- Le rapport de l’EDSA (17 janv. 2023) documente les recherches coordonnées de 22 autorités de surveillance sur l’utilisation des services en nuage dans le secteur public.
- Le CEF et le Support Pool of Experts ont été créés pour renforcer l’application et la coopération entre les autorités de surveillance dans l’EEE.
- Les statistiques montrent différentes mesures de conformité : Évaluations d’impact sur la protection des données, audits de pays tiers, surveillance des TOM et évaluations régulières des risques.
Le 17 janvier 2023, l’EDSA, le Comité européen de la protection des données, a publié un rapport sur les activités d’enquête coordonnées au sein de l’UE concernant l’utilisation de services en nuage dans le secteur public (“2022 Coordinated Enforcement Action – Utilisation de services basés sur le cloud par le secteur public, Adoptée le 17 janvier 2023„).
Au cours de l’année 2022, 22 autorités de contrôle de la zone EEE avaient lancé des enquêtes coordonnées sur l’utilisation des services d’informatique en nuage dans le secteur public, qui sont toujours en cours. Fin 2020, l’EDSA avait décidé de mettre en place un cadre coordonné pour l’application de la législation à cet effet, un “CEF” :
En octobre 2020, le Conseil européen de la protection des données (CEPD) a décidé de mettre en place un cadre d’application coordonné (CEF). Le CEF est une action clé du CEPD dans le cadre du deuxième pilier de sa stratégie 2021 – 2023, avec la création d’un groupe de soutien d’experts (SPE), visant à rationaliser l’application et la coopération entre les autorités de contrôle (AS).
Il s’agissait surtout des fournisseurs les plus fréquents, Microsoft, Amazon, Citrix, IBM, OVH, Fujitsu, Oracle, Adobe et Google.
Le rapport contient une présentation chronologique des actions d’enquête en Europe en rapport avec les services d’informatique en nuage et des recommandations à l’attention des autorités. Certaines données statistiques sont intéressantes, même si elles ne signifient pas grand-chose sans autre contexte :
- 32 des 87 autorités avaient réalisé une analyse d’impact relative à la protection des données ;
- 21 avaient particulièrement analysé les transferts vers des pays tiers (parfois appelés “DTIA” pour Data “Transfer Impact Assessment”) ;
- 36 surveillent les TOM des fournisseurs d’accès ;
- 25 avaient indiqué qu’ils avaient mis en place des MTD et qu’ils surveillaient les changements de la situation juridique ;
- 35 ont procédé à des évaluations régulières des risques.