Contrôleur et opérateur au titre de la LGPD : comprendre les responsabilités

Le marché de l'intelligence artificielle et du cloud computing connaît une expansion fulgurante. Chaque semaine, un nouvel outil, un nouveau modèle, un nouveau produit innovant voit le jour en quelques heures seulement. Mais derrière cette agilité technique se cache un cadre juridique tout aussi complexe qui, concrètement, détermine si une entreprise survit à un incident de sécurité ou devient la prochaine cible des sanctions de l'Autorité nationale de protection des données (ANPD).

C’était précisément le thème central de la conversation du Builders, qui réunissait Renata Barros, directrice juridique conformité et gouvernance chez Skyone, et Henrique Fabretti, associé du cabinet d’avocats Opice Blum Advogados. La discussion a débuté par un guide récemment publié par la CNIL (Commission nationale de l’informatique et des libertés) sur la répartition des rôles entre les acteurs impliqués dans la gestion des services cloud. Dès lors, la conversation a exploré un sujet que toute entreprise traitant de données personnelles, d’IA ou de cloud computing se doit de maîtriser : qui est responsable de quoi et pourquoi ?

Le point de départ : contrôleur et opérateur ne sont pas la même chose

Tant la LGPD brésilienne que le RGPD européen, qui a inspiré la loi brésilienne, répartissent les responsabilités en matière de traitement des données personnelles entre deux acteurs clés. Comme l'a expliqué Henrique Fabretti, cette répartition n'est pas d'ordre bureaucratique, mais relève d'un souci d'équité réglementaire :

La législation a décidé de répartir les rôles car certaines parties ont plus d'influence et de pouvoir de décision sur les données, et d'autres moins, et il ne serait pas juste d'appliquer la même norme aux deux.

Le responsable du traitement est celui qui prend les décisions pertinentes : il définit la finalité du traitement, décide de l’utilisation des données, de leur durée de conservation et de leur suppression. Le sous -traitant ( au sens du RGPD) se contente d’exécuter des instructions. Il traite les données pour le compte d’un tiers, sans autonomie de décision quant à la finalité de ce traitement.

Le piège, selon Fabretti, réside dans le fait que cette distinction « paraît simple au premier abord », mais qu'elle est rarement binaire. Il cite l'exemple de Skyone : « Bien souvent, dans la grande majorité des cas, une entreprise n'est ni simplement un opérateur ni simplement un responsable du traitement au sein d'une même relation. » Une entreprise peut être responsable du traitement pour une partie de l'opération et opérateur pour une autre, dans le cadre d'un même contrat portant sur le même produit. Par conséquent, le premier exercice pour toute entreprise traitant des données personnelles consiste à identifier, étape par étape, le rôle qu'elle y joue.

Vous pourriez également être intéressé par : L’IA générative utilise-t-elle les données de l’entreprise ? Risques, LGPD (Loi générale brésilienne sur la protection des données) et comment protéger les informations de l’entreprise.

L’erreur la plus fréquente : confondre la personne qui détient les données avec celle qui les contrôle

L'un des moments les plus instructifs de la conversation a été la présentation d'un exemple concret : un développeur crée un CRM à l'aide de l'IA ( ce qu'on appelle le « vibe coding ») et ce CRM stocke une base de données clients. Qui détient le contrôle dans cette relation : le développeur du CRM ou l'utilisateur ?

La réponse du Dr Renata dissipe une idée fausse extrêmement répandue sur le marché des technologies :

Autrement dit, la plus grande responsabilité réglementaire incombe à ceux qui utilisent l'outil et décident de la finalité des données, et non à ceux qui ont construit l'infrastructure technologique. Comme l'a fait remarquer André Senna lors de l'émission, cela peut paraître contre-intuitif : « à première vue, on pourrait penser le contraire ». On a naturellement tendance à supposer que celui qui maîtrise la complexité technique (le fournisseur de cloud, le développeur de la plateforme) est automatiquement responsable. Or, ce n'est pas le cas. Selon Renata, le fournisseur « définit le “comment” techniquement ; c'est le cadre dans lequel l'opération se déroule. Mais celui qui définit le modèle économique est le véritable décideur, et c'est lui qui porte la plus grande responsabilité. »

C’est précisément cette zone grise que les orientations de la CNIL cherchent à éliminer : le fait qu’un prestataire dispose d’une infrastructure technologique plus sophistiquée ne le transforme pas automatiquement en responsable du traitement ni ne fait de lui le « propriétaire des données ».

Quand la théorie devient réalité : le cas de l'application « Vibe Codado »

La discussion a pris un tournant concret lorsque Fabretti a évoqué un cas récent : une procédure de sanction engagée par l’ANPD (Autorité nationale de protection des données), rendue publique la semaine précédant l’enregistrement, concernant une plateforme de rencontre destinée à la communauté LGBTQ+ et développée selon la méthode du « vibe coding ». La plateforme a connu une croissance fulgurante, attirant plus de 30 000 utilisateurs en un temps record, et, suite à une faille de sécurité, a exposé les données de tous les nouveaux inscrits.

Le point soulevé par Fabretti concernant la gravité de l'affaire va bien au-delà du montant de l'amende :

Cet exemple illustre un principe fondamental de la LGPD (Loi générale brésilienne sur la protection des données) que le Dr Renata a souligné tout au long de l'épisode : il s'agit d'une législation fondée sur les risques, et non sur des règles binaires. Il n'y a pas de réponse simple du type « peut-être ou ne pas pouvoir » ; il existe un continuum d'exposition, et le niveau de précaution requis est proportionnel à la gravité du préjudice potentiel. Les données de santé, l'orientation sexuelle ou toute autre information sensible exigent un niveau de vigilance bien plus élevé que, par exemple, une base de données de noms et de numéros CPF (numéros d'identification fiscale brésiliens).

Lire aussi : Vibe Coding : IA, productivité et rôle des personnes dans l’entreprise

Sécurité du cloud vs. sécurité dans le cloud : la distinction qui prévient (ou crée) les incidents

L'un des concepts les plus opérationnels abordés dans cet épisode est la différence entre la sécurité du cloud (responsabilité du fournisseur : infrastructure physique, correctifs du système d'exploitation, contrôle d'accès physique au centre de données) et la sécurité dans le cloud (responsabilité de l'utilisateur : gestion des accès, configuration correcte des outils, révocation des identifiants).

Selon Fabretti, qui travaille directement au service de réponse aux incidents du bureau d'Opice Blum, la grande majorité des problèmes ne proviennent pas de défaillances des fournisseurs :

Le Dr Renata a résumé cette distinction par une analogie qu'il convient de retenir :

Cette métaphore illustre parfaitement pourquoi de nombreuses entreprises ratent leur cible en investissant massivement dans l'infrastructure sans investir autant dans la gouvernance des accès, la rotation des identifiants et la formation des équipes.

Comment l'ANPD (Autorité nationale brésilienne de protection des données) évalue-t-elle la responsabilité dans les cas de causalité difficile ?

L'un des passages les plus marquants de l'épisode explorait un scénario volontairement extrême : une attaque via un périphérique physique (un clavier compromis qui installe un logiciel malveillant lorsqu'il est connecté), sans aucune possibilité de traçabilité. Qui est responsable ?

La réponse de Fabretti a apporté un changement de perspective important sur la manière dont le régulateur brésilien analyse réellement ces cas :

En pratique, cela signifie que l'existence d'un incident ne constitue pas, en soi, une preuve de négligence. L'autorité évalue la différence entre deux scénarios possibles : une entreprise qui a formé son personnel, surveillé son réseau, conservé des journaux d'activité et mené une analyse forensique après l'incident ; et une entreprise qui n'a mis en place aucune de ces mesures et n'a découvert le problème que grâce à un signalement tiers. Dans le cas de l'application Vibe Codado, selon Fabretti, la position de l'ANPD était claire : « Ils n'ont pris aucune des de sécurité, c'est pourquoi l'incident s'est produit et c'est pourquoi ils sont sanctionnés. »

La conclusion pratique, résumée par Renata, est que la gouvernance n'est pas de la bureaucratie ; elle constitue la matière première d'une future défense juridique : « Parfois, le service juridique est un peu agaçant, car il exige de tout documenter. Mais pour pouvoir ensuite présenter les faits de manière convaincante, il faut être persuadé. Il ne suffit pas de raconter l'histoire ; il faut apporter des preuves. »

Protection des données dès la conception et nouvelle frontière : conformité dès la conception

Un concept récurrent dans la discussion est celui de la protection des données dès la conception. L'idée est que les solutions technologiques devraient intégrer des mesures de protection des données dès leur conception, plutôt que de les considérer comme une simple réflexion a posteriori. Selon le Dr Renata :

Dans cet épisode, les présentateurs ont également évoqué un scénario réaliste : que se passe-t-il si le développeur respecte scrupuleusement les bonnes pratiques de protection des données et de sécurité dès la conception et subit malgré tout un incident ? La réponse de Fabretti allie honnêteté juridique et pragmatisme :

Outre le risque, un second élément entre en jeu : la bonne foi. Fabretti souligne que démontrer sa bonne foi n’est pas seulement un principe de la LGPD (Loi générale brésilienne sur la protection des données), mais aussi un élément concret du calcul des amendes infligées par l’ANPD (Autorité nationale de protection des données), susceptible d’en réduire le montant. La documentation et les preuves ne sont donc pas seulement un moyen de défense : elles constituent des circonstances atténuantes.

Découvrez les meilleures pratiques de développement sécurisé pour votre entreprise

La règle d'or : « Si cela ne peut être fait, dit ou prouvé, ne le faites pas. »

À la fin de l'épisode, le Dr Renata a résumé ses conseils aux particuliers et aux entreprises en une phrase qui résume toute la philosophie de gestion des risques abordée dans le programme :

Henrique Fabretti a ajouté une recommandation de test de résistance applicable à tout produit numérique traitant des données personnelles :

Un message pour ceux qui développent des solutions avec l'IA aujourd'hui

Cette conversation offre une feuille de route claire à tout fondateur, développeur ou entreprise qui «code au feeling» un nouveau produit d'IA ou de cloud :

1. Définissez vos rôles — contrôleur ou opérateur — dans chaque relation de traitement des données, avant qu'un incident ne vous oblige à effectuer cette analyse sous pression.
2. Documentez la répartition des responsabilités dans le contrat, en faisant clairement la distinction entre la sécurité du cloud et la sécurité dans le cloud.
3. Mettez en œuvre la gouvernance des accès avec la même rigueur que celle que vous investissez dans l'infrastructure : les jetons, les identifiants et les autorisations tierces constituent le point de défaillance le plus courant.
4. Adoptez les principes de protection des données et de conformité dès la conception du produit, et non comme une simple réflexion après coup.
5. Documentez et prouvez tout. Face à un organisme de réglementation, la bonne foi et une diligence avérée font toute la différence pour déterminer les responsabilités.

Comme l'a résumé Robson Del Fiol lors de l'émission, l'exposition à ce type de risque ne commence pas au lancement du produit, « mais dès la phase de conception ». Et c'est précisément là le point aveugle de nombreuses entreprises numériques aujourd'hui : la technologie évolue en quelques semaines, mais les conséquences juridiques d'une décision mal informée peuvent peser sur l'entreprise pendant des années.

Vous souhaitez écouter l'intégralité de la conversation, avec tous les exemples, analogies et astuces de productivité des invités ? Écoutez l'épisode complet du Builders, avec le Dr Renata (Skyone) et Henrique Fabretti (Opice Blum Advogados), disponible dès maintenant sur Spotify.

Écrit par Skyone