Un groupe de travail de la Conférence sur la protection des données (GT DSK) conclut dans une évaluation sur les "services en ligne de Microsoft" (PDF), que le cryptage des données traitées n'est régulièrement pas possible, par exemple lorsque les données doivent être affichées dans le navigateur. En tant que fournisseur d'une solution pour le cryptage de données personnelles ou sensibles, l'e3 se voit contraint de commenter brièvement cette évaluation.ancien.

La plupart des activités commerciales d'un fournisseur de services de traitement des données nécessitent l'accès à des données à caractère personnel. Mais contrairement à l'idée reçue, il n'est généralement pas nécessaire que le fournisseur ait besoin pour cela de données non cryptées et non pseudonymisées. Le traitement des données peut également se faire en mode crypté. Même sans pouvoir lire les données en clair, le fournisseur d'accès peut remplir la grande majorité des obligations de prestations contractuelles.

"Apportez votre propre cryptage"

La question de savoir si le cryptage apporte une réelle valeur ajoutée à la protection des données dépend alors de trois facteurs : Premièrement, qui détient la clé (l'utilisateur ou le fournisseur), deuxièmement, quel mécanisme de cryptage est utilisé et troisièmement, où (chez l'utilisateur ou le fournisseur) le cryptage est effectué. Cela vaut toujours aussi pour le décryptage, c'est-à-dire la conversion des contenus cryptés en texte clair. Si un seul de ces aspects se déroule sous le contrôle du fournisseur d'accès sans équivalence de protection des données avec le RGPD, le cryptage entraîne en premier lieu des dépenses supplémentaires et n'apporte guère d'avantages, c'est-à-dire la protection des données souhaitée ou nécessaire. De nombreux fournisseurs d'accès font payer cher les mesures prises à cet égard, mais souvent avec peu d'avantages supplémentaires (par exemple une plus grande conformité avec la loi). En fin de compte, ils gardent toutefois le contrôle d'une ou de plusieurs composantes du cryptage.

La solution à ce problème est résumée par le terme "Bring Your Own Encryption" ou BYOE. Cette solution implique que le cryptage et le traitement des données ne doivent pas être effectués par le même fournisseur, idéalement pas sur la même plate-forme et si possible à l'intérieur des frontières du pays du propriétaire des données (bien entendu également au sein de l'UE).

Le hic, c'est qu'aujourd'hui, les fournisseurs qui traitent les données n'ont que peu d'intérêt à soutenir de telles solutions BYOE. Ils devraient proposer des interfaces correspondantes et s'assurer que le traitement des données cryptées fonctionne toujours. Le surcroît de travail nécessaire empêche de nombreux fournisseurs de le faire. Chez e3, nous pensons que : Du point de vue de la protection des informations et des données en particulier, et compte tenu de l'aggravation de la situation géopolitique en général, c'est incompréhensible.

La protection des données aujourd'hui et demain

Les solutions BYOE sont certes nouvelles, mais étonnamment efficaces - et si le fournisseur "joue le jeu", elles peuvent être mises en œuvre sans perte fonctionnelle. Les solutions BYOE augmentent les coûts du fournisseur d'environ 10 à 20 pour cent, mais offrent en revanche l'avantage de pouvoir non seulement satisfaire (simultanément) aux réglementations les plus diverses en matière de protection des données dans de nombreux pays, mais aussi de pouvoir réagir de manière simple et flexible aux changements futurs. Compte tenu des risques potentiels dans ce domaine, une solution BYOE constitue une protection avantageuse contre la cybercriminalité et les violations des réglementations en matière de protection de la vie privée. En effet, les coûts liés à des cyberattaques réussies ou à la correction d'incidents non conformes sont plusieurs fois plus élevés.

Lire sous www.centraya.com en savoir plus sur ce qui est possible avec une solution BYOE. Participez à l'un de nos webinaires ou réservez un rendez-vous de conseil sans engagement. Avec Centraya, vous résolvez vos défis en matière de protection des données et des informations en vous tournant vers l'avenir. Nous vous aidons à gérer vos données localement et globalement, de manière cryptée et sécurisée, et conformément aux exigences de conformité.