La pandémie COVID-19 a accéléré la transformation numérique des services publics. Dans ce contexte, de nombreuses institutions utilisent de plus en plus des services basés sur le cloud. Le défi consiste à utiliser des produits et des services conformes à la législation européenne sur la protection des données afin de ne pas compromettre la protection des données à caractère personnel. Le Parlement européen a également appelé à une meilleure application de la protection des données, notamment l’année dernière.
Les autorités européennes de contrôle et le Contrôleur européen de la protection des données ont lancé une enquête sur l’utilisation des services en nuage dans le secteur public. Elles lancent ainsi la première action coordonnée de mise en application du Comité européen de la protection des données (CEPD). L’objectif est de promouvoir les bonnes pratiques en matière de respect du RGPD et de garantir une protection adéquate des données à caractère personnel par le biais de lignes directrices et de mesures coordonnées.
Examiner de près l’utilisation du cloud computing
Au total, plus de 75 organismes publics de l’Espace économique européen (EEE) sont ciblés, y compris des institutions de l’UE couvrant un large éventail du secteur public, comme l’éducation, la santé, les finances, la fiscalité, les acheteurs centraux ou les fournisseurs de services informatiques. Après une préparation commune de toutes les autorités de contrôle participantes, l’analyse proprement dite se fera à chaque fois au niveau national. Celle-ci passe ensuite par plusieurs phases.
Tout commence par la collecte d’informations afin de déterminer si une enquête formelle est justifiée. Ensuite, une inspection formelle ou le suivi d’inspections formelles déjà en cours commence. Les autorités de contrôle souhaitent ici examiner en particulier les défis auxquels sont confrontés les organismes publics pour se conformer au RGPD lorsqu’ils utilisent des services basés sur le cloud. Les processus et les mesures de sécurité mis en œuvre lors de l’introduction des services en nuage seront également pris en compte, tout comme les dispositions régissant la relation entre le responsable du traitement et le sous-traitant.
Les résultats sont analysés de manière coordonnée et les autorités de contrôle concernées décident alors des mesures de contrôle et d’application potentielles. En outre, les résultats seront agrégés et publiés par l’EDSA au plus tard fin 2022 dans un rapport sur les résultats. Tous les détails sont disponibles sur le site web du Commissaire fédéral à la protection des données et à la liberté d’information (BfDI).