Cloud et RGPD : ce que ça change pour vos données personnelles
Le RGPD ne se limite pas à la case à cocher des cookies — il donne des droits concrets et exercables sur vos données stockées dans le cloud, que la plupart des utilisateurs n'exploitent jamais faute de les connaître.
Le droit d'accès à vos données
Vous pouvez demander à tout service cloud opérant en Europe de vous communiquer l'ensemble des données personnelles qu'il détient sur vous — la plupart des grands services (Google, Microsoft, Apple) proposent désormais un outil d'export automatique de vos données (Google Takeout, par exemple) sans même nécessiter de demande formelle.
Le droit à l'effacement ("droit à l'oubli")
Vous pouvez demander la suppression complète de vos données personnelles, sous réserve de certaines exceptions légales (obligations comptables, contentieux en cours). La suppression d'un compte cloud entraîne généralement la suppression progressive de son contenu, selon un calendrier propre à chaque service.
Le droit à la portabilité
Vous pouvez exiger de récupérer vos données dans un format structuré et réutilisable, pour les transférer vers un autre service — un droit particulièrement utile pour éviter la dépendance forcée à un fournisseur cloud (effet de verrouillage), voir notre article sur la migration entre services cloud.
La localisation des données, un enjeu concret
Le RGPD encadre strictement le transfert de données personnelles européennes vers des pays hors Union européenne sans garanties équivalentes — un sujet directement lié à notre article sur le cloud souverain français.
Le consentement pour un traitement secondaire
Au-delà du simple stockage, un service cloud qui souhaite utiliser vos données à d'autres fins (publicité ciblée, entraînement de modèles IA) doit théoriquement obtenir un consentement spécifique et clairement distinct du consentement d'usage basique — vérifiez les paramètres de confidentialité de chaque service pour désactiver ces usages secondaires non désirés.
Où faire valoir ces droits en pratique
Chaque service dispose généralement d'une section dédiée à la confidentialité dans ses paramètres de compte. En cas de refus ou d'absence de réponse dans le délai légal (généralement un mois), la CNIL en France reste l'autorité compétente pour déposer une réclamation formelle.