Le code de conduite Cloud de l’Union européenne (EU Cloud Code of Conduct) est un effort soutenu par l'UE pour créer un cadre réglementaire qui permettrait aux acheteurs informatiques d'identifier et d'acheter plus facilement des services de Cloud Computing conformes au règlement général sur la protection des données (RGPD). Les entreprises participantes autoévaluent leurs services pour garantir la conformité à son contenu. Scope Europe veille également à la conformité continue. Dans un billet de blog publié jeudi, Microsoft a annoncé que son service Azure a obtenu l'adhésion au niveau 2 du code de conduite européen. Avec le code de conduite Cloud de l’UE, Microsoft affirme s’être maintenant doté de 100 offres de conformité pour Azure.« Je vous annonce qu'Azure a obtenu l'adhésion au code de conduite Cloud de l’UE (EU Cloud CoC), développé pour les fournisseurs de Cloud afin de s'aligner sur le Règlement général sur la protection des données (RGPD) de l'UE. Le Cloud CoC de l’UE est le premier code de conduite du RGPD qui a reçu l'avis positif du Conseil européen de la protection des données (EDPB), qui a été suivi par l'approbation finale menée par l'Autorité belge de protection des données. Le Cloud CoC marque également la 100e offre de conformité pour Azure, plus que tout autre fournisseur de Cloud, offrant aux clients un haut niveau d'assurance grâce à des contrôles, des preuves et des vérifications », a déclaré Pradeep Nair, vice-président de Microsoft Azure.
Le code de conduite de l'UE en matière de Cloud Computing vise à aider les acheteurs informatiques à s'approvisionner en services de Cloud Computing auprès de fournisseurs conformes au RGPD et, partant, à accélérer l'adoption de services hors site sur le continent en apaisant les craintes des utilisateurs en matière de protection des données. Le code comporte un ensemble d'exigences et de caractéristiques que les fournisseurs de services Cloud doivent respecter pour démontrer leur capacité à se conformer au RGPD, les participants étant censés autoévaluer leurs services pour garantir la conformité à son contenu.
Un organisme de contrôle indépendant, connu sous le nom de Scope Europe, est également en place pour garantir la conformité continue des participants au contenu du code, ce qui est une exigence du RGPD. Le code a été créé en collaboration avec la Commission européenne et la communauté du Cloud Computing, notamment IBM, Salesforce, Oracle et Alibaba Cloud, et le groupe de travail sur la protection des données "Article 29" a fourni des informations supplémentaires sur son contenu.
Lors d'une allocution prononcée jeudi au sommet virtuel EU Cloud Compliance, Agnieszka Bruyere, vice-présidente d'IBM Cloud pour l'Europe, le Moyen-Orient et l'Afrique (EMEA), a confirmé que le code et son modèle de gouvernance ont reçu le soutien de 26 autorités de surveillance du Conseil européen de la protection des données.
« C'est un moment très important, car c'est le premier outil en Europe qui peut non seulement démontrer la conformité, mais aussi apporter la preuve de cette conformité pour les utilisateurs et les fournisseurs de Cloud dans toute l'Europe. C'est également très important parce que c'est la première fois qu'un organisme de contrôle indépendant est accrédité – c'est absolument unique. Ces deux facteurs combinés font du code de conduite du Cloud un outil unique et solide pour tous les utilisateurs et fournisseurs de Cloud en Europe », a déclaré Bruyere.
Le Cloud CoC de l’UE sert de base à la mise en œuvre des exigences de l'article 28 du RGPD pour les fournisseurs de Cloud agissant en tant que processeurs interentreprises en vertu du RGPD. Le géant de la technologie Microsoft fait partie des fournisseurs qui ont déjà pris des mesures pour s'assurer que leurs offres sont conformes au code de conduite, l'entreprise ayant confirmé que 140 des services relevant de sa marque de Cloud public Azure sont désormais classés comme conformes.
« Comme le Cloud CoC de l’UE est approuvé par l'EDPB, les clients d'Azure peuvent utiliser l'adhésion d'Azure pour aider à démontrer leur propre conformité au RGPD, ainsi que la citer comme facteur d'atténuation des risques dans une évaluation d'impact sur la protection des données (DPIA) du RGPD. L'article 40 du RGPD encourage spécifiquement la création de codes de conduite, afin de "contribuer à la bonne application du règlement" ».
Jörn Wittmann, directeur général de Scope Europe, qui agit en tant qu'organe de contrôle indépendant du Cloud CoC de l’UE, a déclaré :
« Cette vérification de l'adhésion de plus de 140 services Azure montre l'ampleur et la robustesse de notre système de surveillance, qui applique des garanties solides pour s'assurer que les services déclarés répondent à toutes les exigences définies dans le code. Avec le soutien d'entreprises clés comme Microsoft, et maintenant avec son approbation finale, le Code de conduite Cloud de l’UE a consolidé sa position en tant que norme de marché inégalée capable d'assurer la conformité au RGPD tout en favorisant l'innovation et la croissance continues ».
La 100e offre de conformité pour Azure
Selon Nair, Microsoft s’est engagé depuis longtemps à respecter et à dépasser les exigences des lois européennes sur la protection des données. Par exemple, en étant le premier grand acteur de la technologique à affirmer sa conformité avec le RGPD et à étendre les droits et protections fondamentaux du RGPD à ses clients consommateurs dans le monde entier. Par ailleurs, plus tôt ce mois, l’entreprise a annoncé la frontière des données de l'UE pour le Cloud Microsoft, qui, d'ici à la fin de 2022, ira au-delà de ses engagements existants en matière de stockage des données et permettra aux clients commerciaux ou du secteur public de l'UE de traiter et de stocker toutes leurs données dans l'UE, lit-on dans le billet.
« Avec désormais 100 offres de conformité, Azure dispose du portefeuille de conformité le plus large et le plus approfondi du secteur. Les offres de conformité d'Azure sont véritablement mondiales, avec plus de 60 offres spécifiques à plus de 20 régions et pays, dont l'Argentine, l'Australie, la Belgique, le Canada, la Chine, le Danemark, l'UE, la France, l'Allemagne, l'Inde, le Japon, la Corée, les Pays-Bas, la Nouvelle-Zélande, la Pologne, Singapour, l'Espagne, la Suisse, les EAU, le Royaume-Uni et les États-Unis », a écrit Nair.
Selon Nair, Microsoft a soumis l'attestation d'adhésion d'Azure au Cloud CoC de l'UE sur la base des faits soumis à Scope Europe, en s'appuyant sur des audits tiers de trois certifications largement reconnues : ISO/IEC 27001 (système de gestion de la sécurité de l'information), ISO/IEC 27701 (système de gestion de la confidentialité des informations) et ISO/IEC 27018 (confidentialité dans le Cloud), qui sont à la base de la sécurité et de la conformité d'Azure. Les clients et les évaluateurs peuvent vérifier l'adhésion d'Azure à ces normes et à d'autres normes de sécurité et de confidentialité, telles que SOC 1-3, FedRAMP, NIST 800-53 HITRUST et PCI DSS dans le Centre de sécurité Azure. « Les certifications combinées d'Azure offrent des centaines de contrôles de sécurité intégrés – tels que l'authentification, l'accès, le chiffrement la journalisation – qui sont mis en correspondance avec ces normes », a ajouté Nair.
Scope Europe permet aux fournisseurs de services Cloud de mettre en avant leur adhésion au code dans le cadre des procédures d'évaluation provisoire. Google Cloud Platform et Google Workspace ont également prouvé leur adhésion au Code de conduite Cloud au deuxième niveau de conformité. Cela signifie que ces services s'engagent à mettre en œuvre des règles de sécurité et de protection des données dans le respect du RGPD, telles que définies par Scope. Afin de démontrer sa conformité, Google Cloud a réalisé un audit interne de plus de 80 exigences Cloud CoC sur la base de ses certificats et audits tiers existants, tels que ISO/IEC 27001.
Arriver à ce stade n'a pas été sans difficultés, a déclaré Neelie Kroes, ancienne vice-présidente de la Commission européenne, qui a commencé à jeter les bases du code de conduite du cloud en 2012 au Forum économique mondial de Davos, en Suisse, lorsqu'elle a évoqué les obstacles liés à la réglementation des données qui entravent l'adoption des technologies du Cloud en Europe.
Dans un discours distinct prononcé lors du sommet de l'UE sur la conformité du Cloud, Mme Kroes a déclaré qu'elle ne s'attendait pas à ce qu'il faille autant de temps pour que le code de conduite Cloud obtienne l'approbation des autorités européennes de protection des données, mais elle est heureuse que ce soit le cas.
« Ce retard s'explique en partie par les nombreux développements que nous avons connus ces dernières années en matière de vie privée et de sécurité. Nous avons vu le RGPD entrer en vigueur, de nouveaux cadres de cybersécurité, des certifications... et le code a réussi à intégrer avec succès tous ces éléments », a-t-elle déclaré.
Mme Kroes a également appelé les membres des communautés de logiciels, d'infrastructures et de plateformes Cloud qui doivent encore s'assurer que leurs propres offres sont conformes au code de conduite à s'impliquer, dans l'intérêt de la création d'un « écosystème large et fiable » de fournisseurs dans lequel les acheteurs informatiques peuvent puiser.
Source : Microsoft, Sommet EU Cloud Compliance
Et vous ?
Que pensez-vous du code de conduite Cloud de l'UE ? Quel est votre avis sur l’adhésion de Microsoft à ce code ?Voir aussi :
La France et l'Allemagne lancent Gaia-X, un projet de création d'un écosystème de cloud computing en Europe, qui vise à réduire la dépendance de l'Europe à l'égard des géants de la Silicon Valley Privacy Shield : la Cour de justice de l'UE annule l'accord de transfert des données personnelles entre l'UE et les USA, une victoire pour les défenseurs des libertés L'UE va lancer un "Cloud industriel" de 10 milliards d'euros pour rivaliser avec les États-Unis, et dynamiser le secteur du Cloud Computing Le Contrôleur européen de la protection des données accueille favorablement le Digital Service Act et le Digital Market Act, des projets de loi visant à mettre fin à l'irresponsabilité des GAFA