1. Martin Dubois, LL.B., CISSP
Principal Information Security Analyst
Oracle Corporation

2. ON SE TOURNE MAINTENANT VERS L’OFFRE “CLOUD”.
TRÈS POPULAIRE.
TYPIQUEMENT DU SAAS (SOFTWARE AS A SERVICE).
EXCLUANT LE PAAS (PLATFORM AS A SERVICE).
SCENARIO DE TRAVAIL = UNE RELATION TRIPARTITE
ENTRE UN INDIVIDU (DATA SUBJECT), UN TIERS
RECEVANT L’INFORMATION DE L’INDIVIDU ET
L’EXPLOITANT (LE CLIENT) ET LE FOURNISSEUR DE
SERVICE (CLOUD SERVICE PROVIDER).
SCÉNARIO IMPLIQUANT L’EXTERNALISATION DE
DONNÉES PERSONNELLES.

3. 
PRINCIPALE PROBLÉMATIQUE PROPRE AUX RISQUES
JURIDIQUES ET RÉGLEMENTAIRES LORS DE
L’ENTREPOSAGE DANS UN ENVIRONNEMENT
NUAGIQUE (EXTERNALISATION D’UN SERVICE
LOCAL VERS UN SERVICE NUAGIQUE) =
TRANSLATION DE CERTAINES OBLIGATIONS
DU DATA CONTROLLER VERS LE DATA
PROCESSOR.

4. 
EXEMPLE DE LOI APPLICABLE AU DATA CONTROLLER AYANT UN IMPACT DIRECT
SUR LE FOURNISSEUR DE SERVICES = LOI ALBERTAINE
CITATION :
ALBERTA’S PERSONAL INFORMATION PROTECTION ACT REQUIRES THAT, UPON
REQUEST, TRUSTEE (SERVICE PROVIDER) TO PROVIDE TO ANY DATA SUBJECT
(INDIVIDUALS) INFORMATION IN RELATION TO THE USE AND DISCLOSURE OF
THAT SUBJECT’S PERSONAL INFORMATION.
ACCESS TO RECORDS AND PROVISION OF INFORMATION
24(1) AN INDIVIDUAL MAY, IN ACCORDANCE WITH SECTION 26, REQUEST AN
ORGANIZATION
(A) TO PROVIDE THE INDIVIDUAL WITH ACCESS TO PERSONAL INFORMATION ABOUT
THE INDIVIDUAL, OR
(B) TO PROVIDE THE INDIVIDUAL WITH INFORMATION ABOUT THE USE OR
DISCLOSURE OF PERSONAL INFORMATION ABOUT THE INDIVIDUAL.
(1.2) ON THE REQUEST OF AN APPLICANT MADE UNDER SUBSECTION (1)(B), AND
TAKING INTO CONSIDERATION WHAT IS REASONABLE, AN ORGANIZATION MUST,
IF THE ORGANIZATION HAS IN ITS CUSTODY OR UNDER ITS CONTROL A RECORD
CONTAINING PERSONAL INFORMATION ABOUT THE APPLICANT DESCRIBED IN
THE REQUEST, PROVIDE THE APPLICANT WITH
(A) INFORMATION ABOUT THE PURPOSES FOR WHICH THE PERSONAL INFORMATION
HAS BEEN AND IS BEING USED BY THE ORGANIZATION, AND
(B) THE NAMES OF THE PERSONS TO WHOM AND CIRCUMSTANCES IN WHICH THE
PERSONAL INFORMATION HAS BEEN AND IS BEING DISCLOSED.

5. 
PII = DONNÉES CONFIDENTIELLES…

PII; CE QUE CE N’EST PAS…

PII = BIEN IMMATÉRIEL…MAIS « BIEN »
QUAND MÊME.

QUI DIT « BIEN », DIT DROIT DE
PROPRIÉTÉ SUR LE BIEN.

6. 





LE PROPRIÉTAIRE VÉRITABLE DU PII =
TOUJOURS LE DATA SUBJECT
LE « PROPRIÉTAIRE » SUBSÉQUENT (LE
PRESTATAIRE DE SERVICES) N’EST EN FAIT
QU’UN FIDUCIAIRE ET DOIT AGIR EN
RESPECTANT LES DROITS DU DATA SUBJECT
SUR SON BIEN…LE PII
LE FAISCEAU DES SOUS-DROITS ASSOCIÉS À LA
PROPRIÉTÉ D’UN BIEN, MÊME IMMATÉRIEL :
USUS : USAGE LÉGAL D’UN BIEN (LA LIBERTÉ
DE L’UN DÉBUTE OU CELLE DE L’AUTRE SE
TERMINE)
FRUCTUS : LES « FRUITS » QUI
PROVIENNENT DU BIEN ET LEUR USUS ET
ABUSUS.
ABUSUS : SE DÉPARTIR DU BIEN, LE
DÉTRUIRE, LE MODIFIER…

7. 


CES DROITS SONT ISSUS DE LOIS QUI SONT
TOUJOURS ASSOCIÉES À DES TERRITOIRES
GÉOGRAPHIQUEMENT DÉFINIS.
POUR UN MÊME SYSTÈME NUAGIQUE,
PLUSIEURS JURIDICTIONS DIFFÉRENTES
POURRAIENT S’APPLIQUER ET DONC UNE
MULTITUDE DE LOIS QUI POURRAIENT ÊTRE
ÉTRANGÈRES.
LA MISE EN APPLICATION DES DROITS
DÉCOULANT D’UNE LOI DÉPEND DU SITUS
DES DONNÉES ET/OU DE LA NATIONALITÉ
DU DATA SUBJECT.

8. 



UN DROIT DU FAISCEAU EST PARTICULIÈREMENT EN
CAUSE : L’USUS.
IL EST CONFIÉ AU TIERS QUI EXPLOITE
L’ENVIRONNEMENT NUAGIQUE. MAIS QU’À DES
CONDITIONS DÉNONCÉES ET BIEN COMPRISES PAR
LE DATA SUBJECT…ET QUE SUITE À LA SOUMISSION
D’UN CONSENTEMENT « LIBRE ET ÉCLAIRÉ ».
« LIBRE ET ÉCLAIRÉ » = SANS PRESSION, AVEC
TOUTE L’INFORMATION REQUISE POUR POUVOIR
CONSENTIR. OBLIGATION DE DÉCLARATION TRÈS
VASTE DE L’USAGE DU PII PAR LE PRESTATAIRE.
D’OÙ LES TRÈS IMPORTANTES QUESTIONS DE LA
DÉFINITION DU « LIEU » DE L’INFORMATION
(WHERE IS MY DATA?) ET DE « QUI » AURA ACCÈS
AU PII PENDANT LE CYCLE DE VIE DE L’INFO DANS
L’ENVIRONNEMENT NUAGIQUE.

9. 
PATRIOT ACT

DISASTER RECOVERY DOIT ÊTRE INCLUS
DANS LE SCÉNARIO.

SERVICES ACCESSOIRES COMME AKAMAI.

10. PISTE DE SOLUTIONS :

READY FOR THE CLOUD??

NE PAS COLLIGER D’INFO PERSO.

COLLECTION DE L’INFO MINIMALE! CHAQUE DATA
SET = POSSIBLE FUITE = PROBLÈMES ET $.

BON ENCADREMENT JURIDIQUE ET CONTRACTUEL
AVEC LES DATA SUBJECTS = CONSENTEMENTS…

EXEMPLES (SPLASH SCREEN) MAIS AVEC LE MOYEN DE
TOUJOURS DÉMONTRÉ L’ACCEPTATION DES
CONDITIONS.

“DUE DILIGENCE” DU PRESTATAIRE DE SERVICES
NUAGIQUES ET LES SOUS-TRAITANTS/SOUSCONTRACTANTS.

11. 
ÊTRE CERTIFIÉ OU AUDITÉ (ET EXIGER CECI DU
PRESTATAIRE DE SERVICES): SAFE HARBOR, TRUST-E,
CLOUD SECURITY ALLIANCE, ISO 27001, ETC…

AU MOINS: SSAE 16 TYPE II SOC 1

SI ON DOIT COLLIGER, ALORS CONSERVER LE MOINS
LONGTEMPS POSSIBLE ET POUVOIR DÉMONTRER QUE
L’INFORMATION A ÉTÉ DÉTRUITE DE MANIÈRE ADÉQUATE.

ENCODAGE EST BIEN, MAIS MÊME L’INFO ENCODÉE EST
JUGÉE COMME INFO CONFIDENTIELLE ET SOUMISE AUX
LOIS, TRAITÉS, DIRECTIVES ET RÈGLEMENTS APPLICABLES.

12. Questions