Un engagement concret à la non-exploitation des données ne peut qu'être contractuel

Les entreprises ont observé la recrudescence significative de problèmes préexistants en matière de cybersécurité, liés à ces mêmes outils qui assuraient à ce moment-là la survie de leurs activités. Ainsi une plateforme française de réservations et de consultations médicales par visioconférence a été piratée l'année dernière. Une plateforme internationale de visioconférence a caché ses failles cybersécuritaires, notamment en ne révélant pas que les échanges n'y étaient pas cryptés. Ainsi, les "bombings" de réunions en visioconférence avec l'intrusion non désirée et perturbatrice de participants non invités ont été légion.

Les plateformes de messagerie, boostées par les besoins du distanciel, dévoilaient massivement de préoccupantes failles sécuritaires. Les autorités européennes et françaises œuvraient déjà depuis longtemps pour apporter un cadre susceptible de prémunir contre des atteintes à la cybersécurité qui ne sont pas exclusivement illégales. Pourtant, de nouveaux points de tension ont émergé.

Pourquoi les données des entreprises françaises doivent être hébergées dans un datacenter français

Outre les rançongiciels et autres cyberattaques hors la loi, le cadre légal lui-même se profile comme un danger potentiel, les tentatives d'ingérence cybernétique étrangères se faisant de plus en plus perfectionnées.

Pour rappel, l'arsenal juridique étasunien permet via un ensemble de dispositions extraterritoriales d'appliquer des sanctions commerciales aux individus et aux entreprises qui ne respectent pas certains interdits du gouvernement américain. Ces interdits peuvent concerner des mauvaises pratiques en termes de conformité, comme les épisodes de corruption ou de financement du terrorisme, mais ils peuvent aussi s'appliquer au commerce avec des pays sous embargo américain. Une simple transaction en dollars suffit alors à se voir demander des comptes par le département de justice américain et potentiellement à devoir reconnaître ses torts présumés et à verser des sommes exorbitantes à l'Oncle Sam.

À l'ère du tout numérique, cette forme d'ingérence se produit en ligne à travers le Cloud Act (Clarifying Lawful Overseas Use of Data Act), qui place le gouvernement américain en position de contraindre les entreprises américaines et notamment les propriétaires de datacenters, peu importe leur localisation géographique, à lui communiquer presque toute données demandées au nom de la sécurité nationale des États-Unis.

Si les entreprises européennes sont conscientes que de facto le Cloud Act ne vise pas exclusivement à sanctionner des actes réellement répréhensibles mais aussi à marquer des points dans une guerre économique, elles ne disposent pas (encore) des mêmes ressorts extraterritoriaux pour se défendre.

Or, un datacenter français, placé sur le sol français, souscrit aux lois françaises et de l'Union Européenne, qui ne permettent la sortie de données hors du territoire européen que dans un cadre circonscrit par le Règlement Général sur la Protection des Données, dit RGPD. Contrairement aux données stockées sur un hébergeur américain elles ne peuvent être saisies par le gouvernement américain ou de toute autre puissance sans l'aval de nos autorités.

L'engagement contractuel à la non-utilisation et la non-exploitation des données

Malgré la volonté des institutions de protéger les entreprises, il incombe aux entreprises elles-mêmes de se prémunir. En effet, si l'UE vient d'invalider le Privacy Shield car non conforme au RGPD, la loi qui régulait les transferts de données entre l'Europe et l'Amérique étant en vigueur depuis 2016, nombre de données critiques ont donc eu le temps de fuiter hors de nos frontières. En conséquence, il est vital que les entreprises ne se reposent pas uniquement sur un cadre réglementaire forcément en évolution, mais saisissent la situation à la racine.

Les plateformes de messagerie et de visioconférence françaises doivent s'engager à protéger la confidentialité des données des entreprises présentes sur le territoire national et de leurs membres. Seul un engagement contractuel à la non-utilisation et à la non-exploitation des données de leur part constitue une garantie concrète et non-sujette aux interprétations et aux délais législatifs.

En effet, si le Règlement Général sur la Protection des Données (RGPD) vise à créer un cadre sécurisé pour les entreprises européennes, la portée des lois extraterritoriales étrangères, à l'instar de la cybercriminalité, connaissent les nombreux chevaux de Troie pour contourner les législations européennes et nationales.

Les données des personnes morales ou physiques ont une valeur, stratégique dans le premier cas (risque d'espionnage industriel, de vol de la propriété intellectuelle, de mise en état de faiblesse d'une entreprise au profit d'autres), éthique, patrimoniale et spéculative dans le second (certains courants de pensée estiment que nous sommes propriétaires de nos données et devrions pouvoir les vendre si tel est notre choix, mais non pas les céder gratuitement, ou pire à notre insu). Ce qui est certain est que nos données ne sont en aucun cas propriété d'autrui et que leur divulgation incontrôlée peut nous mettre en danger. Pour nous prémunir, nous devons adopter des dispositions adaptées.

Le danger lié aux données est aujourd'hui une réalité. Les entreprises étasuniennes et étrangères exploitent librement toutes les données échangées sur leurs plateformes. Les CGU de ces acteurs indiquent spécifiquement que toute donnée échangée via leurs services devient immédiatement leur propriété.

Face à l'ingérence cybernétique des puissances étrangères et aux pratiques cybernétiques malveillantes, il est crucial que les entreprises et leurs employés s'engagent aussi à protéger les données relatives à leur activité, notamment en orientant leur employeur vers des outils de communication adaptés, qui s'engagent formellement à ne pas utiliser et à ne pas exploiter les données qu'ils interceptent.