"Pour respecter le #RGPD dans l'#enseignement, il faut privilégier des outils hébergés dans l'UE" ➡ pourquoi cette idée reçue contribue à fausser le prisme de lecture des décideurs dans l'#EducationNationale. Un thread #MythesRGPD. 
Nombreux sont les interlocuteurs évoquant une "interdiction" d'outils impliquant transferts et/ou stockage de DCP à hors UE. RGPD, Privacy Shield... sont invoqués pêle-mêle une série d'arguments dont la réalité mérite d'être examinée. Quelques éléments objectifs :
Indéniablement, l’hébergement intra-UE facilite l’instauration d’un cadre juridique de confiance entre acteurs (localisation d’éventuelles réclamations, désignation d’une autorité chef de file pour leur traitement, harmonisation des standards juridiques et sécuritaires).
Il n’est donc pas erroné pour un responsable de traitement, lorsqu’il examinera les traitements liés au produit d’un sous-traitant, d’y voir un signal positif (plus fiable en tous cas qu’un de ces macarons “conforme RGPD”). ⚠ Positif, mais ni suffisant, ni conclusif.
Car OUI, les transferts de données hors UE restent permis. Le CEPD a produit une série de mesures concrètes (BCR, CCT) et contraignantes, s’appliquant aux prestataires hors UE souhaitant traiter des DCP appartenant à des citoyens de l’UE. edps.europa.eu/data-protectio…
Ces clauses engagent contractuellement le fournisseur à fournir des garanties équivalentes à celles offertes par des concurrents proposant un hébergement intra-UE. C'est pour ces traitements un gage de licéité, susceptible d'étayer leur conformité lors de l'examen par un RT.
Rappelons à ce titre que cette recherche n’incombe pas à l’agent (enseignant, référent, prof doc), mais bien au responsable de traitement ou à la personne à laquelle il aura donné délégation : mais attention, si la tâche est délégable, la responsabilité ne l’est pas… nuance
Donc, aucune interdiction de principe quant à un stockage hors UE : cet argument, lorsqu’il est invoqué pour interdire le recours à un outil dans l’Éducation nationale (et à moins qu’une expertise n’ait été diligentée et documentée par le RT), n’est en réalité pas pertinent.
👉 La localisation des données sur le territoire européen n’est en rien une obligation. Au mieux, c’est un facteur de simplification administrative et judiciaire en cas de réclamation. 1/2
👉 L'hébergement intra-UE ne préjuge en rien de la capacité d’un traitement à être validé par les instances responsables, et ne doit pas être regardé comme un critère déterminant de “conformité". 2/2
• • •
Missing some Tweet in this thread? You can try to
force a refresh
