Amazon Web Services (AWS)

Ce que fait Amazon Web Services et comment AWS apparaît sur un site

Amazon Web Services (AWS) est la principale plateforme cloud au monde, exploitée par Amazon Web Services Inc., filiale d'Amazon.com Inc. enregistrée à Seattle, Washington. Sur un site européen, AWS se manifeste principalement sous trois formes : Amazon CloudFront qui distribue images, scripts et HTML depuis des points de présence proches du visiteur, Amazon S3 qui stocke les assets statiques et les médias téléversés, et Amazon EC2 ou AWS Lambda qui exécutent le backend applicatif. D'autres briques comme Amazon Cognito (authentification), Amazon Pinpoint (push, e-mail), AWS WAF (filtrage sécurité) ou Amazon Rekognition (analyse d'image) peuvent également traiter des données personnelles.

Même lorsqu'une région européenne est sélectionnée, AWS reste soumis à la juridiction américaine. Les équipes de support situées aux États-Unis peuvent accéder à l'infrastructure pour résoudre les incidents, les services IAM et la facturation passent par des endpoints globaux, et certains services gérés répliquent leurs métadonnées entre régions. Cette double empreinte UE/US est la question centrale du RGPD pour tout déploiement AWS.

Cookies et données collectés par AWS

AWS ne dépose pas de cookies marketing par lui-même. La couche infrastructure pose un petit nombre de cookies techniques : AWSALB et AWSALBCORS utilisés par l'Application Load Balancer pour conserver une session sur le même backend, AWSELB utilisé par l'ancien Classic Load Balancer, ainsi que des identifiants similaires lorsque la session collante est activée. CloudFront ne dépose pas de cookie par défaut mais traite l'adresse IP du visiteur, l'en-tête User-Agent, l'URL demandée et les métadonnées TLS. Les journaux peuvent être conservés dans des buckets Amazon S3 configurés par l'éditeur.

Lorsque des services de niveau supérieur sont empilés sur AWS, comme Amazon Pinpoint, AWS Personalize ou Amazon Connect, des identifiants et données de profil supplémentaires sont traités. L'éditeur du site reste responsable de traitement et doit documenter chaque cookie ou entrée de stockage local déclenché par les composants AWS.

Implications RGPD et ePrivacy

Amazon Web Services Inc. agit comme sous-traitant lorsqu'il héberge un site européen, l'éditeur restant responsable de traitement. La signature du DPA AWS est obligatoire et le document est disponible dans le portail AWS Artifact. Le DPA intègre les clauses contractuelles types de la Commission européenne et l'addendum britannique, liste les sous-traitants ultérieurs et décrit les mesures de sécurité alignées sur ISO 27001, ISO 27018, SOC 2 et le code de conduite cloud européen.

Au titre de la directive ePrivacy transposée en droit national (LCEN en France, TTDSG en Allemagne, LSSI-CE en Espagne), chaque cookie ou identifiant non strictement nécessaire déposé via un composant AWS exige un consentement libre et éclairé avant stockage sur le terminal. Les cookies de répartition de charge sont généralement considérés comme strictement nécessaires et sont exemptés, mais ce n'est pas le cas des cookies analytiques, de personnalisation ou publicitaires construits sur AWS.

Transferts internationaux et EU-US Data Privacy Framework

Amazon Web Services Inc. est certifié sous le EU-US Data Privacy Framework, reconnu par la Commission européenne dans la décision d'adéquation 2023/1795. Les transferts de l'UE vers AWS aux États-Unis bénéficient donc d'une base d'adéquation, complétée par les clauses contractuelles types pour les pays non couverts. Après l'arrêt Schrems II, des mesures supplémentaires telles que les clés de chiffrement gérées par le client (AWS KMS avec clés importées), des politiques IAM strictes et une évaluation d'impact des transferts (TIA) sont fortement recommandées.

Les éditeurs traitant des charges de travail sensibles peuvent épingler les services aux régions UE, activer AWS Nitro Enclaves et exclure contractuellement l'accès support américain via la feuille de route AWS European Sovereign Cloud annoncée pour la région Brandebourg.

Consentement et base légale

Pour un usage purement infrastructure (hébergement, cache CDN, filtrage sécurité), l'article 6, paragraphe 1, point f du RGPD (intérêt légitime) constitue la base légale standard, soutenue par une évaluation d'intérêt légitime documentée. Pour toute fonctionnalité AWS qui profile les utilisateurs, fait de l'analyse ou alimente la publicité, un consentement préalable obtenu via une CMP conforme est obligatoire avant tout appel SDK ou pixel AWS.

Étapes pratiques de conformité

Signer le DPA AWS, restreindre les charges aux régions UE quand le métier le permet, activer le chiffrement au repos et en transit avec des clés client, limiter les accès IAM à des rôles nommés, configurer la rétention des logs au strict nécessaire, mentionner AWS et ses sous-traitants pertinents dans la politique de confidentialité, documenter l'évaluation d'impact des transferts, et intégrer chaque cookie ou pixel déclenché par AWS dans la CMP afin qu'il ne se charge qu'après opt-in explicite lorsque le consentement est requis.