[disclaimer : je ne suis pas juriste, merci à ceux qui apporteront des précisions ou me corrigeront]
Plusieurs thématiques dans ce post :
celle du RGPD, règlement européen de 2016, qui traite du transfert de données personnelles de résidents UE vers d'autres pays explicitement dans ses articles 44-49.
En bref, le transfert n'est possible que vers les pays respectant le RGPD (pour faire court, les données ne sont traitées que pour la seule finalité de départ, pas de transfert à un tiers, commercial ou étatique, sans consentement de l'usager). Beaucoup de pays intègrent la liste (via accord d'adéquation, le privacy shield en fait partie).
https://www.cnil.fr/fr/transferts-de-donnees-hors-ue-ce-qui-change-avec-le-reglement-general-sur-la-protection-des-donnees
Le Cloud Act (loi fédérale US) permettant le transfert de données vers les autorités, un accord international (le Privacy Shield) a été mis en place pour encadrer juridiquement les transferts de données personnelles EU-US.
le mythe de l'étudiant qui "renverse le privacy shield" à lui tout seul. Max Schrem est un activiste de la protection de la vie privée, il n'est pas tout seul, et n'en est pas à son coup d'essai. Il réitère l'histoire de l'accord prédecesseur du privacy shield : le Safe Arbor.
L'histoire en détail ici :
https://www.avocats-mathias.com/actualites/invalidation-privacy-shield
Les grosses sociétés proposant du Saas (Microsoft...) ont réagi rapidement à cette décision, indiquant que l'imbroglio juridique est en cours, mais que les clients peuvent être rassurés, bien sûr.
le consentement de l'étudiant : difficile pour l'étudiant de s'opposer au traitement de ses données personnelles, ces traitements sont nécessaires (intérêt légitime, ou nécessité, dans le cadre administratif, pour l'école de répondre à ses obligations légales), ils ont donc une base juridique établie. La Cnil est claire là-dessus.
L'étudiant peut par contre demander la copie de ses données (les rectifier, etc) et liste des traitements associés en contactant le délégué de protection de données désigné par l'école.
enfin, le point de vue de l'école :
Entre deux risques :
le risque que l'administration US accède aux données personnelles des élèves.
le risque que les données fuitent dans la nature parce qu'elles ont été hébergées en interne, ou chez un hébergeur sous-traitant qui ne respecte pas le RGS de l'Ansii, puis piratées.
Il convient de choisir le moindre risque. Le bon sens consiste évidemment à choisir un hébergeur français certifié, pour obtenir le niveau de protection adéquat et le respect complet du rgpd, mais l'école n'est pas dans l'illégalité en choisissant un sous-traitant international. L'articulation US-UE reste une zone d'ombre juridique.
# Pas du tout, en effet.
Posté par marquez . En réponse au message Invalidation du privacy shield. Évalué à 1.
[disclaimer : je ne suis pas juriste, merci à ceux qui apporteront des précisions ou me corrigeront]
Plusieurs thématiques dans ce post :
Le Cloud Act (loi fédérale US) permettant le transfert de données vers les autorités, un accord international (le Privacy Shield) a été mis en place pour encadrer juridiquement les transferts de données personnelles EU-US.
Les grosses sociétés proposant du Saas (Microsoft...) ont réagi rapidement à cette décision, indiquant que l'imbroglio juridique est en cours, mais que les clients peuvent être rassurés, bien sûr.
le consentement de l'étudiant : difficile pour l'étudiant de s'opposer au traitement de ses données personnelles, ces traitements sont nécessaires (intérêt légitime, ou nécessité, dans le cadre administratif, pour l'école de répondre à ses obligations légales), ils ont donc une base juridique établie. La Cnil est claire là-dessus.
L'étudiant peut par contre demander la copie de ses données (les rectifier, etc) et liste des traitements associés en contactant le délégué de protection de données désigné par l'école.
enfin, le point de vue de l'école :
Entre deux risques :
Il convient de choisir le moindre risque. Le bon sens consiste évidemment à choisir un hébergeur français certifié, pour obtenir le niveau de protection adéquat et le respect complet du rgpd, mais l'école n'est pas dans l'illégalité en choisissant un sous-traitant international. L'articulation US-UE reste une zone d'ombre juridique.