Application de la souveraineté des données

Un ministère d’un gouvernement européen a choisi un fournisseur de stockage cloud précisément pour son engagement de souveraineté des données : données stockées exclusivement dans une infrastructure de l’UE, exploitée par une entité de l’UE, avec des garanties contractuelles selon lesquelles les données ne seraient pas transférées hors de l’UE sans autorisation explicite. Le fournisseur était la filiale européenne d’une société mère américaine. L’infrastructure de stockage était réellement hébergée dans l’UE. L’équipe opérationnelle de la filiale était réellement européenne. Deux ans après le début de la relation, la société mère américaine a reçu d’une agence fédérale américaine une National Security Letter demandant l’accès à des données stockées par sa filiale européenne, des données qui comprenaient des dossiers du ministère. La NSL était assortie d’une obligation de silence interdisant à la société mère de divulguer la demande à quiconque, y compris à sa filiale européenne. La société mère disposait d’un accès administratif technique à l’infrastructure de sa filiale par l’intermédiaire d’outils de gestion opérationnelle partagés. L’engagement de souveraineté des données couvrait le lieu de stockage. Il ne régissait pas la structure sociétaire par laquelle un gouvernement étranger pouvait contraindre l’accès à l’insu de l’entité européenne.

Qu’est-ce que le problème de l’application de la souveraineté des données, réellement ?

La souveraineté des données est le principe selon lequel les données sont soumises aux lois et réglementations de la juridiction dans laquelle elles sont stockées ou traitées, et selon lequel l’organisation qui contrôle ces données est protégée contre l’accès d’un gouvernement étranger, sauf par des mécanismes juridiques définis : traités d’entraide judiciaire, décisions de justice formelles assorties de garanties procédurales appropriées et mécanismes similaires qui assurent la transparence et la possibilité d’un recours juridique. La difficulté pratique de l’application de la souveraineté des données tient au fait que les mécanismes juridiques et techniques par lesquels des gouvernements étrangers peuvent accéder aux données stockées dans une juridiction souveraine dépassent l’accès physique direct à l’infrastructure de stockage et incluent les mécanismes de contrôle sociétaire, la juridiction de la société mère et l’accès opérationnel fourni par des outils de gestion partagés.

La dimension de la structure sociétaire est l’aspect le plus important et le moins bien compris du risque lié à la souveraineté des données. Un fournisseur qui est une filiale à cent pour cent d’une société mère étrangère opère dans un contexte juridique où les obligations de la société mère au titre des lois de son pays d’origine s’étendent aux données de ses filiales, du fait de la capacité de la société mère à diriger les opérations de ses filiales, de l’accès technique de gestion partagé et des obligations juridiques qui découlent du contrôle sociétaire. La filiale de l’UE est réellement soumise au droit de l’UE. La société mère américaine est réellement soumise au droit américain, y compris au CLOUD Act, qui permet au gouvernement américain d’exiger les données détenues par des personnes et entités américaines, quel que soit le lieu de stockage physique de ces données.

La dimension de l’accès technique a des conséquences tout aussi importantes. Les sociétés mères et leurs filiales partagent fréquemment une infrastructure opérationnelle (systèmes partagés de gestion des identités, plateformes de surveillance partagées, outils d’administration partagés) qui donne au personnel technique de la société mère un accès opérationnel à l’infrastructure de la filiale. Cet accès est justifié sur le plan opérationnel et banal sur le plan technique. C’est aussi le mécanisme par lequel une demande d’un gouvernement étranger adressée à la société mère pourrait aboutir à un accès aux données détenues par la filiale, à l’insu de celle-ci, grâce à l’accès opérationnel légitime de la société mère aux outils de gestion partagés.

Société mère relevant d’une juridiction étrangère : société mère soumise à des lois permettant un accès contraint aux données, quel que soit le lieu de stockage des données de sa filiale
Accès de gestion opérationnelle partagé : accès technique de la société mère à l’infrastructure de sa filiale au moyen d’outils d’administration partagés
Obligations juridiques liées au contrôle sociétaire : capacité juridique de la société mère à diriger les opérations de sa filiale dans des scénarios d’accès contraint
Portée de l’engagement de souveraineté : engagements couvrant le lieu de stockage sans traiter les voies d’accès liées à la structure sociétaire
Le CLOUD Act et les lois extraterritoriales équivalentes : États-Unis, Chine, Russie et autres juridictions dotées de lois permettant un accès extraterritorial aux données

Pourquoi c’est important

L’application de la souveraineté des données compte pour le TPRM, car les clients du secteur public, les secteurs réglementés et les organisations soumises à des obligations de traitement de données relevant de la sécurité nationale exigent de plus en plus une véritable souveraineté des données, et non une souveraineté du lieu de stockage pouvant être contournée par la structure sociétaire et le droit extraterritorial. Le dispositif de certification du cloud EUCS de la Commission européenne, la certification française SecNumCloud et d’autres cadres nationaux de sécurité du cloud ont explicitement traité la juridiction de la société mère comme un facteur de risque pour la souveraineté, en exigeant que les fournisseurs de services cloud utilisés pour des données gouvernementales sensibles soient libres de toute obligation juridique extraterritoriale susceptible de permettre l’accès d’un gouvernement étranger.

La dynamique du CLOUD Act est le mécanisme d’accès extraterritorial le plus directement pertinent pour le TPRM. Les entreprises dont le siège est aux États-Unis sont soumises aux demandes fondées sur le CLOUD Act portant sur les données détenues par leurs filiales situées hors des États-Unis, quel que soit le lieu de stockage physique de ces données. Un fournisseur cloud européen détenu par une société mère américaine peut recevoir, par l’intermédiaire de cette société mère, une demande fondée sur le CLOUD Act portant sur des données stockées dans l’UE. La certification de souveraineté des données confirme le stockage dans l’UE. Elle ne protège pas contre un accès fondé sur le CLOUD Act par l’intermédiaire du contrôle exercé par la société mère.

Pour les praticiens du TPRM, l’évaluation de la souveraineté exige d’examiner la structure de détention et la juridiction de la société mère en plus de la certification du lieu de stockage. Il s’agit de questions différentes, traitées par des instruments de gouvernance différents, et la confirmation de l’une ne règle pas l’autre.

Là où la plupart des équipes se trompent

L’échec le plus constant consiste à considérer la certification du lieu de stockage comme une assurance complète de souveraineté des données. Le lieu de stockage est nécessaire mais pas suffisant pour une véritable souveraineté des données. La structure sociétaire, la juridiction de la société mère, les accès techniques partagés et les obligations juridiques extraterritoriales créent tous un risque pour la souveraineté que la gouvernance du lieu de stockage ne traite pas.

Considérer la certification du lieu de stockage comme une assurance complète de souveraineté
Juridiction de la société mère non évaluée : détention ultime et exposition aux lois extraterritoriales
Accès opérationnel partagé non évalué : accès technique de la société mère à l’infrastructure de sa filiale
CLOUD Act et lois extraterritoriales équivalentes non évalués pour la juridiction de la société mère
Portée de l’engagement de souveraineté non examinée : ce que couvre l’engagement et ce qu’il ne couvre pas

À quoi ressemblent les bonnes pratiques

Une gouvernance mature de la souveraineté des données distingue la souveraineté du stockage, c’est-à-dire des données stockées dans une juridiction précise, de la souveraineté opérationnelle, c’est-à-dire des données accessibles uniquement par des entités soumises aux lois de cette juridiction, sans aucune voie d’accès extraterritorial. Une véritable souveraineté opérationnelle exige d’évaluer la structure sociétaire, la juridiction de la société mère, les accès techniques partagés et le cadre juridique précis applicable à l’entité du fournisseur.

Évaluation des bénéficiaires effectifs ultimes : chaîne de détention examinée pour déterminer la juridiction de la société mère
Évaluation de l’exposition aux lois extraterritoriales : CLOUD Act, PIPL et lois équivalentes évalués pour la juridiction de la société mère
Séparation des accès opérationnels : confirmation que la société mère n’a aucun accès technique à l’infrastructure de sa filiale dans l’UE
Examen de la portée de la certification de souveraineté : ce que couvre la certification et quels risques liés à la structure sociétaire subsistent
Exigences d’indépendance juridictionnelle : critères de sélection des fournisseurs exigeant des entités libres de toute obligation juridique extraterritoriale pour les données les plus sensibles

Outils

Certification cloud de l’UE : EUCS, SecNumCloud, BSI C5

Les dispositifs européens de certification de la sécurité du cloud traitent explicitement la juridiction de la société mère comme un facteur de risque pour la souveraineté. SecNumCloud (France) et BSI C5 (Allemagne) sont des certifications de sécurité du cloud qui incluent le risque d’accès extraterritorial dans le périmètre de leur évaluation. Pour les praticiens du TPRM, demander si le fournisseur détient une certification nationale de sécurité du cloud qui traite la juridiction de la société mère, au-delà des certifications générales ISO 27001 ou SOC 2, permet de savoir si la souveraineté a été formellement évaluée au-delà du lieu de stockage.

Renseignement sur les structures sociétaires : Companies House, registres des sociétés de l’UE, GLEIF

Les registres des sociétés fournissent des informations sur les bénéficiaires effectifs ultimes, ce qui permet d’évaluer toute la chaîne de détention d’un fournisseur et les juridictions de toutes ses entités mères. Pour les praticiens du TPRM, examiner la structure sociétaire d’un fournisseur au moyen des registres publics avant d’accepter son engagement de souveraineté permet de vérifier de manière indépendante l’exposition juridictionnelle que cet engagement ne traite peut-être pas.

Enjeux de gouvernance

Le défi de gouvernance que pose l’application de la souveraineté des données tient à l’intersection entre technique et droit. Le lieu de stockage est techniquement vérifiable. La juridiction dont relève la structure sociétaire relève d’une analyse juridique. Les voies d’accès opérationnelles exigent une évaluation technique de l’infrastructure de gestion partagée. Une évaluation complète de la souveraineté exige une expertise dans ces trois dimensions (technique, juridique et structure sociétaire), qui n’est généralement concentrée ni dans les programmes de TPRM ni dans les équipes de sécurité des fournisseurs.

Examinez la structure de détention de tous les fournisseurs qui prennent des engagements de souveraineté
Évaluez la juridiction de la société mère au regard du CLOUD Act et des lois extraterritoriales équivalentes
Interrogez la séparation des accès de gestion opérationnelle : accès technique de la société mère à l’infrastructure de sa filiale
Exigez la communication de la portée de la souveraineté : ce que couvre l’engagement et ce qu’il ne couvre pas
Envisagez des certifications cloud nationales pour les exigences de souveraineté les plus sensibles

Si vous êtes une petite équipe

Pour chaque fournisseur qui a pris un engagement de souveraineté des données, vérifiez une chose avant votre prochaine évaluation : la société mère ultime et sa juridiction de constitution. Les registres publics des sociétés et les informations publiées par le fournisseur sur sa structure fournissent ces informations. Si la société mère ultime est constituée dans une juridiction soumise au CLOUD Act, à la PIPL ou à des lois équivalentes d’accès extraterritorial, relevez l’écart entre l’engagement de souveraineté du stockage et la voie d’accès liée à la structure sociétaire. Puis demandez directement au fournisseur : quelle est votre relation avec les opérations techniques de votre société mère, et votre société mère dispose-t-elle d’un accès opérationnel à votre infrastructure dans l’UE ?

Vérifiez la juridiction de la société mère ultime de tous les fournisseurs qui revendiquent la souveraineté
Interrogez l’accès opérationnel de la société mère à l’infrastructure de sa filiale
Demandez si des certifications cloud nationales traitent la juridiction de la société mère
Relevez l’écart entre l’engagement de souveraineté du stockage et la voie d’accès liée à la structure sociétaire

Ce qu’il faut exiger

Demandez directement :

« Quelle est la société mère ultime de l’entité avec laquelle nous contractons, dans quelle juridiction cette société mère est-elle constituée, et cette juridiction dispose-t-elle de lois susceptibles de contraindre votre société mère à donner accès aux données détenues par votre entité ? »

« Votre société mère dispose-t-elle d’un accès technique à l’infrastructure qui héberge nos données, par l’intermédiaire de systèmes partagés de gestion des identités, d’outils de surveillance opérationnelle ou d’accès administratifs, et si oui, avec quels contrôles d’autorisation ? »

« Que couvre précisément votre engagement de souveraineté des données, et que ne couvre-t-il pas en matière de contrôle sociétaire exercé par votre société mère et d’obligations juridiques extraterritoriales ? »

Preuves attendues

Communication de la structure sociétaire : société mère ultime et juridiction
Évaluation de l’exposition aux lois extraterritoriales pour la juridiction de la société mère
Confirmation de la séparation des accès opérationnels : accès de la société mère à l’infrastructure
Communication de la portée de l’engagement de souveraineté : ce qui est couvert et ce qui ne l’est pas

Un fournisseur qui répond à la question de la société mère par « nos données sont stockées dans l’UE par notre entité de l’UE » a confirmé le lieu de stockage. Demandez précisément si la société mère ultime de l’entité de l’UE est soumise au CLOUD Act ou à des lois équivalentes d’accès extraterritorial aux données. Le lieu de stockage est le plancher. La structure sociétaire est le plafond. Les deux déterminent la souveraineté effective des données.

Comment le prouver

Registres d’évaluation de la structure sociétaire des fournisseurs qui revendiquent la souveraineté
Documentation de la juridiction de la société mère et de l’exposition aux lois extraterritoriales
Évaluation de la séparation des accès opérationnels
Documentation de la portée de la souveraineté : ce qui est couvert et ce qui ne l’est pas par les engagements

À retenir

La souveraineté des données est le principe selon lequel les données sont protégées contre l’accès d’un gouvernement étranger, sauf par des voies juridiques légitimes. Le lieu de stockage est l’un des mécanismes de mise en œuvre de ce principe. La structure sociétaire est la voie par laquelle il peut être contourné : lorsque la société mère américaine de la filiale de l’UE reçoit une National Security Letter, les données stockées dans l’UE sont accessibles grâce à l’accès opérationnel de la société mère aux outils de gestion partagés, à l’insu de l’entité de l’UE, sous le coup d’une obligation de silence qui empêche quiconque de savoir que cela s’est produit. L’engagement de souveraineté du stockage décrivait avec exactitude où résident les données. Il ne disait rien de qui peut les atteindre par la structure organisationnelle qui la surplombe. Les deux questions déterminent si la souveraineté est réelle.