.svg)
Ce que les règles RGPD de transfert de données exigent vraiment
Les règles RGPD de transfert de données déterminent quand des données personnelles peuvent quitter l'UE et l'EEE. Le principe est simple : des données personnelles ne peuvent être envoyées vers un autre pays que si ce pays, ou l'organisation destinataire, offre une protection équivalente au RGPD (GDPR). Cela figure au chapitre V du règlement et s'applique chaque fois que des données clients franchissent une frontière, y compris les transferts de routine au sein d'une stack logicielle connectée.
Il existe plusieurs façons de respecter la règle. L'UE a estimé que certains pays offrent une protection adéquate, si bien qu'aucune étape supplémentaire n'est nécessaire pour y transférer des données. Pour les États-Unis, les entreprises certifiées peuvent s'appuyer sur l'EU-US Data Privacy Framework. Lorsque ni l'un ni l'autre ne s'applique, les entreprises recourent à des garanties telles que les clauses contractuelles types, associées à une évaluation vérifiant que les données seront réellement protégées en pratique.
La résidence des données est la question connexe du lieu où les données se trouvent physiquement. Les deux vont de pair, car on ne peut pas choisir une voie de transfert licite sans savoir où vont les données. Pour la plupart des entreprises e-commerce, c'est là que réside la difficulté. Les données ne sont pas à un seul endroit, et personne n'a cartographié où elles aboutissent.
Où résident réellement vos données clients e-commerce ?
Dans la plupart des cas, personne ne saurait le dire. Une boutique type répartit les données clients sur une douzaine de systèmes, dont plusieurs tournent dans des pays différents. Une commande inscrit des données personnelles dans la plateforme e-commerce, puis les envoie vers un prestataire de paiement, un service anti-fraude, un outil marketing, une plateforme d'analytique, un service d'assistance et l'ERP. Certains de ces fournisseurs hébergent dans l'UE. D'autres hébergent aux États-Unis, ou répliquent les données sur des régions que l'acheteur ne voit jamais. Chaque saut est un transfert auquel s'appliquent les règles RGPD de transfert de données, que cela ait été prévu ou non. La question de la résidence des données, l'endroit où chaque donnée repose réellement, trouve sa réponse dans l'architecture, pas dans un document de politique.
Pourquoi les transferts transfrontaliers se trompent facilement dans une stack connectée
Le risque est rarement une décision délibérée d'enfreindre les règles. C'est l'accumulation silencieuse de transferts que personne n'a suivis :
- Des fournisseurs qui ont changé ou expiré : un outil américain sur lequel vous comptez n'a peut-être pas de certification Data Privacy Framework active, et une telle certification peut expirer sans préavis, supprimant la base légale que vous croyiez acquise.
- Des transferts ultérieurs que vous ne voyez pas : un outil auquel vous envoyez des données peut les transmettre à ses propres sous-traitants dans d'autres pays, et vous restez responsable de leur destination.
- Des copies par commodité : les outils d'analytique et de marketing dupliquent souvent les données clients dans leur propre environnement, créant de nouveaux transferts distincts du système d'origine.
- Aucune trace du flux : le RGPD attend d'une entreprise qu'elle documente où vont les données personnelles, ce qui est difficile à tenir quand les connexions sont construites une à une sans vue centrale.
Tout cela ramène à la même lacune : personne ne voit tous les flux de données à la fois. C'est cette visibilité qu'offre une integration platform-as-a-service (iPaaS), un logiciel qui achemine les données d'une entreprise via une seule couche gérée plutôt que via des dizaines de connexions directes. C'est le même contrôle qui rend praticable une conformité en matière de confidentialité plus large à travers des systèmes connectés.
.svg)
.svg)
.svg)
.svg)
.svg)
.svg)
