Le 19 septembre 2013, la Cnil a adopté une recommandation relative aux services de coffres forts numériques destinés aux particuliers.
Après analyse des solutions de coffre fort disponibles sur le marché, la Commission nationale de l'informatique et des libertés (Cnil) a constaté que la majorité des services de coffre-fort numérique n'étaient pas suffisamment sécurisés. Le 19 septembre 2013, elle a donc proposé diverses mesures afin d'alerter les utilisateurs induits en erreur par l'appellation de "coffre-fort" et a rappelé aux fournisseurs les bonnes pratiques à adopter sur les données, les destinataires, les durées de conservation, l'information des personnes et les mesures de sécurité.
En premier lieu, elle considère que l'appellation "coffre-fort numérique", ou "coffre-fort électronique" devait être réservée à une forme spécifique d'espace de stockage numérique dont l'accès est limité à son seul utilisateur et aux personnes physiques spécialement mandatées par ce dernier.
En outre, les services de coffres-forts numériques devront garantir l'intégrité, la disponibilité et la confidentialité des données stockées et impliquer la mise en œuvre des mesures de sécurité décrites dans la recommandation. La Cnil recommande que les données soient chiffrées à toutes les étapes du processus. Les mécanismes d'authentification des utilisateurs et des tiers mandatés devront ainsi garantir une authentification forte (mots de passe à usage unique, envoi de codes par SMS, etc....).
Les fournisseurs de services de coffre-fort numérique ne devront pas pouvoir accéder à leur contenu, ni à ses éventuelles sauvegardes, sans le consentement exprès de l'utilisateur concerné. L'acceptation des conditions d'utilisation ne constitueront pas un consentement exprès valable. De même, la clé de déchiffrement devra être maîtrisée uniquement par l'utilisateur du coffre et éventuellement par un tiers de confiance.
L'obtention d'un agrément spécifique du ministère de la Santé, délivré après avis de la Cnil, sera nécessaire pour héberger des données en la matière. Sans cet agrément, le fournisseur de coffre-fort ne pourra proposer ou organiser le stockage de données de santé. De plus, le (...)
