Foire aux questions sur l’infonuagique

October 2011

Qu'est-ce que l'infonuagique?

L'infonuagique désigne tout simplement la prestation de services informatiques sur Internet. Qu'elles en soient conscientes ou non, de nombreuses personnes utilisent les services d'infonuagique pour leurs besoins personnels. Nombre de personnes utilisent les sites de réseautage social ou le courriel Web, qui sont des exemples de services d'infonuagique. Les photos que les gens avaient l'habitude de conserver sur leur ordinateur sont maintenant stockées sur des serveurs appartenant à des tierces parties. Voilà d'autres exemples de services d'infonuagique.

Les services d'infonuagique sont populaires parce que les gens peuvent accéder à leur courriel, à leur site de réseautage social ou à leur service de photos à partir de n'importe où dans le monde, et ce, n'importe quand, moyennant des frais minimes ou même gratuitement. Des fournisseurs de services d'infonuagique peuvent, toutefois, utiliser les renseignements personnels des utilisateurs aux fins de publicité ou pour en apprendre plus sur ceux-ci pour d'autres motifs. Le Commissariat à la protection de la vie privée du Canada a critiqué certaines de ces pratiques, en grande partie parce que celles-ci se mettent en place sans que les personnes soient pleinement conscientes de la façon dont leurs renseignements personnels sont utilisés «dans le nuage». Les personnes devraient accorder une plus grande importance à la question de la protection de leurs renseignements personnels par le fournisseur de services d'infonuagique et aux moyens pris par ce dernier pour atteindre cet objectif. Les utilisateurs devraient également protéger leurs propres renseignements personnels à l'aide des paramètres de confidentialité que le service met à leur disposition.

L'infonuagique peut-elle avoir une incidence sur la protection de la vie privée?

Dans le contexte de l'infonuagique, la sécurité et la protection des renseignements personnels revêtent une très grande importance. Étant donné que les renseignements personnels sont transmis à une autre organisation, souvent dans un autre pays, il est primordial de voir à la sécurité des renseignements et d'offrir un accès sélectif à l'information. Les renseignements personnels transmis à un fournisseur de services d'infonuagique risquent d'être conservés pendant une période indéterminée ou de servir à d'autres fins. Des organismes gouvernementaux, au Canada ou à l'étranger (si le fournisseur de services d'infonuagique conserve les renseignements à l'extérieur du pays), pourraient également accéder à ces renseignements.

Dans le cas des entreprises qui envisagent de recourir à un service d'infonuagique, il est important de comprendre les politiques et les pratiques en matière de sécurité et de protection de la vie privée du fournisseur. Les modalités d'utilisation du service qui régissent la relation avec le fournisseur permettent parfois des pratiques plutôt libérales en matière d'utilisation et de conservation.

Quelle partie est responsable des renseignements personnels? L'entreprise qui les recueille auprès des personnes ou le fournisseur de services d'infonuagique?

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) n'interdit pas l'infonuagique, même lorsque le fournisseur de services se trouve dans un autre pays. Aux termes de la LPRPDE, les organisations doivent s'assurer qu'elles recueillent les renseignements personnels à des fins acceptables et que ces fins sont clairement précisées; elles doivent obtenir un consentement; elles ne peuvent recueillir que les renseignements personnels nécessaires à ces fins; elles sont tenues de protéger les renseignements et de faire preuve de transparence au sujet de leurs pratiques concernant la protection des renseignements personnels.

En vertu de la LPRPDE, une organisation demeure responsable des renseignements personnels confiés à une tierce partie aux fins de traitement. L'organisation doit, par voie contractuelle ou autre, fournir un degré de protection approprié aux renseignements personnels transférés à la tierce partie. Donc, une organisation qui envisage de recourir à un service d'infonuagique demeure responsable des renseignements personnels qu'elle transmet à ce service, et elle doit voir à ce que les renseignements personnels demeurent protégés lorsqu'ils se retrouvent entre les mains du fournisseur du service. Il est important que les organisations examinent attentivement les modalités d'utilisation du fournisseur de services d'infonuagique et voient à ce que les renseignements personnels qu'elles lui confient soient traités de manière conforme à la LPRPDE. Pour obtenir plus de renseignements sur le transfert de renseignements personnels à des tierces parties, veuillez consulter nos Lignes directrices sur le traitement transfrontalier des données.

Pourquoi les organisations s'intéressent-elle à l'infonuagique?

L'infonuagique peut réduire sensiblement les coûts et la complexité liés à la possession et à l'exploitation d'ordinateurs et de réseaux. L'organisation qui fait appel à un fournisseur de services d'infonuagique n'est pas obligée d'engager des dépenses relatives à l'infrastructure de technologie de l'information, ou d'acheter des licences d'utilisation de matériel ou de logiciels. Les services d'infonuagique se prêtent souvent à une utilisation personnalisée et souple, et les fournisseurs peuvent offrir des services évolués qu'une entreprise seule ne pourrait pas se permettre de développer faute de fonds ou d'expertise.

J'ai entendu dire que l'infonuagique pouvait améliorer la protection de la vie privée. Est-ce vrai?

Pour les entreprises qui envisagent de l'utiliser, le service d'infonuagique pourrait offrir une meilleure protection des renseignements personnels comparativement aux pratiques actuelles en matière de sécurité et de protection de la vie privée. Grâce à des économies d'échelle, les gros fournisseurs de services d'infonuagique sont en mesure de mieux utiliser les technologies de sécurité que les particuliers ou les petites entreprises, et ils disposent de meilleures capacités de sauvegarde et de reprise après sinistre. Les fournisseurs de services d'infonuagique peuvent également être motivés à intégrer à la nouvelle technologie les mesures de sécurité relatives à la protection de la vie privée et à appuyer de meilleures pistes de vérification.

Par contre, même si l'infonuagique ne fait pas nécessairement augmenter les risques liés à l'utilisation à mauvais escient ou à l'exposition indue, elle pourrait augmenter l'échelle de l'exposition. Le regroupement des données chez un fournisseur de services d'infonuagique peut rendre ces données très attrayantes aux yeux des cybercriminels, par exemple. De plus, les faibles coûts associés à la conservation des données dans l'infrastructure d'infonuagique, il est tentant de les conserver pendant une période indéterminée, causant par le fait même des risques accrus d'atteintes à la sécurité des données.