ISO/CEI 27018

La norme ISO/CEI 27018:2014 permet d'établir les objectifs de contrôle, les contrôles et les lignes directrices communément acceptés pour la mise en œuvre de mesures de protection des informations personnelles (PII) conformément aux principes de respect de la vie privée de l'ISO/CEI 29100[2]. Elle s’appuie principalement sur les normes :

• ISO/CEI 17788[3] sur le cadre et le vocabulaire du cloud computing, (Information technology – Cloud computing – Overview and Vocabulary). Concrètement, c'est une base de terminologie pour les normes de cloud computing applicable à tous les types d'organisations (par exemple, les entreprises commerciales, agences gouvernementales, organisations à but non lucratif),
• ISO/CEI 27002 pour les bonnes pratiques de sécurité de l’information,
• ISO/CEI 29100[2] pour le cadre de protection de la vie privée.

En particulier, l'ISO/CEI 27018:2014 spécifie des directives basées sur l'ISO/CEI 27002, prenant en considération les exigences réglementaires pour la protection des PII qui pourraient être applicables dans le contexte des environnements de sécurité de l'information d'un fournisseur de services publics et des services de cloud computing.

ISO/CEI 27018:2014 s'applique à tous les types et tailles d'organisations, y compris les entreprises publiques et privées, les entités gouvernementales et les organisations à but non lucratif qui fournissent des services de traitement de l'information en tant que processeurs PII via le cloud computing.

Les lignes directrices de l'ISO/CEI 27018:2014 pourraient également être pertinentes pour les organisations agissant en tant que contrôleurs PII. Cependant, les contrôleurs PII peuvent être soumis à des lois, réglementations et obligations supplémentaires en matière de protection des données personnelles, ne s'appliquant pas aux processeurs PII. L'ISO/CEI 27018 : 2014 n'est pas destinée à couvrir de telles obligations supplémentaires.

Avant l’ISO/CEI 27018, il n’existait pas de référentiel fiable reconnu au niveau international pour la protection des informations personnelles identifiables (PII) stockées dans le cloud. Il y avait toutefois l'ISO/CEI 27001, une norme bien implantée qui prévoyait un système souple permettant d’identifier les risques de sécurité de l’information et de choisir les moyens de les traiter. Pour ce faire, il existe des Prestataire de Services de Cloud (PSC)[4]. Le cloud computing tel qu'indiqué dans ce lien repose sur une utilisation mutuelle des infrastructures. Ainsi, des données d’entreprises concurrentes peuvent être stockées dans un même lieu appelé centre de données (datacenter en anglais). De ce fait, le lieu physique des datacenter a un impact certain sur la loi à utiliser dans le traitement de ces données. Ce point peut constituer un frein certain sur le développement de cette technologie. D'aucuns peuvent penser que l’utilisation des données ne sera pas vue de la même façon dans chaque pays. De même que certaines lois viennent directement affecter les usages. À titre d'exemples on peut citer le USA PATRIOT Act, certaines lois françaises ou encore les délibérations de la Commission nationale de l'informatique et des libertés (France) ou des règlements Européens[5]. L’ensemble de ces lois et règlements disparates par état (et parfois divergents) ont donné lieu à des initiatives privées pour définir un code de bonnes pratiques internationales devant, par la force des choses, s’appliquer à tout le monde. Ainsi, l’Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (CEI) ont d’abord adopté en 2013 les normes ISO/CEI 27001 et ISO/CEI 27002 relatives à la protection des systèmes d’information, avant d’adopter le 29 juillet 2014 la norme ISO/CEI 27018 abordant les spécificités liées au cloud computing. Cette initiative est le fruit d’une coopération entre l’Organisation internationale de normalisation (ISO), l’Union internationale des télécommunications (IUT) et la Commission électrotechnique internationale CEI. En France, l'Association française de normalisation (AFNOR) avait aussi mis en place une commission impliquant des acteurs majeurs comme IBM, Hitachi Data System, OVH ou encore Microsoft.

• l'Association française de normalisation (AFNOR)
• l’Organisation internationale de normalisation (ISO)
• EY CertifyPoint[6], un organisme de certification ISO accrédité par le conseil d'accréditation des Pays-Bas et membre de l'International Accreditation Forum[7] (IAF). Les certificats délivrés par EY CertifyPoint sont reconnus dans tous les pays membres de l'IAF.

La norme ISO/CEI 27018 est donc la première norme visant spécifiquement la protection des données personnelles dans le cadre du cloud computing. Bien qu’elle soit dénuée de toute force contraignante, elle prévoit néanmoins un ensemble de bonnes pratiques et de règles devant être respectées par les prestataires ayant accepté de s’y conformer. Quatre lignes directrices sont notamment imposées aux prestataires de cloud computing :

• Obligation d’informer les clients du lieu de stockage des données et de sécuriser leur traitement ;
• Interdiction d’utiliser les données des clients pour leurs propres finalités ;
• Le non-respect des mesures de sécurité peut donner lieu à un rapport sur les incidents et leur résolution, et une notification faite aux clients et aux autorités de contrôle ;
• Certification par un établissement accrédité et indépendant (telle que l'Association française de normalisation (AFNOR)).

Après quatre années de débats, l’Union européenne a terminé le processus visant à conduire à la création d’un règlement qui sera applicable dès mai 2018[9]. Ce règlement met l’accent sur six points. À noter que les normes ISO/CEI énoncent un code de bonne pratique. Ce code de bonne pratique n’est pas totalement en adéquation avec le nouveau règlement européen. Comme le souligne le site de l'Association française de normalisation (AFNOR)[10], les normes sont d’application volontaire. De plus, elles sont revues tous les 5 ans. Comme indiqué un peu plus haut, cette norme met l’accent sur 6 principes clés :

• Données à emporter, ou plus exactement, la faculté dont dispose un utilisateur pour récupérer ces données communiquées sur une plateforme pour les transférer sur une autre plate-forme,
• Plus de transparence, détermine la capacité d’un utilisateur à exercer ses droits (droit d’accès, de rectification…),
• Protection des mineurs, il est à noter que le service en ligne devra collecter le consentement des parents en cas d’inscription par des mineurs de moins de 16 ans,
• Un guichet unique, concernant les problèmes de protection des données,
• Sanctions renforcées, avec une amende pouvant s’élever jusqu’à 4 % de son CA mondial,
• Consécration du droit à l'oubli.