Limitation de la finalité du traitement PII cloud (ISO 27018)

Définition

La limitation de la finalité du traitement PII cloud, exigence structurante de la norme ISO 27018, impose au fournisseur d'un service cloud public traitant des données à caractère personnel pour le compte d'un client de restreindre strictement l'usage de ces données aux finalités instruites par ce dernier, sans les exploiter à des fins additionnelles telles que l'amélioration de ses propres produits, l'entraînement de modèles d'intelligence artificielle ou la revente à des tiers, sauf accord explicite du client dans ce sens. Cette exigence, directement inspirée du principe de limitation des finalités posé par le RGPD, revêt une importance particulière dans le contexte cloud où le fournisseur dispose techniquement d'un accès potentiel étendu aux données hébergées, créant une tentation commerciale de valorisation secondaire de ces données au-delà du seul service d'hébergement contractualisé. La norme impose au fournisseur de documenter précisément les finalités pour lesquelles les données personnelles sont traitées dans le cadre du service fourni, et d'obtenir une autorisation distincte et spécifique du client avant tout traitement à une finalité additionnelle, ce dernier ne pouvant être présumé implicitement du seul fait de l'utilisation du service. Cette exigence est devenue un point de vigilance croissant dans les négociations contractuelles avec les grands fournisseurs de services cloud proposant des fonctionnalités d'intelligence artificielle intégrées à leurs offres.