel stockées chez un hébergeur américain, malgré le RGPD, le gouvernement américain peut accéder à mes données sans que je sois notifié grâce au Cloud Act. 

Cette loi a évidemment un impact sur la confidentialité de nos données de santé.

En effet, une entreprise américaine disposant d’un datacenter sur le territoire français par exemple peut être agréé ou désormais certifié HDS.

Donc mon hébergeur HDS stockant les données des patients (en majorité français) de mon établissement, de plus sur le sol français, censé respecter le RGPD, est également dans l’obligation de donner accès aux données que je lui ai confié, au gouvernement américain si celui-ci lui demande, et ce avant même que le RGPD entre en application.

On constate que le Cloud Act est une véritable riposte au RGPD.
Alors RGDP vs Cloud Act, qui sera le plus fort selon vous ?

Si mon HDS américain est saisi par son gouvernement va-t-il prioriser le RGPD ou le Cloud Act ?
Pour ma part, j’ai bien une petite idée...

La question de la souveraineté n’a jamais été aussi présente dans le choix de ses hébergeurs.


(1) http://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX%3A32016R0679&from=FR

(2) https://www.hatch.senate.gov/public/_cache/files/6ba62ebd-52ca-4cf8-9bd0-818a953448f7/ALB18102%20(1).pdf

(3) https://www.eff.org/deeplinks/2018/02/cloud-act-dangerous-expansion-police-snooping-cross-border-data

https://www.eff.org/deeplinks/2018/03/responsibility-deflected-cloud-act-passes

https://act.eff.org/action/stop-the-cloud-act

Avez-vous apprécié ce contenu ?

A lire également.

Regonfler un pneu ou s’attaquer à la root cause : vision 27001 de la mise sous contrainte

15 sept. 2025 - 22:20,

Tribune

-
Cédric Cartau

Imaginez un peu la scène : vous êtes dans votre jardin en train de tailler vos rosiers, et par-dessus la clôture vous apercevez votre voisin que vous saluez chaleureusement. Vous en profitez pour le prévenir que le pneu arrière gauche de sa voiture, garée dans son allée et que vous voyez très bien d...

Illustration Tour de France CaRE Domaine 2

Tour de France CaRE Domaine 2

13 sept. 2025 - 16:20,

Communiqué

- Orange Cyberdefense

La cybersécurité n’est plus une option pour les établissements de santé ! Grâce au programme CaRE, vous pouvez bénéficier de subventions pour augmenter votre résilience numérique. Orange Cyberdefense vous invite à son Tour de France autour du Domaine 2 du programme CaRE de mi-septembre à mi-octobre.

Illustration CaRE D2 : renforcer la continuité et la reprise d’activité grâce au test du PCRA

CaRE D2 : renforcer la continuité et la reprise d’activité grâce au test du PCRA

08 sept. 2025 - 11:50,

Tribune

-
Manon DALLEAU

Le mois de juillet 2025 a marqué le lancement de CaRE D2, avec pour objectif de renforcer la stratégie de continuité et de reprise d'activité des établissements de santé, aussi bien sur le plan métier que sur le plan informatique. Au cœur du dispositif : le Plan de Continuité et de Reprise d'Activit...

Illustration Certification des établissements de santé : démarrage du 6ᵉ cycle au 1er septembre 2025

Certification des établissements de santé : démarrage du 6ᵉ cycle au 1er septembre 2025

05 sept. 2025 - 11:39,

Actualité

- DSIH

Depuis le 1er septembre 2025, la Haute Autorité de santé (HAS) a officiellement lancé le sixième cycle de certification (2025-2030) des établissements de santé. Ce dispositif, renouvelé tous les quatre ans, constitue un levier majeur d’évaluation de la qualité et de la sécurité des soins dans les st...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.