Le rôle d'AWS dans le cadre du RGPD
En vertu du RGPD, AWS agit comme un sous-traitant et comme un responsable du traitement.
D'après l'article 32, les responsables du traitement et les sous-traitants doivent « mettre en œuvre des mesures techniques et organisationnelles appropriées » en tenant compte « de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques. » Le RGPD suggère précisément quels types d'actions de sécurité sont potentiellement nécessaires, notamment :
-
la pseudonymisation
et le chiffrement des données à caractère personnel ; -
des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
-
la capacité de restaurer la disponibilité et l'accès aux données à caractère personnel dans les temps en cas d'incident physique ou technique ;
-
une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.
AWS en tant que sous-traitant
Lorsque les clients et le réseau de partenaires AWS (APN) utilisent les services AWS pour traiter des données à caractère personnel dans leur contenu, AWS agit comme un sous-traitant. Les clients et partenaires APN peuvent utiliser les contrôles disponibles au sein des services AWS, y compris les contrôles de configuration de la sécurité, pour le traitement des données à caractère personnel. Dans ces circonstances, le client ou le partenaire APN peut agir en tant que responsable du traitement ou que sous-traitant, et AWS agit comme un sous-traitant ultérieur. L'addendum sur le traitement des données (DPA) conforme au RGPD d'AWS intègre les engagements d'AWS en tant que sous-traitant.
AWS en tant que responsable du traitement
Lorsqu'AWS collecte des données à caractère personnel et détermine les finalités et les moyens de traitement de ces données à caractère personnel, il agit en tant que responsable du traitement. Par exemple, lorsque AWS traite des informations de compte dans le cadre de l'enregistrement de comptes, de l'administration, de l'accès aux services ou des informations de contact pour le compte AWS afin de fournir une assistance au moyen des activités du support client, AWS agit en tant que responsable du traitement.
