Coffre-fort numérique : obligations de sécurité, confidentialité et formalités CNIL

La délibération qualifie le coffre-fort numérique de traitement automatisé de données à caractère personnel lorsque son contenu est lié à une personne identifiable. Le fournisseur, qui détermine les moyens et finalités du traitement, est responsable au sens de l’article 3-I de la loi du 6 janvier 1978 et doit effectuer une déclaration normale avant la mise en œuvre du service. Les données d’identification et de connexion doivent être déclarées, contrairement aux catégories de documents stockés par les utilisateurs.

Le service doit garantir l’intégrité, la disponibilité et la confidentialité des données. Le fournisseur ne doit pas pouvoir accéder au contenu ou aux sauvegardes sans consentement exprès. Les données doivent être chiffrées au moyen d’une clé maîtrisée par l’utilisateur, les communications non sécurisées doivent être chiffrées et l’authentification doit être robuste. La suppression doit être immédiatement répercutée sur les copies répliquées ; les sauvegardes ne peuvent être conservées au-delà d’un mois.

L’article 32 de la loi impose l’information des utilisateurs sur le responsable, les finalités, les destinataires, les transferts hors Union européenne et les droits. L’article 69 exige une autorisation préalable de la CNIL en cas de transfert hors Union européenne. L’article L. 1111-8 du code de la santé publique soumet l’hébergement des données de santé à un agrément ministériel. La fermeture du service doit être annoncée suffisamment à l’avance et un outil gratuit de récupération intégrale des données doit être proposé.

⬇️Télécharger la décision version officielle

La CNIL formule une recommandation sur les coffres-forts numériques destinés aux particuliers. Elle les distingue des simples espaces de stockage et exige la protection de l’intégrité, de la disponibilité et de la confidentialité des documents. Le fournisseur est responsable du traitement et doit encadrer notamment le chiffrement, l’authentification, les données de santé, les transferts hors Union européenne, la suppression et la récupération des données.

La Commission nationale de l’informatique et des libertés formule une recommandation sur les services de coffre-fort numérique destinés aux particuliers, dans un contexte de développement de la dématérialisation et du stockage électronique de documents.

Elle distingue le coffre-fort numérique, dont l’accès est limité à l’utilisateur et aux personnes mandatées, d’un simple espace de stockage. Le service doit assurer l’intégrité, la disponibilité et la confidentialité des données, sans accès technique du fournisseur au contenu sans consentement exprès.

La recommandation précise que ces services constituent des traitements de données à caractère personnel. Le fournisseur est responsable du traitement et doit effectuer une déclaration préalable. Des règles particulières concernent les données de santé, les transferts hors Union européenne, l’information des utilisateurs, le chiffrement, l’authentification, la suppression des documents et la récupération des données en cas de résiliation ou de cessation du service.

• Identifier un traitement automatisé lié à une personne physique identifiable
• Déterminer les moyens et finalités du service
• Effectuer une déclaration normale avant la mise en œuvre
• Limiter l’accès à l’utilisateur et aux personnes mandatées
• Garantir l’intégrité, la disponibilité et la confidentialité des données
• Obtenir une autorisation préalable pour certains transferts hors Union européenne

• Opérations informatisées nécessaires à la gestion du service
• Contenu du coffre-fort lié à une personne physique identifiable
• Accès limité à l’utilisateur et aux personnes spécialement mandatées
• Mesures techniques de chiffrement rendant les données incompréhensibles
• Copies répliquées et sauvegardes soumises à des règles d’effacement

Le fournisseur est responsable du traitement et doit encadrer juridiquement et techniquement le service avant son lancement. L’utilisateur doit pouvoir contrôler l’accès, la conservation, la récupération et la sécurité de ses documents.

• Déclaration normale préalable auprès de la CNIL
• Chiffrement avec une clé maîtrisée par l’utilisateur
• Suppression immédiate des documents et copies répliquées
• Autorisation préalable pour les transferts hors Union européenne
• Outil gratuit de récupération intégrale des données

À faire

• Déclarer le traitement avant le lancement du service
• Documenter les données d’identification et de connexion traitées
• Chiffrer les données et les communications non sécurisées
• Informer les utilisateurs des finalités, droits et transferts
• Prévoir suppression, sauvegarde limitée et récupération intégrale

À éviter

• Permettre au fournisseur d’accéder au contenu stocké
• Utiliser le numéro de sécurité sociale pour le routage
• Héberger des données de santé sans agrément ministériel
• Conserver les sauvegardes au-delà d’un mois
• Transférer des données hors Union européenne sans autorisation

L’applicabilité de la loi du 6 janvier 1978

La loi du 6 janvier 1978 s’applique aux coffres-forts numériques proposés par des sociétés établies en France, car leur gestion repose sur des opérations informatisées et leur contenu est lié à une personne identifiable. Elle s’applique aussi aux sociétés établies hors Union européenne utilisant des moyens de traitement en France. Le stockage personnel sur un support appartenant à un particulier, limité à ses propres données, en est exclu.

Les formalités préalables du responsable du traitement

Le fournisseur détermine les moyens et finalités du service et est responsable du traitement au sens de l’article 3-I de la loi du 6 janvier 1978. Il doit effectuer une déclaration normale avant la mise en œuvre, en mentionnant notamment les données d’identification et de connexion. Les catégories de documents stockés par les utilisateurs n’ont pas à être déclarées.

Les exigences de sécurité et de conservation

Le service doit garantir intégrité, disponibilité et confidentialité. Le fournisseur ne doit pas accéder au contenu sans consentement exprès. Les données doivent être chiffrées avec une clé maîtrisée par l’utilisateur, les suppressions doivent être répercutées immédiatement sur les copies répliquées et les sauvegardes conservées au plus un mois.

Article 11 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 3-I de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 69 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 32 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 68 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article L. 1111-8 du Code de la santé publique