Protection des données personnelles : sécuriser les partages par API selon la CNIL

La recommandation impose une analyse au cas par cas des rôles techniques et des qualifications juridiques des acteurs. Le détenteur de données est généralement responsable du traitement, le gestionnaire d’API sous-traitant et le réutilisateur destinataire, sans exclure une responsabilité conjointe ou une responsabilité propre du gestionnaire. La détermination des finalités et des moyens demeure le critère central.

La CNIL recommande de privilégier les API lorsque les données sont fréquemment mises à jour, que les accès sont réguliers, que le stockage par le réutilisateur est inutile ou que seuls certains sous-ensembles doivent être transmis. La conception doit intégrer la minimisation, l’exactitude, la traçabilité, la gouvernance des droits et la sécurité, en fonction de la vraisemblance et de la gravité des risques. Les catégories de données, les modalités d’accès, l’authentification, la granularité des requêtes et les mesures organisationnelles doivent être documentées.

Lorsque le traitement est susceptible d’engendrer un risque élevé, l’analyse technique doit être intégrée à une analyse d’impact relative à la protection des données conformément à l’article 35 du RGPD. Les dispositifs doivent également permettre l’information des personnes, la gestion des habilitations, la journalisation des accès et la prise en compte automatisée des demandes de rectification, d’effacement, d’opposition ou de limitation, notamment au regard de l’article 19 du RGPD.

⬇️Télécharger la décision version officielle

Le texte distingue trois rôles fonctionnels : le détenteur de données, qui contrôle les données ; le gestionnaire d’API, qui met en œuvre les composantes techniques ; et le réutilisateur, qui accède aux données pour son propre compte. Ces rôles peuvent être exercés par un même organisme ou par plusieurs intervenants.

La recommandation décrit les situations dans lesquelles une API est privilégiée, ainsi que les mesures relatives à la minimisation, à l’exactitude, à la traçabilité, à la sécurité, à l’information des personnes, à la gestion des accès et à l’exercice des droits. Elle présente également plusieurs cas d’usage, notamment les recherches utilisant des données de réseaux sociaux, l’ouverture de données administratives et les partages fermés entre services.

• Qualifier juridiquement chaque acteur selon son rôle réel dans le traitement
• Évaluer la vraisemblance et la gravité des risques pour les personnes
• Limiter les données, leur précision, leur historique et leur fréquence aux besoins
• Contrôler les accès au moyen d’une authentification robuste et d’habilitations formalisées
• Assurer la journalisation des accès, requêtes et actions réalisées
• Documenter les choix techniques, organisationnels et les procédures de gouvernance
• Réaliser une analyse d’impact lorsque le risque est élevé

• Analyse documentée des facteurs de vulnérabilité du partage
• Journalisation des accès, requêtes et actions des réutilisateurs
• Vérification des autorisations et des identifiants d’accès
• Recensement des catégories, formats et niveaux de précision des données
• Outil de validation du format et de l’exactitude des données

• Formaliser les rôles et responsabilités de chaque acteur
• Documenter l’analyse des risques et les choix techniques
• Limiter les requêtes aux données strictement nécessaires
• Mettre en place une authentification et des habilitations robustes
• Prévoir la journalisation et la notification des modifications de données
• Réaliser une analyse d’impact en cas de risque élevé

À faire

• Qualifier chaque acteur au regard des critères du RGPD
• Documenter les finalités, moyens et responsabilités
• Limiter les données et la granularité des requêtes
• Mettre en place authentification, habilitations et révocation
• Journaliser les accès et analyser les vulnérabilités

À éviter

• Conserver des données inutiles chez le réutilisateur
• Maintenir des accès après la fin du besoin
• Partager des identifiants entre personnes non habilitées
• Négliger la sécurité des machines locales
• Omettre l’analyse d’impact en cas de risque élevé

La qualification juridique des acteurs du partage de données

La qualification doit être déterminée au cas par cas selon les critères du RGPD, indépendamment des rôles techniques. Le détenteur est généralement responsable du traitement, le gestionnaire d’API sous-traitant et le réutilisateur destinataire. Une responsabilité conjointe est possible lorsque plusieurs acteurs déterminent ensemble les finalités et les moyens. Le gestionnaire peut aussi être responsable lorsqu’il traite les données pour son propre compte.

Les critères de sécurité des partages par API

La recommandation privilégie une approche fondée sur les risques. Les acteurs doivent examiner le type d’accès, les modalités d’autorisation, la robustesse de l’authentification, la nature des données, leur précision, la granularité des requêtes et les mesures techniques et organisationnelles. Les objectifs prioritaires sont la minimisation, l’exactitude, la traçabilité, la gouvernance des droits et la sécurité. Les choix doivent être documentés.

L’analyse d’impact relative à la protection des données

Lorsque le partage est susceptible d’engendrer un risque élevé pour les droits et libertés, l’analyse technique doit être intégrée à une analyse d’impact conformément à l’article 35 du RGPD. La mise en œuvre doit aussi permettre l’information des personnes, la journalisation des accès et la prise en compte des demandes d’exercice des droits, notamment lorsque l’article 19 du RGPD impose la notification des rectifications, effacements ou limitations.