L’hébergeur français a pris son envol à l’international et s’appuie sur ses acquis pour être conforme avec le RGPD. Rencontre avec le DPO de l’entreprise, Florent Gastaud.
La sécurité et la protection des données fait partie intégrante du métier d’OVH, hébergeur et fournisseur de services en ligne. Florent Gastaud, le DPO de l’entreprise, insiste ainsi sur le fait que le domaine n’est pas nouveau et que le RGPD est dans la continuité des règlements existants au niveau européen. Le développement aux USA est très présent aussi dans le futur de l’entreprise. Les conséquences du Government Cloud Act risquaient de priver OVH de la vente de noms de domaines aux USA, un coup dur pour un hébergeur. Une exemption a été demandée auprès de l’Icann.
Une course de fond
Malgré les efforts quotidiens dans le domaine, OVH a pris au sérieux l’arrivée du RGPD et a lancé le projet avec la nomination de Florent Gastaud comme DPO en octobre 2017. Il a en charge la mise en œuvre de la conformité RGPD sauf aux USA. Il précise : « pour nous c’est une véritable culture d’entreprise. Nous avons des valeurs autour de la protection des données ».
Pour le RGPD, Florent Gastaud a décidé de repartir de la base et de traiter cette conformité dans le cadre d’une amélioration continue. Il a commencé son travail par l’interview des responsables des applications ou des systèmes qui ont à traiter des données personnelles. Il a ainsi défini l’écart entre les pratiques de terrain et le règlement ou la norme. Il a ensuite dressé un plan d’action pour « être totalement carré le 25 mai ». Il indique : « C’est un travail au corps à corps quotidien avec ce que font les opérationnels au quotidien. » Cela comprend des revues de process et quelques réorganisations en interne du fait de l’hyper croissance de l’entreprise (plus de 700 embauches). Il a fallu recadrer certains projets.
De nouvelles obligations
Il s’est ensuite attaché aux nouvelles obligations apportées par le texte. En pratique cela a consisté à donner aux clients eux-mêmes les outils pour être conformes (1,3 million de clients). Il a ensuite revu les contrats avec les sous-traitants. Il a ainsi fait évoluer les conditions générales de services et a ajouté un « data processing agreement », un contrat spécifique sur la sécurité et les traitements effectués sur les données par OVH. Le véritable enjeu est cependant d’expliquer aux clients et de s’assurer qu’ils comprennent bien les subtilités d’un texte qui comprend 99 articles et une trentaine de considérants.
Quand on lui demande ce qu’il faut retenir de son expérience, il répond : « Le projet ne s’arrête pas le 25 mai, il continue bien après avec la mise en place d’une culture autour de la sécurité de la donnée et du respect de la vie privée par la sensibilisation et la formation de l’ensemble des salariés de l’entreprise et la mise en place d’une vraie culture sur le sujet. » Il relève aussi qu’il a eu la chance d’avoir les moyens nécessaires et les ressources pour le projet et de pouvoir s’inscrire dans le temps pour asseoir la démarche et arriver à la conformité. ❍
Article extrait du dossier «RGPD, 1ers retours d'expérience» paru dans L'Informaticien n°167.
