Expertises des Systèmes d'information - Juin 2021 - N°469 - Le mensuel du droit de l'informatique et du multimédia - 235

de libre circulation des données
en vertu du droit de l'UE(5)
. Internet
est mondial et au-delà d'internet,
la plupart des
opèrent dans un environnement
global intégré, sans compter qu'il
convient de garder à l'esprit que
'l'accès à distance par une entité
d'un pays tiers à des données
situées dans l'EEE est également
considéré comme un transfert'6
.
Le coût d'exploitation d'un service
localisé doit également être pris
en compte, y compris les coûts
de
support,
d'ingénierie
(le
développement, le support et les
montées en version), et les coûts
de sauvegarde. Ainsi, tandis que la
création d'infrastructures locales
peut à court terme impliquer
des emplois pour les économies
locales, la réalité est que, étant
donné qu'elles sont souvent entièrement
automatisées, le dividende
des emplois et de l'investissement
peut s'avérer de courte durée.
La localisation de données est
également souvent vantée comme
étant un moyen de protéger les
données des citoyens européens
contre la surveillance des gouvernements
des pays tiers, et en
particulier celui du gouvernement
américain en vertu du Cloud Act.
Si la localisation offre certaines
protections, elle ne signifie pas
pour autant que les données sont
protégées de manière adéquate
dans le pays. La localisation des
données, par exemple, ne signifie
pas que des mesures de sécurité
de type cryptage sont mises
en place, ni que la surveillance
locale n'existe pas - et ce même
dans des pays considérés par la
Commission européenne comme
étant adéquats7
.
Vous avez probablement entendu
parler des alliances Five Eyes, Nine
EYES, et Fourteen Eyes, toutes
ayant trait à des accords de partage
de renseignements. Pour mémoire,
l'alliance Five Eyes est née à l'ère
de la Guerre froide : ce pacte entre
les Etats-Unis et l'Angleterre visait
à intercepter les renseignements
entreprises
soviétiques. A la fin des années
1950,
le Canada, l'Australie et la
Nouvelle-Zélande ont rejoint cette
alliance. Ces 5 pays anglophones
constituent l'« Alliance des Five
Eyes ». Depuis, deux autres accords
internationaux ont été révélés au
grand public : les Nine Eyes (Five
Eyes + le Danemark, la France,
la Hollande et la Norvège) et les
Fourteen Eyes Alliance (Nine Eyes
+ l'Allemagne, la Belgique, l'Italie, la
Suède et l'Espagne).
Dans cette optique, certaines
entreprises soutiennent, sans
preuves, qu'en faisant des affaires
à partir d'une juridiction donnée,
elles seraient en mesure d'offrir
une protection plus adéquate
pour contrecarrer la surveillance.
Pourtant, et sans surprise, aucun
pays - même au sein de l'Union
européenne - n'offre le même
degré de protection contre la
surveillance, et celle des EtatsUnis
n'est d'ailleurs guère plus
étendue que celles d'autres pays
considérés comme fournissant
une protection adéquate.
Prenons l'exemple du VPN8
dont
l'objectif est d'assurer l'anonymat.
Bien des fournisseurs affirment
que l'utilisation du VPN en dehors
des pays du 5/9/14 Eyes offre une
protection supplémentaire.
La vérité, c'est qu'une fois cet
axiome verbalisé, la question
demeure pour autant sans réponse,
et ce pour bien des raisons. Les
VPN ont une envergure internationale,
ce qui implique que toute
organisation opérant dans un
pays donné peut-être soumis aux
forces de l'ordre de ce pays, que
ce soit par traité ou par tout autre
type d'ordonnance de justice. Si
un pays n'a pas de traité général
et ne fait pas partie des 5/9 ou 14
Yeux, rien ne l'empêche d'exercer
une pression politique sur un autre
pays (notamment des sanctions)
pour arriver à ses fins. De plus,
le fait d'être établi dans un pays
donné, le Panama par exemple,
ne signifie pas qu'il refusera de
coopérer avec les autorités d'un
autre pays, comme le Canada.
EXPERTISES JUIN 2021
Il y a peu de chance de trouver un
pays qui soit complètement à l'abri
des lois sur l'accès aux données
d'une manière ou d'une autre, et
rien ne peut empêcher un pays
d'exercer un moyen de pression
sur un autre pays afin d'obtenir
ce qu'il veut. Il en va de même
pour les entreprises. Microsoft, par
exemple, a récemment annoncé
avoir 'répondu à l'Appel de l'Europe'
mais Microsoft9
ne peut
rejeter
une demande fondée sur le Cloud
Act, et l'indemnisation offerte
par Microsoft pour une violation
du RGPD n'équivaut nullement
à l'accès à un recours judiciaire
requis par la décision Schrems II.
Une fois que tout ce qui précède
est dit, il faut garder à l'esprit que
ce n'est pas parce qu'être anonyme
est
impossible, que l'on ne doit
pas essayer de protéger autant que
possible ses données personnelles,
ou demander aux entreprises de
strictement se conformer aux
principes de minimisation des
données. En somme, les gouvernements
n'auraient pas accès à
autant de données si les entreprises
n'en détenaient pas ellesmêmes
autant. In fine, le principe
de la minimisation des données
s'avère être non seulement un outil
permettant d'accroître la sécurité,
puisque les hackers ne peuvent
pas voler ce que vous n'avez pas,
mais potentiellement, ce principe
permet de réduire diminuer les
coûts de redondance des données,
du stockage, etc.
Quels sont les
implications pour la
cybersécurité ?
En 2020, L'Internet Society a rédigé
un rapport sur l'implication de la
localisation des données pour la
cybersécurité aux termes duquel il
est indiqué que « la cybersécurité
peut souffrir du fait que les organisations
sont moins capables de
stocker des données à l'extérieur
des frontières dans le but d'augmenter
la fiabilité et d'atténuer une
grande variété de risques, en ce
compris les cyber-attaques et les
catastrophes nationales 10
».
235
Expertises des Systèmes d'information - Juin 2021 - N°469 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2021 - N°469 - Le mensuel du droit de l'informatique et du multimédia
