1 pièce(s) jointe(s)
L'Allemagne dit non à l'offre Microsoft 365 dans ses écoles, estimant qu'elle n'est pas conforme au RGPD
Le Danemark interdit les Chromebooks et Google Workspace dans les écoles en raison des risques de transfert de données
Et ravive le débat sur les possibilités offertes par Linux et l’open source
Le Danemark vient de décider de l’interdiction des Chromebooks et de la suite d’outils et de logiciels de productivité Google Workspace dans les écoles en raison des risques de transfert des données. Le tableau ravive le débat sur les possibilités offertes par l’écosystème Linux et l’open source en général afin d’apporter réponse aux besoins des écoles, administrations et autres services publics.
Dans un verdict publié la semaine dernière, l'agence danoise de protection des données, Datatilsynet, a révélé que le traitement des données des étudiants utilisant la suite logicielle Workspace (qui comprend Gmail, Google Docs, Calendar et Google Drive) ne répond pas aux exigences du règlement de l'Union européenne sur la protection des données (GDPR). Plus précisément, l'autorité a constaté que l'accord relatif au traitement des données - ou les conditions générales de Google - autorise apparemment le transfert de données vers d'autres pays dans le but de fournir une assistance, même si les données sont habituellement stockées dans l'un des centres de données européens de Google.
Les ordinateurs portables Chromebook de Google, et par extension Google Workspace, sont utilisés dans les écoles du Danemark. Mais l'agence danoise de protection des données s'est concentrée spécifiquement sur le cas Helsingor pour l'évaluation des risques après que la municipalité a signalé une violation de la sécurité des données personnelles en 2020. Bien que cette dernière décision ne s'applique techniquement qu'aux écoles d'Helsingor pour le moment, Datatilsynet note que bon nombre des conclusions auxquelles elle est parvenue s'appliqueront probablement à d'autres municipalités qui utilisent les Chromebooks et Workspace de Google. Datatilsynet a ajouté qu'elle s'attendait à ce que ces autres municipalités prennent les mesures nécessaires à la suite de la décision prise à Helsingor. L'interdiction prend effet immédiatement à Helsingor.
Le tableau ravive le débat sur les possibilités offertes par Linux et l’open source pour les besoins des écoles, administrations et autres services publics. À titre d’exemple, les autorités de la ville de Grenoble ont, en 2015, présenté leur projet de remplacer les systèmes d’exploitation équipant les appareils dans les écoles de la ville par le système d’exploitation Linux. Quelques mois plus tard, et plus précisément en décembre 2015, la ville de Grenoble a encore annoncé son adhésion à l’association April, ayant pour vocation de défendre et promouvoir les logiciels libres. À travers cette annonce, l’on entrevoyait un renforcement des actions de la ville en faveur du logiciel libre, mais également une volonté de s’appuyer sur l’expertise de sa forte communauté du logiciel libre.
Aussi, pour mettre en œuvre ce projet, une installation expérimentale a lieu dans une école au printemps 2015 et s’est étendue à d’autres écoles dans la période d’octobre à décembre 2015. Face au succès de ce projet pilote, la 16e grande ville de France a fait passer entièrement sur Linux huit autres écoles. Selon le chronogramme, les délais étaient fixés à 2018 pour migrer entièrement les systèmes des écoles publiques de cette ville sur Linux. Dans un premier temps, Ubuntu Linux avait été choisi pour les ordinateurs de bureau et les ordinateurs portables et Debian avait été sélectionné pour les serveurs. Selon les impressions notées par cette dernière, ce passage à Linux semble avoir été facilement accepté aussi bien par les élèves que les enseignants.
Seulement, le constat avec Linux est que le système d’exploitation open source peine à s’imposer dans la filière des ordinateurs de bureau. Du coup, des initiatives comme celle de la ville de Grenoble sont rares. Au sens strict, Linux c’est son noyau, c’est-à-dire cette partie de l’OS qui gère les ressources de l’ordinateur et sert de pont de communication entre les différents composants (matériels et logiciels) ; c’est la partie invisible du système d’exploitation. Au sens large, parler de Linux c’est faire référence à tout système d’exploitation qui s’appuie sur ledit noyau ; c’est l’un des aspects qui fait la particularité de cet OS puisque l’utilisateur peut piquer parmi 319 déclinaisons ou distributions si l’on s’en tient à la liste des LiveCD. Pour monsieur Tout-le-Monde la panoplie de choix est déroutante. Linus lui-même avoue que c’est la raison pour laquelle le système d’exploitation peine à s’imposer dans la filière desktop.
«Je souhaite que nous [la communauté] fassions plus d’efforts dans le sens d’aller vers une offre de bureau standardisée, qui tournera sur toutes les variantes du système d’exploitation. Je suis personnellement très embêté de voir à quel point ce degré de fragmentation a freiné Linux sur le desktop », a-t-il déclaré à ce propos.
En 2013, Miguel Icaza – l’un des pionniers de l’écosystème Linux avec ses travaux sur le bureau GNOME – s’est appuyé sur un argumentaire similaire pour justifier l’abandon de Linux au profit de Mac. « Pour moi, la fragmentation de Linux en tant que plateforme, la multiplicité de distributions incompatibles et les incompatibilités entre versions de la même distribution font que Linux est comparable à la catastrophe de Chernobyl sur le desktop », avait-il lancé.
Source : Datatilsynet
Et vous ?
:fleche: Pour quelles raisons pensez-vous que les solutions libres et open source qui mettent les utilisateurs plus en contrôle de divers aspects de leur écosystème continuent de peiner à s’imposer dans la filière grand public ?
Voir aussi :
:fleche: Samsung annonce son Chromebook Plus (V2) convertible de 12" au format 16/10 pour les adeptes de Chrome OS et d'applis Android
:fleche: Plus de la moitié des Chromebooks disponibles sur le marché supportent déjà les applications Android bonne nouvelle pour Chrome OS ?
:fleche: Chrome OS 69 débarque avec le support d'applis Linux pour les Chromebook et une interface graphique remise au goût du jour
:fleche: Microsoft Office sur Google Play est maintenant compatible avec les ordinateurs Chromebooks afin d'offrir une alternative aux utilisateurs
1 pièce(s) jointe(s)
Les écoles au Danemark, aux Pays-Bas et en Allemagne ne peuvent pas utiliser Gmail ou de cloud de Google
Les écoles au Danemark, aux Pays-Bas et en Allemagne ne peuvent pas utiliser Gmail ou de cloud de Google,
en raison de problèmes de confidentialité
Les écoles danoises doivent cesser d'utiliser les services de messagerie et de cloud de Google en raison de préoccupations ou de violation des normes de confidentialité européennes élevées définies par le RGPD. Selon l'autorité danoise de protection des données, la suite logicielle Workspace basée sur le cloud de Google « ne répond pas aux exigences » de la réglementation RGPD sur la confidentialité des données de l'Union européenne. Google a indiqué qu'il prévoyait de résoudre les problèmes de confidentialité d'ici août 2023, mais les versions actuelles des services de messagerie et de cloud de Google ne doivent pas être utilisées par les établissements d'enseignement.
Pendant longtemps, l'Autorité danoise de protection des données s'est concentrée sur l'utilisation des Chromebooks et de Google Workspace (anciennement G Suite for Education) dans les municipalités. L'utilisation est répandue dans tout le pays, mais concrètement, l'Autorité de protection des données a eu une affaire en cours dans la municipalité de Helsingør.
Ainsi, l'Autorité de protection des données a pris une décision en septembre 2021, où la municipalité d'Helsingør a reçu l'ordre de procéder à une évaluation des risques du traitement des données personnelles par la municipalité à l'école primaire à l'aide de Chromebooks et Workspace. Il y a quelques jours, l'autorité danoise de protection des données a, sur la base de la documentation et de l'évaluation du risque pour les personnes concernées préparées par la municipalité d'Helsingør, établi que le traitement ne répond pas aux exigences du RGPD sur plusieurs points.
« La municipalité d'Helsingør a fait un travail formidable et compétent pour cartographier la manière dont les données personnelles sont utilisées à l'école primaire, mais cela met également en évidence les problèmes juridiques de protection des données qui peuvent être liés aux méthodes des grandes entreprises technologiques pour résoudre la tâche », a déclaré Allan Frank, spécialiste de la sécurité informatique et avocat à l'Autorité danoise de protection des données.
L'Autorité danoise de protection des données a constaté que la municipalité n'a évalué aucun risque concret lié à la construction du processeur de données. En outre, l'accord sur le traitement des données stipule que les informations peuvent être transférées vers des pays tiers dans des situations d'assistance sans le niveau de sécurité requis.
Privacy Shield invalidé
Cette décision fait suite à des décisions similaires des autorités néerlandaises et allemandes.
Pour être plus précis, il a été décidé que les écoles allemandes ne doivent pas utiliser les offres cloud telles qu'Office 365, G Suite et iCloud en raison de violations de la vie privée. Le commissaire de Hesse à la protection des données et à la liberté d'information a publié une déclaration selon laquelle, compte tenu du manque de transparence en matière de protection des données et de l'accès potentiel de tiers, aucune donnée personnelle d'écoliers allemands ne doit être stockée sur les serveurs de Microsoft, Google ou Apple en dehors de l'Allemagne.
Par ailleurs, les écoles et universités néerlandaises doivent cesser d'utiliser les services de messagerie et de cloud de Google en raison de problèmes de confidentialité. Selon l'Autorité néerlandaise des données personnelles, les établissements d'enseignement ne savent pas comment et où les données personnelles des élèves et des étudiants sont traitées et stockées. En conséquence, le traitement des informations serait « non licite ».
Les problèmes auxquels les institutions gouvernementales se voient confrontées ont commencé avec l'invalidation du Privacy Shield en 2020.
Privacy Shield a été un accord de transfert de données entre les États-Unis et l'Union européenne et était censé rendre les transferts de données entre les deux légalement possibles. Cependant, l'accord a été déclaré invalide par la Cour européenne de justice en 2020 en raison de problèmes de confidentialité.
Un problème majeur que la Cour de l'UE a souligné est que les données des étrangers ne sont pas protégées aux États-Unis. Les protections qui existent - même si elles sont limitées - ne s'appliquent qu'aux citoyens américains. La NSA peut obtenir à tout moment un accès complet à toutes les données de citoyens non américains provenant d'entreprises américaines. En outre, les personnes concernées non américaines n'ont aucun droit susceptible d'action devant les tribunaux contre les autorités américaines, ce qui viole « l'essence » de certains droits fondamentaux de l'UE, a conclu la Cour européenne de justice.
L'accord de traitement des données n'est pas suffisant
Après l'invalidation du Privacy Shield, les services cloud américains se sont tournés vers des accords de traitement de données avec leurs clients européens. Cependant, cette pratique est fortement remise en question par les experts de la confidentialité des données, notamment en ce qui concerne sa légalité. La déclaration publiée par l'autorité danoise de protection des données le prouve une fois de plus. L'autorité se plaint, entre autres, que :
« l'accord sur le traitement des données stipule que les informations peuvent être transférées vers des pays tiers dans des situations d'assistance sans le niveau de sécurité requis ».
La décision résume quatre questions principales :
- Suspension de la municipalité d'Helsingør effectuant le traitement d'informations lorsque ces informations sont transférées vers des pays tiers sans le niveau de protection nécessaire.
- Une interdiction générale de traitement avec Google Workspace jusqu'à ce qu'une documentation et une analyse d'impact adéquates aient été réalisées et jusqu'à ce que le traitement soit mis en conformité avec le RGPD.
- Critique sérieuse du traitement des données personnelles par la municipalité.
- Bon nombre des conclusions de cette décision s'appliqueront probablement à d'autres municipalités qui utilisent la même structure de traitement. Ces municipalités sont censées prendre elles-mêmes les mesures appropriées en fonction de la décision.
Google Analytics également illégal en Europe
La CNIL a estimé que les transferts vers les États-Unis ne sont pas suffisamment encadrés à l’heure actuelle. En effet, en l’absence de décision d’adéquation (qui établirait que ce pays offre un niveau de protection des données suffisant au regard du RGPD) concernant les transferts vers les États-Unis, le transfert de données ne peut avoir lieu que si des garanties appropriées sont prévues pour ce flux notamment.
Or, la CNIL a constaté que ce n’était pas le cas. En effet, si Google a adopté des mesures supplémentaires pour encadrer les transferts de données dans le cadre de la fonctionnalité Google Analytics, celles-ci ne suffisent pas à exclure la possibilité d’accès des services de renseignements américains à ces données.
Il existe donc un risque pour les personnes utilisatrices du site français ayant recours à cet outil et dont les données sont exportées.
La CNIL constate que les données des internautes sont ainsi transférées vers les États-Unis en violation des articles 44 et suivants du RGPD.
Concernant les services de mesure et d’analyse d’audience d’un site Web, la CNIL recommande que ces outils servent uniquement à produire des données statistiques anonymes, permettant ainsi une exemption de consentement si le responsable de traitement s’assure qu’il n’y a pas de transferts illégaux. La CNIL a d’ailleurs lancé un programme d’évaluation pour déterminer les solutions exemptées de consentement.
Aussi, l'illégalité de Google en Europe est intervenu après que les organismes de surveillance de la confidentialité des données en France, en Italie et en Autriche ont jugé qu'il était illégal pour les sites Web européens d'utiliser Google Analytics pour suivre les visiteurs en raison d'une violation des règles européennes de confidentialité des données. Ici aussi, le problème est que les données personnelles sont transférées aux États-Unis pour être traitées sans le consentement des visiteurs du site Web.
Conséquences pour les écoles danoises, néerlandaises et allemandes
Sur la base des déclarations des organismes de protection de la vie privée danois, néerlandais et allemand, les écoles au Danemark, aux Pays-Bas et en Allemagne ne peuvent pas utiliser les services de messagerie ou de cloud de Google.
Alors que les déclarations des organismes de surveillance de la vie privée danois, néerlandais et allemand visent principalement à faire pression sur les entreprises technologiques américaines pour qu'elles adhèrent enfin aux réglementations européennes strictes en matière de confidentialité, il serait de loin préférable d'avoir une véritable alternative à Microsoft, Google et Apple.
Des alternatives européennes sont nécessaires
Les écoles européennes peuvent désormais attendre que les grandes entreprises technologiques américaines résolvent leurs problèmes de confidentialité. Ou elles peuvent commencer à chercher des alternatives européennes. Cette dernière solution aura un grand impact positif sur l'Europe et les Européens dans leur ensemble :
- Le business technologique européen est renforcé et peut constituer une alternative aux grandes entreprises technologiques américaines.
- Les données des citoyens européens sont protégées conformément au RGPD.
- Les données sont stockées en Europe et aucun transfert de données n'a lieu.
En attendant, Microsoft propose Cloud for Sovereignty
« Nous attendons des clients dans le monde entier… mais les premiers clients ont été en Europe », a déclaré le vice-président Corey Sanders dans une interview, ajoutant que la société organisait des Private Preview avec les clients.
Le service est complet. Les clients reçoivent une capacité cloud, des applications, des conseils, des intégrations et une assistance. La conformité est le fil conducteur. Chaque charge de travail doit respecter les lois locales. Microsoft met ses clients en contact avec des fournisseurs locaux, des ingénieurs et des conseillers en matière de confidentialité pour organiser des serveurs et des applications de cloud public conformes.
Dans son annonce, l'entreprise a indiqué que :
Microsoft Cloud for Sovereignty est construit sur le cloud public de Microsoft pour accélérer la transformation numérique tout en créant une expérience personnalisée conforme aux exigences gouvernementales. Les clients gouvernementaux auront la puissance du cloud public, répondant aux attentes en matière de faible coût, d'agilité et d'échelle, avec toute l'étendue des capacités telles que les services de développement modernes, l'infrastructure agile, les DevOps sécurisés, les plates-formes open source, la collaboration moderne et le développement low-code. De plus, les clients Microsoft Cloud for Sovereignty continueront de bénéficier des signaux de sécurité mondiaux de Microsoft, analysant plus de 24 000 milliards de signaux chaque jour pour identifier et aider à se protéger contre les attaques locales.
La fondation de Microsoft Cloud for Sovereignty commencera par nos centres de données régionaux Azure. Aujourd'hui, avec plus de 60 régions cloud, Microsoft Cloud offre les capacités et l'innovation les plus étendues avec la résidence et la proximité des données dans plus d'emplacements que tout autre fournisseur de cloud, permettant des options de résidence pour l'ensemble de Microsoft Cloud, y compris Microsoft 365, Dynamics 365 et Azure. Grâce à nos contrôles de politique à la pointe de l'industrie, les clients peuvent aujourd'hui répondre à de nombreuses exigences réglementaires et mettre en œuvre des politiques pour contenir leurs données et applications dans leur limite géographique préférée. Les clients peuvent spécifier le pays ou la région pour la plupart des déploiements de services avec la capacité de satisfaire aux exigences sectorielles, nationales ou mondiales en matière de sécurité, de confidentialité et de conformité.
Microsoft dispose de la couverture de conformité la plus complète de tous les fournisseurs de services cloud avec plus de 100 offres, dont plus de 50 spécifiques aux régions et pays du monde. Microsoft collabore avec les gouvernements, les régulateurs, les organismes de normalisation et les organisations non gouvernementales pour comprendre les exigences émergentes et assurer une activation rapide et efficace des besoins de conformité critiques. Plus précisément en Europe, dans le cadre de notre engagement en matière de résidence des données, la future limite des données de l'UE garantira que Microsoft non seulement stocke mais traite également les données des clients dans l'UE et l'Association européenne de libre-échange.
Sources : Agence danoise de protection des données, Agence allemande à la protection des données
Et vous ?
:fleche: Que pensez-vous de ces décisions ?
:fleche: Que pensez-vous de l'offre de Microsoft ?
Voir aussi :
:fleche: La CNIL met en demeure un gestionnaire de sites français pour son usage de Google Analytics. Le recours à Google Analytics va-t-il être remis en cause en Europe ?
:fleche: Microsoft lance un cloud « souverain » pour les gouvernements et ses clients du secteur public en Europe baptisé Microsoft Cloud for Sovereignty
1 pièce(s) jointe(s)
L’Éducation nationale confirme la fin des offres gratuites Microsoft Office365 et Workspace dans les écoles
L’Éducation nationale confirme la fin des offres gratuites Microsoft Office365 et Google Workspace dans les écoles,
emboîtant le pas à l'Allemagne, au Danemark et aux Pays-Bas
Dans une réponse à une question du député MODEM Philippe Latombe, le ministère de l'Education nationale confirme la fin du déploiement des offres Microsoft Office 365 et Google Workspace à titre gratuit au sein des établissements scolaires. L'application de cette décision incombe néanmoins aux collectivités locales disposant des compétences en la matière.
La DINUM estime que Microsoft 365 n'est pas conforme à la stratégie « Cloud au centre » de l'État français
L'année dernière, dans une circulaire relative à la doctrine d’utilisation du cloud computing par l’État adressée aux secrétaires généraux des ministères, Nadi Bou Hanna, Directeur interministériel du numérique, a estimé qu'Office 365 (comprendre Microsoft 365) n'est pas conforme à la directive « Cloud au centre ». Pour mémoire, avec cette doctrine, le cloud devient dorénavant le mode d’hébergement et de production par défaut des services numériques de l’État français, pour tout nouveau produit numérique et pour les produits connaissant une évolution substantielle. Une conclusion plutôt logique étant donné que, bien que les services Microsoft 365 sont opérés sur des datacenters Microsoft situés en France, ils ne sont pas immunisés contre les réglementations extracommunautaires.
La stratégie « Cloud au Centre » encourage donc toutes les administrations à migrer vers le cloud mais en précise le contexte ; ce cloud peut être un « cloud interne » maîtrisé par l’État pour les applications sensibles et les données à diffusion restreinte, ou encore un « cloud de confiance » (cloud certifié SecNumCloud et opéré par une entité européenne). Bien entendu, les offres cloud génériques des hyperscalers ne sont pas interdites mais leur usage est restreint « à l’hébergement de données non sensibles et aux services non essentiels au fonctionnement des administrations… ».
L’Éducation nationale française rappelle qu’en matière de suites collaboratives, les offres d’Office 365 et de Google Éducation ne sont pas adéquates
Philippe Latombe, député MODEM, a alerté le ministre de l'Éducation nationale et de la Jeunesse sur la gratuité d'Office 365 pour les élèves et les enseignants. En effet, comme l'annonce le site de Microsoft, « les élèves et les enseignants des établissements admissibles peuvent s'abonner gratuitement à Microsoft Office 365, qui intègre Word, Excel, PowerPoint, OneNote et maintenant Microsoft Teams, ainsi que de nombreux autres outils pour la classe ».
De prime abord, la proposition peut sembler attrayante puisqu'elle promet un seul lieu pour l'organisation, l'accès à tout moment, en tout lieu et à partir de n'importe quel appareil. Cependant, pour le député, cette offre gratuite s'apparente à une forme ultime de dumping et à de la concurrence déloyale. Il semble par ailleurs qu'aucun appel d'offres n'ait eu lieu. Il lui a demandé s'il peut lui indiquer ce qu'il compte faire face à de telles pratiques commerciales qui, si elles peuvent paraître séduisantes au consommateur, pénalisent fortement les autres acteurs économiques, posent un problème grave de souveraineté, en raison de la localisation des données personnelles sur un cloud américain et de l'extraterritorialité du droit américain et donnent aux très nombreux enseignants qui y sont hostiles l'impression d'une administration vendue à Microsoft.
Voici la réponse du ministère à ce sujet :
L'éditeur Microsoft a une politique mondiale pour l'éducation consistant à offrir gratuitement la version de base de sa suite collaborative en ligne. Le code de la commande publique prévoit que les contrats de la commande publique sont des contrats conclus à titre onéreux pour satisfaire les besoins de la personne publique en matière de travaux, de fournitures ou de services. Les offres gratuites de services sont donc, en principe, exclues du champ de la commande publique.
S'il est vraisemblable que la mise à disposition gratuite des établissements scolaires d'une suite bureautique vise à inciter un public qui aurait été accoutumé à l'utilisation de ces outils à souscrire par la suite à la version payante de son offre, cet avantage indirect n'est pas de nature, à lui seul, à regarder cette prestation comme présentant un caractère onéreux. Le ministère chargé de l'économie et des finances indiquait toutefois dans cette réponse ministérielle que « dans un souci de bonne administration et dans la mesure où de tels contrats peuvent avoir une incidence à terme sur la concurrence, les personnes publiques veilleront toutefois à circonscrire l'objet de ces contrats, à en limiter leur durée et, à ne pas octroyer d'exclusivité à l'opérateur économique afin de permettre à d'autres concurrents de bénéficier des gains notamment d'image en résultant. »
Par ailleurs, la circulaire du Premier ministre invite les différents ministres à s'assurer que les offres de cloud commercial auxquelles ont recours les organisations et les services publics placés sous son autorité soient immunisés contre toute réglementation extracommunautaire et bénéficient de la qualification SecNumCloud ou d'une qualification européenne équivalente. À cet égard, une note du directeur interministériel du numérique en date du 15 septembre 2021 précise que la suite collaborative Microsoft Office 365 n'était pas conforme à la doctrine « cloud au centre ».
La politique du Gouvernement s'inscrit dans la continuité de l'arrêt du 16 juillet 2020 dit « Schrems II » de la Cour de justice de l'Union européenne et de la position des autorités de contrôle des États membres. Dans un courrier du 27 mai 2021, la Commission nationale de l'informatique et des libertés (CNIL) a ainsi recommandé aux établissements d'enseignement supérieur, en l'absence de mesures supplémentaires susceptibles d'assurer un niveau de protection adéquat, de recourir à des suites collaboratives proposées par des prestataires exclusivement soumis au droit européen qui hébergent les données au sein de l'Union européenne et ne les transfèrent pas vers les États-Unis.
S'agissant de l'emploi de la solution Microsoft Office 365, le ministère de l'Éducation nationale et de la Jeunesse a informé en octobre 2021 les recteurs de région académique et d'académie de la doctrine « cloud au centre », de la position de la Dinum et de l'avis de la CNIL sur ce sujet.
Le ministère a ainsi demandé d'arrêter tout déploiement ou extension de cette solution ainsi que celle de Google, qui seraient contraires au RGPD. Il convient enfin de rappeler que le code de l'éducation prévoit que les collectivités territoriales de rattachement des établissements scolaires assurent « l'équipement et le fonctionnement » et qu'à ce titre, « l'acquisition et la maintenance des infrastructures et des équipements, dont les matériels informatiques et les logiciels prévus pour leur mise en service, nécessaires à l'enseignement et aux échanges entre les membres de la communauté éducative sont à [leur] charge ».
Les collectivités territoriales peuvent ainsi fournir des solutions d'environnement numérique de travail (ENT) aux établissements qui offrent des fonctionnalités de communication et de collaboration respectant les principes du RGPD et de souveraineté numérique, permettant ainsi de se passer des offres collaboratives états-uniennes non immunes au droit extraterritorial.
Une décision qui fait suite à des décisions similaires prises dans d'autres pays européens suite à l'invalidation du Privacy Shield
Pendant longtemps, l'Autorité danoise de protection des données s'est concentrée sur l'utilisation des Chromebooks et de Google Workspace (anciennement G Suite for Education) dans les municipalités. L'utilisation est répandue dans tout le pays, mais concrètement, l'Autorité de protection des données a eu une affaire en cours dans la municipalité de Helsingør.
Ainsi, l'Autorité de protection des données a pris une décision en septembre 2021, où la municipalité d'Helsingør a reçu l'ordre de procéder à une évaluation des risques du traitement des données personnelles par la municipalité à l'école primaire à l'aide de Chromebooks et Workspace. En juillet 2022, l'autorité danoise de protection des données a, sur la base de la documentation et de l'évaluation du risque pour les personnes concernées préparées par la municipalité d'Helsingør, établi que le traitement ne répond pas aux exigences du RGPD sur plusieurs points.
« La municipalité d'Helsingør a fait un travail formidable et compétent pour cartographier la manière dont les données personnelles sont utilisées à l'école primaire, mais cela met également en évidence les problèmes juridiques de protection des données qui peuvent être liés aux méthodes des grandes entreprises technologiques pour résoudre la tâche », a déclaré Allan Frank, spécialiste de la sécurité informatique et avocat à l'Autorité danoise de protection des données.
L'Autorité danoise de protection des données a constaté que la municipalité n'a évalué aucun risque concret lié à la construction du processeur de données. En outre, l'accord sur le traitement des données stipule que les informations peuvent être transférées vers des pays tiers dans des situations d'assistance sans le niveau de sécurité requis.
Cette décision fait suite à des décisions similaires des autorités néerlandaises et allemandes.
Pour être plus précis, il a été décidé que les écoles allemandes ne doivent pas utiliser les offres cloud telles qu'Office 365, G Suite et iCloud en raison de violations de la vie privée. Le commissaire de Hesse à la protection des données et à la liberté d'information a publié une déclaration selon laquelle, compte tenu du manque de transparence en matière de protection des données et de l'accès potentiel de tiers, aucune donnée personnelle d'écoliers allemands ne doit être stockée sur les serveurs de Microsoft, Google ou Apple en dehors de l'Allemagne.
Par ailleurs, les écoles et universités néerlandaises doivent cesser d'utiliser les services de messagerie et de cloud de Google en raison de problèmes de confidentialité. Selon l'Autorité néerlandaise des données personnelles, les établissements d'enseignement ne savent pas comment et où les données personnelles des élèves et des étudiants sont traitées et stockées. En conséquence, le traitement des informations serait « non licite ».
Sur la base des déclarations des organismes de protection de la vie privée danois, néerlandais et allemand, les écoles au Danemark, aux Pays-Bas et en Allemagne ne peuvent pas utiliser les services de messagerie ou de cloud de Google.
Alors que les déclarations des organismes de surveillance de la vie privée danois, néerlandais et allemand visent principalement à faire pression sur les entreprises technologiques américaines pour qu'elles adhèrent enfin aux réglementations européennes strictes en matière de confidentialité, il serait de loin préférable d'avoir une véritable alternative à Microsoft, Google et Apple.
Des alternatives européennes sont nécessaires
Les écoles européennes peuvent désormais attendre que les grandes entreprises technologiques américaines résolvent leurs problèmes de confidentialité. Ou elles peuvent commencer à chercher des alternatives européennes. Cette dernière solution aura un grand impact positif sur l'Europe et les Européens dans leur ensemble :
- le business technologique européen est renforcé et peut constituer une alternative aux grandes entreprises technologiques américaines ;
- les données des citoyens européens sont protégées conformément au RGPD ;
- les données sont stockées en Europe et aucun transfert de données n'a lieu.
Source : Assemblée nationale
Et vous ?
:fleche: Que pensez-vous de la décision d'arrêter le déploiement des offres Microsoft Office 365 et Google Workspace à titre gratuit au sein des établissements scolaires ?
Voir aussi :
:fleche: Le ministre de l'Éducation et l'Assemblée nationale disent non à la priorité au logiciel libre pour l'enseignement scolaire
:fleche: Les écoles au Danemark, aux Pays-Bas et en Allemagne ne peuvent pas utiliser Gmail ou de cloud de Google en raison de problèmes de confidentialité
