La cr\u00e9dibilit\u00e9 et la fiabilit\u00e9 sont essentielles en mati\u00e8re de lancement d\u2019alerte. Les syst\u00e8mes de lancement d\u2019alerte traitent souvent des informations sensibles concernant les op\u00e9rations d’un individu ou d’une entreprise. Suite \u00e0 la mise en \u0153uvre du R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es (RGPD) et \u00e0 l’abrogation du Privacy Shield (voir ci-dessous), la protection des lanceurs d’alerte est d\u00e9sormais \u00e0 l’honneur. En aucun cas, des entit\u00e9s externes ne doivent \u00eatre en mesure de demander ou d’acc\u00e9der aux informations dans les cas de lancement d\u2019alerte. Pour cette raison, il est devenu de plus en plus important de choisir un h\u00e9bergement europ\u00e9en de votre solution de lancement d’alerte. <\/p>\n\n\n\n
Dans ce guide, nous exposerons les cons\u00e9quences de l’invalidation du Privacy Shield et de l’arr\u00eat Schrems II pour les entreprises europ\u00e9ennes. Nous mentionnerons \u00e9galement quelques \u00e9l\u00e9ments importants \u00e0 prendre en compte lors du choix d’une solution de lancement d’alerte qui h\u00e9berge et g\u00e8re des donn\u00e9es personnelles <\/p>\n\n\n\n
Les donn\u00e9es personnelles comprennent toutes les informations sur une personne identifi\u00e9e ou identifiable, y compris, mais sans s’y limiter : <\/p>\n\n\n\n
Les donn\u00e9es sensibles n\u00e9cessitent une protection suppl\u00e9mentaire car leur divulgation pourrait entra\u00eener des risques importants pour les droits fondamentaux et la libert\u00e9 de l’individu. Cela comprend des informations sur l’ethnicit\u00e9, la sexualit\u00e9, les convictions politiques et religieuses, des informations sur les soins de sant\u00e9, des informations g\u00e9n\u00e9tiques et biom\u00e9triques, ainsi que des conditions sociales et des informations concernant la vie priv\u00e9e de la personne. <\/p>\n\n\n\n
Depuis la mise en \u0153uvre du r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (RGPD)<\/a>, tous les citoyens des \u00c9tats membres de l’UE peuvent b\u00e9n\u00e9ficier du m\u00eame niveau de protection des donn\u00e9es personnelles. Cela signifie \u00e9galement que vous pouvez transf\u00e9rer en toute s\u00e9curit\u00e9 des donn\u00e9es personnelles au sein de la zone UE\/EEE. Comme il n’existe pas de lois comparables en dehors de l’UE, les r\u00e8gles de transfert de donn\u00e9es vers des pays tiers sont tr\u00e8s strictes et les transferts de donn\u00e9es personnelles ne sont autoris\u00e9s que dans certains cas sp\u00e9cifiques. <\/p>\n\n\n\n Dans ce contexte, tous les pays en dehors de la zone UE\/EEE doivent \u00eatre consid\u00e9r\u00e9s comme des \u00ab pays tiers \u00bb. En r\u00e8gle g\u00e9n\u00e9rale, les donn\u00e9es personnelles ne peuvent pas \u00eatre transf\u00e9r\u00e9es vers des pays tiers. Cela s’applique \u00e9galement au recours \u00e0 un fournisseur externe pour traiter ou stocker des donn\u00e9es, y compris l’h\u00e9bergement de solutions de d\u00e9nonciation. <\/p>\n\n\n\n Dans le cadre du GDPR, la protection des citoyens europ\u00e9ens doit \u00e9galement s’appliquer lors du transfert de donn\u00e9es personnelles vers des pays hors de l’UE. Votre organisation ne peut exporter des donn\u00e9es vers des pays tiers que si les crit\u00e8res suivants sont remplis : <\/p>\n\n\n\n Privacy Shield est une auto-certification aux \u00c9tats-Unis o\u00f9 les entreprises am\u00e9ricaines peuvent attester qu’elles r\u00e9pondent \u00e0 certaines exigences. Auparavant, l’UE avait convenu que le cadre du bouclier de protection des donn\u00e9es garantissait un niveau de protection ad\u00e9quat et constituait une base valable pour le transfert de donn\u00e9es \u00e0 caract\u00e8re personnel de l’UE vers les \u00c9tats-Unis. <\/p>\n\n\n\n Apr\u00e8s un examen de l’accord par la Cour europ\u00e9enne de justice (voir Schrems II ci-dessous), il a \u00e9t\u00e9 d\u00e9termin\u00e9 que le Privacy Shield n’offrait pas une protection juridique ad\u00e9quate contre les programmes de surveillance et de renseignement. Les lois am\u00e9ricaines pourraient permettre \u00e0 certaines autorit\u00e9s am\u00e9ricaines de demander l’acc\u00e8s aux donn\u00e9es personnelles des citoyens de l’UE. <\/p>\n\n\n\n Le Privacy Shield a permis aux entreprises europ\u00e9ennes d’utiliser les services cloud am\u00e9ricains sans tenir compte des donn\u00e9es personnelles collect\u00e9es et stock\u00e9es. Quelque 5 000 entreprises am\u00e9ricaines (dont Facebook) ont \u00e9galement utilis\u00e9 le Privacy Shield pour recevoir des donn\u00e9es personnelles d’utilisateurs europ\u00e9ens. <\/p>\n\n\n\n Maximilian Schrems, un militant autrichien de la protection des donn\u00e9es, n’a pas approuv\u00e9 le transfert de ses donn\u00e9es personnelles par Facebook aux \u00c9tats-Unis. Cela est d\u00fb au fait que les lois am\u00e9ricaines n’offrent pas une protection suffisante contre les activit\u00e9s de renseignement. Schrems a port\u00e9 son cas devant l’autorit\u00e9 irlandaise de protection des donn\u00e9es et, en juillet 2020, la Cour europ\u00e9enne de justice a statu\u00e9 que l’accord sur le bouclier de protection des donn\u00e9es UE-\u00c9tats-Unis n’offrait pas une protection suffisante. L’arr\u00eat indique clairement que le r\u00e8glement g\u00e9n\u00e9ral de l’UE sur la protection des donn\u00e9es (RGPD) doit \u00e9galement \u00eatre appliqu\u00e9 lorsque des acteurs commerciaux transf\u00e8rent des donn\u00e9es personnelles en dehors de l’espace UE\/EEE. <\/p>\n\n\n\n L’arr\u00eat Schrems II souligne que la protection RGPD pour les individus doit s’appliquer au transfert de donn\u00e9es personnelles. Par cons\u00e9quent, il est interdit de transf\u00e9rer des donn\u00e9es vers des pays dont la protection des donn\u00e9es personnelles est inf\u00e9rieure \u00e0 celle garantie par l’UE. Les transferts de donn\u00e9es ne sont possibles que si des mesures de protection suffisantes ont \u00e9t\u00e9 prises. <\/p>\n\n\n\n En juin 2021, la Commission europ\u00e9enne a adopt\u00e9 un nouvel ensemble de \u00ab clauses contractuelles types \u00bb. Il s’agissait de maintenir le m\u00eame niveau de protection de la libert\u00e9 individuelle et des droits fondamentaux qui s’applique au sein de l’UE, et de faciliter le respect de l’arr\u00eat Schrems II. Pour r\u00e9pondre \u00e0 toutes les exigences d’un transfert s\u00e9curis\u00e9 des donn\u00e9es personnelles, ces clauses peuvent encore devoir \u00eatre compl\u00e9t\u00e9es par des mesures de protection suppl\u00e9mentaires. Il appartient au responsable du traitement des donn\u00e9es personnelles de l’organisation de d\u00e9cider au cas par cas. <\/p>\n\n\n\n Les grandes entreprises am\u00e9ricaines de services cloud, par exemple Microsoft (Azure et Microsoft 365), ont assur\u00e9 \u00e0 leurs clients qu’elles traiteraient et stockeraient toutes les donn\u00e9es au sein de l’UE, se conformant ainsi au RGPD. <\/p>\n\n\n\n Outre le processus de cr\u00e9ation de structures parall\u00e8les, rien ne garantit que ces entreprises pourront contourner la l\u00e9gislation am\u00e9ricaine. FISA – Foreign Intelligence Surveillance Act<\/a> – est une loi f\u00e9d\u00e9rale qui permet aux autorit\u00e9s am\u00e9ricaines d’acc\u00e9der aux donn\u00e9es personnelles europ\u00e9ennes m\u00eame si les serveurs de l’entreprise sont physiquement situ\u00e9s sur le territoire de l’UE. <\/p>\n\n\n\n Maximilian Schrems est le fondateur de l’organisation \u00e0 but non lucratif \u00ab\u00a0None of Your Business (Noyb)<\/a>\u00ab\u00a0. L’objectif de l’organisation est de surveiller la conformit\u00e9 avec le RGPD et d’autres traitements de donn\u00e9es potentiellement enfreignant la vie priv\u00e9e. Selon lui, les grandes entreprises am\u00e9ricaines sont toujours soumises \u00e0 la FISA et doivent se conformer aux autorit\u00e9s am\u00e9ricaines si elles le demandent. L’agence su\u00e9doise de protection de la vie priv\u00e9e IMY a \u00e9galement ouvert plusieurs enqu\u00eates apr\u00e8s que Noyb a d\u00e9pos\u00e9 des plaintes contre des entreprises su\u00e9doises. <\/p>\n\n\n\n Actuellement, il n’existe pas de solution unique, simple et compl\u00e8te pour le traitement l\u00e9gal des donn\u00e9es personnelles aux \u00c9tats-Unis ou dans tout autre pays en dehors de l’UE. Lorsqu’il choisit d’utiliser les clauses contractuelles types, le responsable du traitement doit toujours d\u00e9terminer au cas par cas si des mesures de s\u00e9curit\u00e9 suppl\u00e9mentaires sont n\u00e9cessaires. <\/p>\n\n\n\n Des travaux sont en cours pour cr\u00e9er un \u00e9cosyst\u00e8me num\u00e9rique europ\u00e9en et un cloud de stockage de donn\u00e9es, mais cela prendra du temps. Actuellement, la meilleure solution pour les entreprises europ\u00e9ennes qui traitent des donn\u00e9es personnelles est de choisir un fournisseur europ\u00e9en. Ce faisant, vous pouvez garantir que toutes les donn\u00e9es sont stock\u00e9es sur des serveurs au sein de l’UE\/EEE et que toutes les exigences du RGPD sont respect\u00e9es. Ceci s’applique \u00e9galement si le transfert est g\u00e9r\u00e9 par un sous-traitant. <\/p>\n\n\n\n Il est extr\u00eamement important que les entreprises priv\u00e9es et les organisations publiques soient conscientes du type de donn\u00e9es qu’elles collectent et de la mani\u00e8re dont elles les g\u00e8rent et les stockent. Vous devez savoir dans quel environnement votre fournisseur de services g\u00e8re les donn\u00e9es organisationnelles, car vous n’avez peut-\u00eatre aucune base l\u00e9gale pour le traitement des donn\u00e9es personnelles en dehors de l’UE\/EEE. En choisissant un prestataire europ\u00e9en pour l’h\u00e9bergement de votre solution de lanceur d’alerte, est-il possible d’\u00e9viter un traitement de donn\u00e9es ne garantissant pas la confidentialit\u00e9 des utilisateurs. Il est \u00e9galement beaucoup plus facile de r\u00e9pondre \u00e0 toutes les exigences du r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es. <\/p>\n\n\n\n Lorsqu’il s’agit d’h\u00e9berger nos solutions de lancement d\u2019alerte, Whistlelink entretient une relation de longue date<\/a> avec GleSYS. GleSYS est une soci\u00e9t\u00e9 scandinave<\/a> avec des centres de donn\u00e9es s\u00e9curis\u00e9s \u00e0 la pointe de la technologie, conformes \u00e0 toutes les exigences l\u00e9gales. Avec une certification ISO 27001 dans les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information, GleSYS r\u00e9pond \u00e0 toutes les exigences de s\u00e9curit\u00e9, en particulier en ce qui concerne la confidentialit\u00e9, l’exactitude et la disponibilit\u00e9, ainsi que les lois applicables.\u00a0<\/p>\n\n\n\n Notre vision est de fournir \u00e0 toutes les organisations le syst\u00e8me de lancement d\u2019alerte le meilleur, le plus s\u00fbr et le plus convivial du march\u00e9, et nous prenons la s\u00e9curit\u00e9 des donn\u00e9es tr\u00e8s au s\u00e9rieux. Gr\u00e2ce \u00e0 notre longue collaboration avec GleSYS<\/a>, nous pouvons vous proposer un service de lancement d\u2019alerte complet o\u00f9 toutes les donn\u00e9es sensibles sont stock\u00e9es sur des serveurs europ\u00e9ens (su\u00e9dois).\u00a0<\/p>\n\n\n\n Vous souhaitez en savoir plus sur un service de lancement d’alerte et des canaux de signalement internes s\u00e9curis\u00e9s ? D\u00e9couvez-en plus sur la directive europ\u00e9enne sur le lancement d’alerte ici<\/a> et sur L\u00e9gifrance.<\/a><\/p>\n\n\n\n Vous recherchez une solution de lancement d’alerte s\u00fbre et s\u00e9curis\u00e9e ? En savoir plus ici.<\/a><\/p>\n\n\n\n Souhaitez-vous discuter d’un syst\u00e8me d’alerte pour votre organisation ?<\/p>\n\n\n\n Contactez-nous<\/a> ou r\u00e9servez une d\u00e9mo gratuite<\/a> !<\/p>\n","protected":false},"excerpt":{"rendered":" La cr\u00e9dibilit\u00e9 et la fiabilit\u00e9 sont essentielles en mati\u00e8re de lancement d\u2019alerte. Les syst\u00e8mes de lancement d\u2019alerte traitent souvent des informations sensibles concernant les op\u00e9rations d’un individu ou d’une entreprise. Suite \u00e0 la mise en \u0153uvre du R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es (RGPD) et \u00e0 l’abrogation du Privacy Shield (voir ci-dessous), la protection […]<\/p>\n","protected":false},"featured_media":37320,"template":"","format":"standard","blog-category":[208,215],"class_list":["post-36949","blog","type-blog","status-publish","format-standard","has-post-thumbnail","hentry","blog-category-articles-fr","blog-category-guides-fr"],"yoast_head":"\n2. Transfert de donn\u00e9es hors UE : qu’est-ce qu’un \u00ab pays tiers \u00bb ? <\/h3>\n\n\n\n
<\/li>
<\/li>3. Qu’est-ce que le Privacy Shield ? <\/h3>\n\n\n\n
4. Qu’est-ce que l’arr\u00eat Schrems II et comment affecte-t-il les organisations europ\u00e9ennes ? <\/h3>\n\n\n\n
5. Nouvelles clauses contractuelles types de l’UE <\/h3>\n\n\n\n
6. Est-il m\u00eame possible pour des entreprises am\u00e9ricaines de traiter des donn\u00e9es personnelles europ\u00e9ennes ? <\/h3>\n\n\n\n
7. Quelles sont les solutions \u00e0 long terme pour h\u00e9berger un service de lancement d\u2019alerte ?<\/strong> <\/h3>\n\n\n\n
H\u00e9bergement d’une solution de lancement d\u2019alerte : la confidentialit\u00e9 des utilisateurs doit \u00eatre garantie par des processus de traitement et de s\u00e9curit\u00e9 des donn\u00e9es\u00a0<\/h3>\n\n\n\n
<\/h3>\n\n\n\n