Vie privée et protection des renseignements dans les nuages: réalité ou utopie?

Transcription

1 Vie privée et protection des renseignements dans les nuages: réalité ou utopie? Me René W. Vergé, cipp/c, cissp, cisa Colloque CCH: Droit des nouvelles technologies 27 mars 2012 (Montréal) 3 avril 2012 (Québec) 1

2 Note aux participants et aux lecteurs Ce qui suit représente l opinion personnel de l auteur et non des avis juridiques Pour cette présentation, je ne suis pas votre avocat, ni l avocat de Brouillette& Associés, de e-risk, de CCH, de Google ou de Facebook Nous allons faire le survol d un sujet complexe et cette information devrait vous orienter dans vos recherches juridiques futures 2

3 Qu est ce que l infonuagique? (Cloud Computing) Partage et stockage d informations sur des serveurs distants, exploités par ou appartenant à d'autres et accessibles par Internet -World Privacy Forum 2011 une forme particulière de gérance de l'informatique l'emplacement des données n étant pas porté à la connaissance des clients. - Commission générale de terminologie et de néologie (France) 3

4 4

5 Qu est ce que l'infonuagique? Modèlepermettant un accès pratique et sur demande à un ensemble de ressources informatiques partagées et configurables (e.g., réseaux, serveurs, stockage, applications et services), quipeuvent être rapidementmises en opération, avec un minimum d effort de la part du client ou d interaction de la part du fournisseur du nuage. - NIST

6 Types d infonuagique? SaaS STaaS PaaS IaaS BPaaS EaaS? Nuage privé Nuage public Nuage hybride Nuage communautaire 6

7 Adoption de l'infonuagique 35% *A Global Cloud Computing Study, Red Shift Research & AMD, mars

8 Croissance de l infonuagique Dépenses totales de 280G$ de 2011 à 2016 Croissance annuelle de 27 à 32 % 50% des nouvelles dépenses TI d ici % de la charge TI d ici 2015 SaaS= la plus grosse charge TI (applications d affaires, réseaux sociaux, solutions mobiles, etc.) De mieux, plus vite et moins cher, vers une transformation de l entreprise *Sources: SaugatuckTechnologies, Market Intel Group, Standard and Poors *The Future of Virtualization, Cloud Computing & Green IT Global Technologies & Markets Outlook

9 Utilisation de l infonuagique Courriel Photo Application Vidéo Sauvegarde Fichier * 9

10 Avantages de l infonuagique Utilisateurs: pratique, accessible de partout, sécurité des données en cas de défaillance, plus facile à partager les données Moins de ressources à maintenir Permet de se concentrer sur la tâche à accomplir Démocratisation de la sécurité des données Accès progressif aux ressources selon la croissance et les besoins Économies pour les organisations, les utilisateurs (et les contribuables) 10

11 Avantages de l infonuagique Accès simplifié Expérience améliorée Diminution du défi de performance Diminution du coût de l infrastructure Réduction de la pression sur les ressources internes * 11

12 Surveillance et compilation par le fournisseur et les autorités d une quantité énorme de données et de transactions Perte de contrôle sur l information Risques de l infonuagique De plus en plus d information est confiée à des tiers qui n ont pas de lien direct avec l utilisateur ou l organisation Le transfert d information à un tiers peut aboutir à une protection inférieure contre les accès et la divulgation sans consentement L accès à l information par le FDN (selon besoins techniques et modèle d affaire) Contraintes légales découlant de l incertitude concernant l emplacement des données (e.g. Allemagne, Colombie-Britanique, Nouvelle-Écosse ) 12

13 La confiance envers le nuage 50% *A Global Cloud Computing Study, Red Shift Research & AMD, mars

14 Préoccupations principales *A Global Cloud Computing Study, Red Shift Research & AMD, mars

15 Transfert de RP à l extérieur du Québec requiert une protection équivalente (entreprise ou gouvernement) LPRPSP, LADOPPRP, LCJTI Il faut aviser les clients Québec Certaines exigences pour les organismes publics (Règlement sur la diffusion de l information et PRP) Ces lois prescrivent plusieurs mesures concernant la sécurité de l information électronique Pour les avocats: Guide du Barreau du Québec 15

16 Québec LPRPSP: 10.Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés LPRPSP: 17. La personne qui exploite une entreprise au Québec et qui communique à l'extérieur du Québec des renseignements personnels doit prendre tous les moyens raisonnables pour s'assurer 1) que les renseignements ne seront pas utilisés à des fins non pertinentes à l'objet du dossier ni communiqués à des tiers sans le consentement des personnes concernées sauf a. 18 et 23 16

17 Québec LADOPPRP: 67.2.Un organisme public peut, sans le consentement de la personne concernée, communiquer un renseignement personnel à toute personne ou à tout organisme si cette communication est nécessaire à l'exercice d'un mandat ou à l'exécution d'un contrat de service, l'organisme public doit 1) contrat par écrit 2)indiquer les dispositions de la présente loi qui s'appliquent 3) indiquer les mesures de sécurité 4) délais de conservation LADOPPRP: 70.1.Avant de communiquer à l'extérieur du Québec des renseignements personnel, l'organisme public doit s'assurer qu'ils bénéficieront d'une protection équivalant à celle prévue à la présente loi 17

18 Transfert de RP à l extérieur du Canada requiert une protection équivalente (entreprise ou gouvernement, sauf CB et NE pour RP détenus par l État) LPRPDE, LPRP Il faut aviser les clients (décision) (pas d exclusion no opt out) Qu en est-il du USA Patriot Act? Canada Plus ou moins équivalent au Canada (mandat de perquisition, assignation, injonction ou ordonnance secrète, écoute électronique sans mandat, etc.): Code criminel (mandat de perquisition) Loi sur le Service canadien du renseignement de sécurité = Foreign Intelligence Surveillance Act(mandats secrets) Loi de l impôt sur le revenu (ordonnance administrative) Loi sur la défense nationale = Foreign Intelligence Surveillance Act (communications internationales) 18

19 Transfert de RP à l extérieur de l UE requiert une protection adéquate (4 options): Consentement de l individu Sphère de sécurité (Safe Harbor) UE-ÉU - FTC Règles d'entreprise contraignantes (BCR) Clauses contractuelles types Union européenne LPRPDE, LPRP = protection adéquate depuis

20 Une multitude de lois fédérales et étatiques concernant la vie privée, la sécurité, la fraude informatique et la divulgation d incident impliquant des RP Protège certains types de renseignements (HIPAA, GLBH, COPPA ) ou certains types d activités (CAN SPAM Act, FCRA ) Plusieurs standards de sécurité (FISMA, PCI-DSS ) États-Unis Ces lois s appliquent même si les RP sont transférés dans un nuage à l extérieur des É.U. (en théorie) ECPA (1986): accès aux communications par le Gouv Interprétation inconsistante Peut décourager l infonuagiqueaux É.U. Pourrait changer bientôt Avis donnés par les barreaux des États (New-York, Pennsylvanie, Oregon, Caroline du Nord ) 20

21 La sécurité et la loi dans les nuages Les FDN peuvent donc être assujettis à plusieurs lois dans plusieurs juridictions Les nuages privés, hybrides ou communautaires peuvent être une solution Facilite la conformité car il est possible de dédier les ressources à un seul ou à un groupe de clients Amazon Cloud Achieves Key Federal Security Standard (2011/09) Google releases FISMA-compliant Apps for Government (2011/04) EMC targets FISMA compliance in cloud networks (2010/08) 21

22 Exemples d organisations qui utilisent le nuage Google American Universityin Cairo BASF Cap Gemini Essilor Grant Thornton KLM Singapore Ministryof Education Konica Minolta Cadillac Fairview University of Alberta University of Amsterdam 22

23 Si ce n est pas interdit par la loi, les utilisateurs/organisations devraient être avisés des requêtes(criminelles et civiles) d accès à leurs informations Aucune divulgation sans consentement Recommandation 1 Accès aux données par les autorités Obligation de résister et de contester Obligation de coopération avec les autorités réglementaires (conjointement) 23

24 Recommandation 2 Utilisation secondaire des données L utilisation secondaire doit être clairement divulguéeet identifiée, en tant que «justification technique» ou «justification d affaire*» pour l utilisation des données Manque de consensus (par contrat, limité ou interdit) Selon la loi de la juridiction Devrait être très limitée dans le cas d une organisation (justification technique seulement) 24

25 Le FDN devrait favoriser la portabilité et l interopérabilité des données Recommandation 3 Portabilité et interopérabilité Ne pas devenir dépendant à 100% du FDN Prévoir des copies de sauvegarde et exportation de données Prévoir les mesures concernant l administration de la preuve électronique, le cas échéant, selon les exigences et les risques sous-jacents. 25

26 Recommandation 4 Sécurité des données Le FDN doit démontrer que des mesures de sécurité appropriéessont en place par le biais d audits et de certifications 26

27 Recommandation 5 Protection des RP (services gratuits) Les services gratuits devraient avoir les mêmes mesures de protectiondes renseignements personnels que les services payants 27

28 Recommandation 6 Destruction des données Les utilisateurs/organisations devraient pouvoir supprimer en tout temps l information transférée dans le nuage Aucune conservation d information une fois le contrat terminé (sauf si obligation légale ou entente avec le FDN) 28

29 Recommandation 7 Responsabilité pour divulgation Prévoir une compensation proportionnelle pour divulgation d information sans consentement Aucune limite de responsabilité pour atteinte à la confidentialité et la sécurité Dans les faits? 29

30 Recommandation 8 Transparence Certaines informations de base devraient être fournies par le FDN (niveaux de service, modèle d affaire, protection légale applicable aux données, personnes à contacter pour questions ou problèmes ) 30

31 Bonnes pratiques pour la vie privée et la sécurité dans les nuages Sécurité de l information en transit (SSL, VPN, etc.) Complexité des mots de passe et authentification forte Contrôle d accès renforcé (authentification à l écran) Sécurité physique des serveurs (centre de données) Entente de niveau de services avec le FDN Vérification des antécédents et cautionnement Cautionnement des employés du FDN Entente de non divulgation et de confidentialité Droit d audit, certification et assurance 31

32 Aller vers le nuage? En général, si le FDN a une bonne réputation, votre information est mieux protégée dans le nuage Ils ont plus de ressources à consacrer à la sécurité Les utilisateurs mobiles n auront plus à transporter d information sur des équipements vulnérables Autres avantages décrits précédemment La juridiction est plus ou moins importante L exécution du contrat doit être assuré Maturité du système juridique Gestion du risque légal 32

33 L avenir de la vie privée dans les nuages? Le monde a moins d'une décennie pour faire de la protection des renseignements personnels et de la vie privée en ligne une priorité avant que ces concepts soient perdus à jamais... les problèmes de confidentialité en ligne ne feront que s'aggraver si les gouvernements ne prennent pas une position ferme. -Commissioner Cavoukian, Ottawa Citizen, August 18, 2010 Si nous n'agissons pas maintenant, je prédis que la vie privée, comme nous la connaissons, aura disparu - perdue, au-delà de notre portée, d'ici Commissioner Cavoukian, International Conference of Data Protection and Privacy Commissioners, Jerusalem, October 28,

34 Questions?