Règlement général sur la protection des données (RGPD) et cadre de protection des données
Le règlement général sur la protection des données (RGPD) est une législation de l’Union européenne qui s’applique à toutes les organisations, quel que soit leur lieu d’implantation, dès lors qu’elles traitent les données à caractère personnel de personnes se trouvant dans l’Espace économique européen (EEE, qui comprend les 27 États membres de l’UE ainsi que l’Islande, la Norvège et le Liechtenstein) dans le cadre de l’offre de biens ou de services ou du suivi de leur comportement. En vertu du RGPD, les organisations sont tenues de déterminer une base juridique pour le traitement des données à caractère personnel, d’informer les personnes concernées des données collectées et de l’utilisation qui en sera faite, de donner suite à leurs demandes d’accès, de rectification ou de suppression des informations les concernant, de mettre en œuvre des mesures de sécurité appropriées afin de protéger les données à caractère personnel contre tout accès non autorisé, de notifier les violations de données aux personnes concernées et aux autorités, de désigner un délégué à la protection des données et de prendre en compte la protection de la vie privée dès le début d’une activité, plutôt qu’après coup. Le RGPD restreint également le transfert de données à caractère personnel hors de l’EEE, sauf si des garanties sont mises en place afin d’assurer un niveau de protection substantiellement équivalent dans le pays ou territoire destinataire.
F5 respecte le RGPD, comme indiqué dans notre Avis de confidentialité. F5 fournit des services en qualité de sous-traitant à ses clients de la plateforme Distributed Cloud, qui agissent en tant que responsables du traitement (ou en qualité de sous-traitant ultérieur lorsqu’un client agit lui-même en tant que sous-traitant). Par conséquent, F5 respecte l’article 28 pour chacune de ses offres Distributed Cloud. F5 adhère au cadre de protection des données UE–États-Unis, dont la Commission européenne a estimé qu’il assurait une protection adéquate des transferts vers les entreprises participantes aux États-Unis, et utilise les clauses contractuelles types pour protéger les données à caractère personnel transférées vers les centres opérationnels de sécurité (SOC) situés dans le monde entier à des fins d’assistance. En outre, F5 dispose d’un solide programme de protection de la vie privée et de sécurité afin de permettre à ses clients de respecter leurs obligations au titre du RGPD. Contactez un représentant commercial pour demander un exemplaire du rapport SOC 2 de type II de F5, publié chaque année, disponible sous accord de confidentialité et comprenant un tableau de correspondance entre ses contrôles et les exigences du RGPD.
FAQ
Pour de nombreux services, F5 agit en qualité de « sous-traitant » (et non de responsable du traitement) des données à caractère personnel nécessaires à la fourniture d’un service. Les données à caractère personnel traitées par F5 sont détaillées dans la déclaration de confidentialité de chaque service. Vous trouverez les liens vers toutes les déclarations de confidentialité propres à chaque service dans l’introduction de l’avis de confidentialité de F5 à l’adresse https://www.f5.com/company/policies/privacy-notice.
F5 et ses services accordent la priorité à la protection des données à caractère personnel et respectent les normes les plus strictes en matière de confidentialité des données.[TJ1] [AC2] Les mesures techniques et organisationnelles qui protègent les données à caractère personnel collectées par F5 sont décrites dans les contrats propres à chaque service (par exemple, les Conditions propres au service applicables aux services fournis dans le cadre de notre Contrat de services aux utilisateurs finaux) ainsi que dans le rapport SOC 2 de type II de F5. F5 Global Support est certifié ISO 27001, et les services F5 Distributed Cloud sont certifiés ISO 27001, avec les extensions ISO 27017 et ISO 27018. F5 est également conforme à la norme PCI DSS en tant que fournisseur de services de niveau 1 pour les services F5 Distributed Cloud. Des certifications de sécurité supplémentaires s’appliquent à certains services et équipements F5. Pour en savoir plus sur les pratiques en matière de sécurité des données, consultez https://www.f5.com/company/policies/privacy-notice.
Les clients dont le principal établissement se situe en Europe, au Moyen-Orient ou en Afrique (collectivement, la région EMEA) bénéficient de services dans le cadre de contrats conclus avec F5 Networks, Ltd. F5 Networks, dont le siège social se trouve au Royaume-Uni et qui est constituée conformément au droit britannique, est le centre des activités de F5 dans la région EMEA. Les autorités de l’Union européenne et de la Suisse ont reconnu que la législation britannique assure la protection des données à caractère personnel et satisfait pleinement aux exigences du chapitre V du RGPD et de la législation suisse équivalente.
Les clients dont le siège social se trouve dans la région Asie-Pacifique (APAC) concluent un contrat avec F5 Networks Singapore Pte Ltd. à Singapour. Tous les autres clients (y compris ceux dont le siège social se trouve en Amérique du Nord) concluent un contrat avec F5, Inc. aux États-Unis. Pour tous les services F5, l’Avenant relatif à la protection des données (DPA), complété par les Conditions spécifiques aux services, comprend les clauses contractuelles types et les dispositions qui s’appliquent à tous les transferts vers F5 soumis à la législation applicable. Ces clauses contractuelles types sont accompagnées de l’avenant relatif aux transferts internationaux de données publié par le gouvernement britannique pour les transferts depuis le Royaume-Uni, ainsi que des dispositions supplémentaires publiées par le Préposé fédéral suisse à la protection des données et à la transparence pour les transferts depuis la Suisse. Pour les services concernés, F5 dispose également d’une certification au titre du cadre de protection des données UE–États-Unis, de l’extension britannique du cadre de protection des données UE–États-Unis et du cadre de protection des données Suisse–États-Unis.
Oui. Pour les services concernés, F5 dispose d’une certification au titre du cadre de protection des données UE–États-Unis, de l’extension britannique au cadre de protection des données UE–États-Unis et du cadre de protection des données Suisse–États-Unis.
Non. Ces deux dispositions légales américaines, qui étaient au cœur de l’arrêt Schrems II, n’ont aucune incidence sur F5. En tout état de cause, à la suite des améliorations apportées au droit américain après l’arrêt Schrems II, la Commission européenne a conclu, dans sa Décision d’exécution du 10 juillet 2023 prise en application du règlement (UE) 2016/679 du Parlement européen et du Conseil et constatant le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE–États-Unis, que les préoccupations antérieures concernant ces dispositions avaient été levées. Le Comité européen de la protection des données (CEPD) a analysé la décision de la Commission européenne et a indiqué (dans sa Note d’information sur les transferts de données au titre du RGPD vers les États-Unis après l’adoption de la décision d’adéquation le 10 juillet 2023) que « toutes les garanties mises en place par le gouvernement américain dans le domaine de la sécurité nationale (y compris le mécanisme de recours) s’appliquent à toutes les données transférées vers les États-Unis, quel que soit l’outil de transfert utilisé » (c’est-à-dire que les données soient transférées vers les États-Unis au moyen du cadre de protection des données, de clauses contractuelles types ou d’un autre outil de transfert).
F5 n’a jamais reçu de demande d’accès à des données ni aucune autre forme de directive au titre de la section 702 de la FISA. De nombreux services F5 ne sont pas du type de ceux susceptibles de faire l’objet d’une directive au titre de la section 702 de la FISA. En outre, pour la quasi-totalité des clients des services F5, F5 ne traite pas le type de données susceptible d’être visé par une telle directive, laquelle s’applique aux données concernant la prolifération des armes de destruction massive, les projets d’attaque contre les États-Unis élaborés par des puissances étrangères, les renseignements relatifs aux activités clandestines d’espions étrangers ou d’autres « informations relevant du renseignement extérieur » au sens de la FISA.
F5 ne peut pas non plus recevoir d’injonction de communiquer les données de ses clients au titre de l’EO 12333, car il n’existe pas d’injonction fondée sur l’EO 12333. L’EO 12333 répartit certaines responsabilités au sein de la communauté du renseignement des États-Unis, mais n’impose aucune obligation au secteur privé. F5 chiffre les données en transit et met en œuvre des mesures de sécurité supplémentaires afin de se prémunir contre les activités d’interception théoriques qui avaient suscité les préoccupations de la juridiction dans l’affaire Schrems II avant la décision d’adéquation de la Commission européenne de 2023 évoquée ci-dessus.
Le CLOUD Act n’a pas conféré au gouvernement américain de nouveaux pouvoirs lui permettant d’exiger des données auprès des entreprises exerçant leurs activités aux États-Unis. Le gouvernement américain n’émet pas d’« injonctions au titre du CLOUD Act » et F5 n’en a jamais reçu. Le CLOUD Act a précisé que, lorsque le gouvernement américain suit la procédure juridique existante appropriée (par exemple, en obtenant une ordonnance d’un juge d’un tribunal fédéral de district) afin d’enjoindre à une entreprise de fournir des données précises qui sont en sa possession, sous sa garde ou sous son contrôle, la localisation de ces données ne peut pas servir de fondement à la contestation de l’ordonnance par l’entreprise (bien qu’un conflit avec les lois en vigueur dans le lieu concerné puisse toujours le permettre). Le CLOUD Act est entré en vigueur avant l’arrêt de 2020 Schrems II. À la suite de l’arrêt Schrems II, les États-Unis ont apporté diverses améliorations à leurs règles et pratiques relatives à l’accès des pouvoirs publics aux données. La Commission européenne a ensuite évalué ces améliorations et conclu que le droit américain applicable aux demandes de données émanant du gouvernement américain assure désormais un niveau de protection adéquat au sens du RGPD. Voir la décision d’exécution du 10 juillet 2023 prise conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil constatant le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE–États-Unis (https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj). Le Comité européen de la protection des données (CEPD) a analysé cette décision et indiqué (dans sa Note d’information sur les transferts de données au titre du RGPD vers les États-Unis après l’adoption de la décision d’adéquation le 10 juillet 2023) que « toutes les garanties mises en place par le gouvernement américain dans le domaine de la sécurité nationale (y compris le mécanisme de recours) s’appliquent à toutes les données transférées vers les États-Unis, quel que soit l’outil de transfert utilisé » (c’est-à-dire que les données soient transférées vers les États-Unis au moyen du cadre de protection des données, des clauses contractuelles types ou d’un autre outil de transfert).
Compte tenu de la nature des relations de F5 avec ses clients et du volume limité de données (généralement chiffrées) que F5 traite pour leur compte, de telles demandes sont extrêmement rares. Face à toute demande de données client, la politique de F5 consiste à (i) en informer rapidement le client si la loi le permet, puis à coopérer avec lui afin d’y répondre, ou (ii) si la loi interdit d’en informer le client, à tenter de renvoyer l’autorité requérante vers celui-ci. Si ces démarches ne permettent pas de résoudre la situation, F5 évalue la légalité de la demande et la conteste par tous les moyens raisonnables (notamment en faisant appel), y compris lorsqu’y donner suite serait susceptible d’enfreindre le RGPD ou toute autre législation applicable. Au cours de cette procédure, F5 demande la suspension des effets de la demande jusqu’à ce que l’autorité judiciaire compétente se soit prononcée sur le fond, y compris à l’issue de toute procédure d’appel. Dans une telle situation, F5 ne divulgue aucune donnée tant que les règles de procédure applicables ne l’y obligent pas. Si cette obligation devait survenir, F5 ne divulguerait que le minimum de données nécessaire pour se conformer aux éléments subsistants de la demande initiale.
Chaque contrat client relatif aux services de F5 (le Contrat de services utilisateur final (EUSA)) comprend des Conditions spécifiques aux services qui intègrent et complètent l’Avenant relatif à la protection des données (DPA) de F5, lequel comprend les clauses contractuelles types ainsi que les dispositions supplémentaires pertinentes pour les transferts soumis au droit britannique ou suisse. Dans certains cas, le client et F5 concluent un autre contrat intégrant ces mêmes protections, tel que le contrat relatif à certains services d’assistance de F5. Les clients peuvent également consulter https://www.dataprivacyframework.gov/list, qui indique que F5 est certifiée au titre du cadre de protection des données UE–États-Unis, de l’extension britannique du cadre de protection des données UE–États-Unis et du cadre de protection des données Suisse–États-Unis.
Pour les transferts vers des entités F5 situées dans des « pays tiers », y compris le Royaume-Uni, F5 et ses clients s’appuient sur l’Addendum relatif au transfert international de données aux clauses contractuelles types de la Commission européenne, disponible sur le site web de l’autorité britannique chargée de la protection des données (Information Commissioner) et intégré par référence à l’accord de traitement des données (DPA) de F5 pour les transferts concernés régis par le droit britannique. En outre, pour certains services, F5 est certifiée au titre de l’extension britannique du cadre de protection des données UE–États-Unis.
