Cloud computing : qui est responsable et que doit contenir l’accord de traitement

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

Cloud computing : qui porte la responsabilité juridique quand quelque chose tourne mal ?

Israël n’a pas de loi spécifique sur le cloud computing, mais cela ne signifie pas qu’il existe un vide juridique. La loi sur la protection de la vie privée s’applique à toute personne qui détient une base de données contenant des informations personnelles, que le serveur se trouve à Tel-Aviv ou en Virginie. Un prestataire de cloud qui traite des informations personnelles pour le client est un « détenteur » au sens de la loi, c’est-à-dire un intervenant extérieur qui traite des informations pour le responsable de la base de données (article 3). Lui aussi est responsable de la sécurité des données (article 17). Le règlement sur la sécurité des données fixe les normes de sécurité des données. Parmi elles figure l’obligation de vérifier une fois par an que les informations conservées dans la base ne dépassent pas ce qui est nécessaire à ses finalités (article 2(c)). Le point pratique : celui qui transfère des données vers le cloud ne transfère pas la responsabilité, il la conserve.

L’amendement n° 13 de la loi sur la protection de la vie privée, entré en vigueur le 14 août 2025, a nettement renforcé les pouvoirs de l’Autorité de protection de la vie privée. Elle peut imposer des sanctions pécuniaires qui, pour les grandes bases de données, sont calculées selon le nombre de personnes figurant dans la base et peuvent atteindre des millions de shekels (article 23Z). L’analyse d’impact sur la vie privée (DPIA) n’est pas une obligation générale de la loi, mais il est recommandé de la réaliser avant de transférer des informations sensibles (médicales, financières ou biométriques) à un prestataire extérieur.

Quelles obligations juridiques s’appliquent à vous lorsque vous utilisez un service de cloud ?

La loi sur la protection de la vie privée impose trois obligations principales à toute personne qui utilise des services de cloud pour traiter des informations personnelles.

Liste de contrôle pratique

1. L’obligation d’information : celui qui demande des informations personnelles doit indiquer si leur communication dépend de son consentement, dans quel but elles sont collectées, à qui elles seront transmises, qui est le responsable de la base de données et comment le joindre, et que la personne concernée dispose d’un droit d’accès et du droit de demander une rectification (article 11, dans sa rédaction issue de l’amendement n° 13). Une atteinte à la vie privée exige un consentement éclairé (articles 1 et 3).
2. Le droit d’accès : toute personne a le droit de consulter les informations la concernant dans la base de données (article 13) et de demander la rectification ou la suppression d’informations erronées (article 14).
3. La minimisation des données : le traitement n’est permis que pour la finalité de la base de données (article 8(b)), et il faut vérifier une fois par an que les informations ne dépassent pas ce qui est nécessaire (article 2(c) du règlement sur la sécurité des données). Le contrat avec le prestataire de cloud doit prévoir la restitution et la destruction des données à la fin de la relation (article 15(a)(2)(d)).

Depuis l’amendement n° 13, l’obligation d’enregistrement ne s’applique qu’à une base de données dont le but principal est de collecter des informations pour les transmettre à des tiers à titre professionnel ou contre rémunération (lorsqu’elle contient des informations sur plus de 10 000 personnes), et à la base de données d’une autorité publique. Une base qui contient des informations particulièrement sensibles sur plus de 100 000 personnes doit être déclarée à l’Autorité (article 8A). L’utilisation de services de cloud ne dispense pas de ces obligations : la base de données, ce sont les données, pas le serveur physique qui les héberge. Beaucoup d’organisations négligent ce point et se retrouvent en infraction de procédure, même lorsque leur sécurité des données est excellente.

Souveraineté des données : le serveur est à l’étranger, le droit est israélien

Le règlement sur la protection de la vie privée (transfert de données vers des bases de données situées hors des frontières de l’État), 5761-2001 (תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001) interdit le transfert d’informations personnelles à l’étranger, sauf si le pays de destination offre un niveau de protection suffisant, ou si un contrat spécifique prévoyant des protections équivalentes a été signé. Les Standard Contractual Clauses (SCC) que proposent les grands prestataires de cloud sont un outil du droit européen. Au regard du règlement israélien, il faut vérifier séparément que l’une des conditions de transfert est remplie et que le prestataire s’est engagé par écrit à protéger les informations (article 3). « Grand prestataire = je suis protégé » n’est pas une défense juridique.

Même lorsque les serveurs sont à l’étranger, la loi sur la protection de la vie privée d’Israël s’applique à toute organisation israélienne qui utilise le service. Concrètement, si le prestataire de cloud subit un incident de sécurité grave, le responsable de la base de données (le client) doit en informer immédiatement l’Autorité de protection de la vie privée, et l’Autorité peut lui ordonner d’en informer les personnes concernées (article 11(d)). Le contrat avec le prestataire doit l’obliger à informer le client de tout incident de sécurité (article 15(a)(2)(h)). L’audit préalable (due diligence) avant la signature d’un contrat de cloud comprend : la vérification du certificat SOC 2 Type II ou ISO 27001 du prestataire, l’examen de sa politique de notification des violations (breach notification), et la vérification que le DPA répond aux exigences israéliennes.

Accord de traitement des données (DPA)

Tout contrat entre une entreprise et un prestataire de cloud qui traite des informations personnelles doit comprendre un accord de traitement des données (Data Processing Agreement, DPA). Le DPA doit indiquer : la finalité précise du traitement, les instructions de traitement (processing instructions), les garanties de sécurité du prestataire, la manière de traiter les demandes d’accès des personnes concernées, et ce que deviennent les données à la fin de la relation. Le DPA n’est pas un simple document formel : c’est l’outil par lequel l’organisation prouve qu’elle a pris des précautions raisonnables.

En pratique, beaucoup de sociétés « acceptent » les conditions standard de cloud de Google, AWS ou Microsoft sans vérifier si leur DPA répond aux exigences israéliennes. Les questions à poser : le DPA permet-il au prestataire d’utiliser les données pour développer des produits ? La localisation des serveurs est-elle limitée ? Quel est le calendrier de restitution des données à la fin du contrat ? L’article 15 du règlement sur la sécurité des données énumère les sujets qui doivent figurer dans le contrat avec un intervenant extérieur qui reçoit un accès à la base de données. C’est le point de référence obligatoire.

Quelles mesures de sécurité faut-il prendre selon le règlement de 2017 ?

Le règlement sur la protection de la vie privée (sécurité des données), 5777-2017, fixe des niveaux de sécurité (de base, moyen et élevé), auxquels s’ajoute la base de données gérée par un particulier. Une base de données qui contient des informations sensibles (par exemple médicales, financières ou pénales) relève en principe au moins du niveau moyen. Elle relève du niveau élevé lorsqu’elle contient des informations sur 100 000 personnes ou plus, ou plus de 100 titulaires d’autorisations d’accès (première et deuxième annexes). À tous les niveaux, le transfert d’informations sur un réseau public ou sur Internet doit se faire avec un chiffrement reconnu (article 14(b)). Le chiffrement au stockage est aussi une bonne pratique recommandée pour un prestataire qui traite des informations sensibles. La norme ISO/IEC 27001, répandue chez les prestataires de cloud internationaux, offre un cadre reconnu de gestion de la sécurité de l’information et indique que le prestataire prend la sécurité au sérieux.

L’obligation de désigner un responsable de la sécurité des données est fixée à l’article 17B de la loi, par exemple pour une autorité publique, une banque et le responsable de cinq bases de données soumises à enregistrement ou à déclaration. Dans une base de données de niveau de sécurité élevé, une évaluation des risques et des tests d’intrusion sont exigés au moins une fois tous les 18 mois (article 5(c)–(d)). Lorsqu’une entreprise passe à un environnement cloud, elle n’échappe pas à ces obligations. Elle doit vérifier que le DPA conclu avec le prestataire de cloud les couvre expressément, y compris des tests d’intrusion (penetration testing) périodiques et des rapports SOC.

Exemple : quel niveau de sécurité s’applique à une base de données dans le cloud ?

Une clinique héberge dans le cloud les dossiers médicaux de 120 000 patients.

1. Les informations médicales figurent au point 1(3)(b) de la première annexe du règlement sur la sécurité des données.
2. Une telle base, qui contient des informations sur 100 000 personnes ou plus, relève du niveau de sécurité élevé (deuxième annexe, point (1)).
3. Conséquence : une évaluation des risques et des tests d’intrusion au moins une fois tous les 18 mois (article 5(c)–(d)) ; une journalisation automatique des accès conservée au moins 24 mois (article 10) ; un audit au moins une fois tous les 24 mois (article 16(a)) ; et un examen des incidents de sécurité au moins une fois par trimestre (article 11(c)).
4. Le prestataire de cloud, en tant que détenteur, est lui aussi soumis aux obligations du règlement, sauf les articles 2 et 15(a) (article 19(a)). Le contrat conclu avec lui doit fixer la manière de les mettre en œuvre (article 15(a)(2)(e)).

Violation de données dans le cloud : qui doit signaler, et à qui ?

L’obligation de signalement est fixée à l’article 11(d) du règlement sur la sécurité des données : en cas d’incident de sécurité grave, il faut en informer immédiatement l’Autorité de protection de la vie privée et lui rendre compte des mesures prises. L’Autorité peut ordonner d’informer aussi les personnes concernées qui risquent d’être lésées. L’« incident de sécurité grave » est défini selon le niveau de sécurité : dans une base de données de niveau élevé, toute utilisation non autorisée des informations ou toute atteinte à leur intégrité ; dans une base de données de niveau moyen, un tel incident qui touche une partie importante de la base de données (article 1). Il est utile de fixer à l’avance, dans le contrat avec le prestataire de cloud, dans quel délai il vous informe d’un incident.

La règle pratique : si le prestataire de cloud vous informe d’une violation, le compte à rebours a commencé. N’attendez pas de vérifier « quel est exactement le dommage » avant de contacter un avocat. L’obligation de l’article 11(d) est d’informer l’Autorité « immédiatement », et non à la fin de l’enquête.

Informations sur les salariés dans le cloud : ce qu’il faut savoir

Lorsqu’une entreprise transfère vers le cloud des informations sur ses salariés (fiches de paie, informations médicales, évaluations de performance), elle entre dans un domaine où la loi sur la protection de la vie privée et le droit du travail se rencontrent. Selon la loi sur la protection de la vie privée, le salarié a le droit de savoir ce que l’on détient sur lui et d’en demander l’accès. L’obligation d’information de l’article 11 s’applique aussi à l’égard des salariés : lorsqu’on leur demande des informations personnelles, il faut indiquer dans quel but elles sont collectées et à qui elles seront transmises.

En pratique, la plupart des employeurs ajoutent au contrat de travail une clause sur l’utilisation d’outils numériques. Cela ne suffit pas à soi seul. Lors du passage à une nouvelle plateforme cloud, il est utile de mettre à jour la politique de confidentialité destinée aux salariés et de vérifier que le DPA couvre aussi les limites d’utilisation des informations sur les salariés. Des informations sur les salariés conservées au-delà de la durée nécessaire (comme les notes d’entretien après l’embauche, ou des informations médicales après la fin de l’emploi) peuvent constituer des « informations excédentaires » qui auraient dû être repérées lors de l’examen annuel (article 2(c)), même sans aucun incident de sécurité.