L’revDSG exige la protection des données dès la phase de planification, des informations sur les flux de données, une analyse d’impact en cas de risque élevé et la communication d’informations sur simple demande. Un système ACO ne répond à ces exigences sur le plan structurel que si l’agent dispose d’un accès en lecture seule, que chaque action est consignée dans un journal et que les données commerciales critiques restent soumises au droit suisse. C’est pourquoi, lorsqu’on évalue un prestataire, on s’enquiert d’abord de la juridiction applicable, du journal d’audit et de la procédure de sortie, et non de l’emplacement du serveur.
Quatre obligations et ce qu’ACO fournit à cet effet.
La base juridique est la loi fédérale sur la protection des données, RS 235.1, en vigueur depuis le 1er septembre 2023. L’autorité de surveillance est le Préposé fédéral à la protection des données et à la transparence (EDÖB). La reproduction des articles est simplifiée.
L’revDSG n’exige aucune technologie particulière. Il exige des preuves. Les quatre articles ci-contre sont les points où un agent ACO devient visible au sein de l’entreprise : accès en lecture seule et journal d’audit pour l’article 7, transparence des flux de données pour l’article 19, l’architecture à deux zones comme élément de l’analyse d’impact pour l’article 22, l’exportation des journaux pour l’article 25.
Ce graphique ne remplace pas un conseil juridique. Il indique les documents qu’un opérateur peut exiger du prestataire avant qu’un agent n’obtienne l’accès au flux d’ordres.
Accès en lecture seule au code et à l’API, journal d’audit pour chaque action, actions limitées au strict cadre de la politique de l’exploitant.
Transparence sur les flux de données et les zones : quelle catégorie de données est traitée où, quelle législation s’y applique, quelle est la base contractuelle.
Une architecture à deux zones constituant un élément documenté de l’analyse d’impact relative à la protection des données : séparation par catégorie de données et par juridiction, conservation nulle, pas d’entraînement avec les données de l’opérateur.
Exportation des journaux : journal d'audit avec horodatage, catégorie de données, finalité et action, accessible à des fins d'information et de contrôle.
Si la boutique en ligne livre dans l’UE ou s’adresse à des personnes qui y résident, le RGPD s’applique également. Concrètement, cela implique deux choses pour le recours à un prestataire ACO : un contrat de sous-traitance conformément à l’article 28 du RGPD et, en cas de risque élevé, une analyse d’impact relative à la protection des données conformément à l’article 35 du RGPD. Le contenu de ces deux dispositions correspond largement à celui de l’article 22 de la loi allemande sur la protection des données (revDSG), de sorte qu’un seul examen suffit pour les deux ordres juridiques.
L’article 14 de la loi allemande sur l’IA (EU AI Act) exige une surveillance humaine effective des systèmes d’IA, et non une autorisation pour chaque décision. Un cadre de politique défini par l’exploitant, un journal d’audit pour chaque action et la possibilité d’interrompre le processus à tout moment satisfont à cette exigence de surveillance.
Deux zones du point de vue suisse.
C’est ainsi que l’implémentation de référence XEREBRO met en œuvre cette séparation. Ce n’est pas l’emplacement d’un serveur qui est déterminant, mais le droit auquel est soumise l’entreprise qui traite les données.
Fournisseur de services cloud certifié UE, région de Francfort.
- Contrat de sous-traitance et clauses contractuelles types (DPA et SCC)
- Conservation nulle : les invites et les données sont traitées, mais ne sont pas stockées
- Pas d’entraînement avec les données de l’opérateur, stipulé contractuellement
- ISO 27001:2022e, ISO 27017, ISO 27018, ISO 27701, SOC 1/2/3 Type II, C5 BSI, PCI DSS Niveau 1
Chaque numéro peut être vérifié via les portails de confiance des fournisseurs. Liste complète des certificats de l’implémentation de référence.
Le CLOUD Act américain de 2018 oblige les fournisseurs relevant du droit américain à remettre des données sur ordonnance, même si celles-ci sont stockées en dehors des États-Unis. Un serveur situé à Frankfurt ne protège donc pas les données commerciales suisses si le partenaire contractuel est un groupe américain. Un fournisseur dont le siège social et la propriété se trouvent en Suisse n'est pas soumis à cette loi, c'est pourquoi la zone critique se situe là-bas.
Pour la boutique en ligne elle-même, trois critères sont déterminants : le droit auquel le prestataire est soumis, les certificats vérifiables via un portail de confiance et l’identité du partenaire contractuel pour le contrat de sous-traitance. Infomaniak et Hostpoint sont des prestataires suisses soumis au droit suisse ; les hyperscalers proposent une chaîne de certificats plus étendue et des régions au sein de l’UE, mais sont soumis à la juridiction de leur pays d’origine. Le choix de la combinaison la plus adaptée dépend des catégories de données traitées par la boutique en ligne, et non du nom de la marque.
Cinq questions à poser à chaque prestataire.
Qui est habilité à définir et à modifier les politiques ?
Rôles, niveaux d'autorisation et journalisation de chaque modification apportée à une politique.