J'ai vu passer des commentaires sur le fediverse, et je pense que c'est important de lire le détail (et de ne pas écouter les gens qui se pensent expert mais qui visiblement ne peuvent pas poster un toot sans faire d'erreur grossière ).
Primo, l'EDPS, c'est l'équivalent de la CNIL pour la commission européenne (et d'autres institutions), à ne pas confondre avec l'EDPB, qui elle supervise et rassemble les DPA comme la CNIL. Il n'y a pas de hiérarchie à plusieurs niveaux, il y a juste les DPAs, indépendant par construction (article 52) et l'EDPS est aussi indépendante comme la CNIL. En pratique, ça veut dire que le budget est donné de façon inconditionnel pour éviter tout mesure de rétribution, qu'il y a des conditions détaillés dans le RGPD (tout le chapitre 6 du RGPD, etc).
Secondo, le texte qui s'applique n'est pas le RGPD, une directive de 2016 (d’où son identifiant "2016/679"), mais un texte similaire adapté pour les institutions de l'UE, l'EUDPR, une directive de 2018 (d’où l'identifiant 2018/1725). Il y a des différences, certains subtiles, certaines moins, certaines importantes, certaines moins mais si quelqu'un parle du RGPD, c'est quelqu'un qui n'a pas tout compris au sujet, parce que c'est pas les mêmes obligations ni le même texte.
Tertio, les violations semblent être sur le contrat entre Microsoft et la Commission plus que sur Office 365. Si on lit le communiqué de presse, on voit que le souci, c'est que la Commission (ou plutôt ses juristes et son département informatique) aurait du demander plus de détails avant de signer.
Autant dire que ça ne veut pas dire qu'Office 365 est interdit en Europe, ni dire grand chose. Je suppose que vu la mention de l'arrêt Schrems II, il y a sans doute aussi des questions de timing vis à vis de la décision d’adéquation mise en place en juillet 2023 (vu que la décision se base sur l'état en mai 2021). Les décisions d'adéquation ne sont qu'un premier mécanisme autorisant les transferts (article 45), les autres étant des clauses spécifiques dans les contrats (article 46 et 47) et ce genre de subtilité. C'est ce qui semble manquer ici en l'absence de l'adéquation entre 2021 et 2023.
Donc ce que va faire l'UE, c'est sans doute demander à Microsoft de ne pas transférer les données dans des DC hors UE (pas un gros souci), et refaire un contrat avec la pression de faire ça en 8 mois ou risquer de bloquer toute la commission (et de faire un audit sans doute bien lourd de toutes les données, si c'est pas déjà fait). Autant dire que Microsoft va sans aucun doute en profiter pour revoir les prix (et pas à la baisse), donc bon, sans doute pour leurs bénéfices.
# Vu que j'ai vu passer des trucs sur le fediverse
Posté par Misc (site web personnel) . En réponse au lien European Commission’s use of Microsoft365 infringes data protection law for EU institutions & bodies. Évalué à 10.
J'ai vu passer des commentaires sur le fediverse, et je pense que c'est important de lire le détail (et de ne pas écouter les gens qui se pensent expert mais qui visiblement ne peuvent pas poster un toot sans faire d'erreur grossière ).
Primo, l'EDPS, c'est l'équivalent de la CNIL pour la commission européenne (et d'autres institutions), à ne pas confondre avec l'EDPB, qui elle supervise et rassemble les DPA comme la CNIL. Il n'y a pas de hiérarchie à plusieurs niveaux, il y a juste les DPAs, indépendant par construction (article 52) et l'EDPS est aussi indépendante comme la CNIL. En pratique, ça veut dire que le budget est donné de façon inconditionnel pour éviter tout mesure de rétribution, qu'il y a des conditions détaillés dans le RGPD (tout le chapitre 6 du RGPD, etc).
Secondo, le texte qui s'applique n'est pas le RGPD, une directive de 2016 (d’où son identifiant "2016/679"), mais un texte similaire adapté pour les institutions de l'UE, l'EUDPR, une directive de 2018 (d’où l'identifiant 2018/1725). Il y a des différences, certains subtiles, certaines moins, certaines importantes, certaines moins mais si quelqu'un parle du RGPD, c'est quelqu'un qui n'a pas tout compris au sujet, parce que c'est pas les mêmes obligations ni le même texte.
Tertio, les violations semblent être sur le contrat entre Microsoft et la Commission plus que sur Office 365. Si on lit le communiqué de presse, on voit que le souci, c'est que la Commission (ou plutôt ses juristes et son département informatique) aurait du demander plus de détails avant de signer.
Autant dire que ça ne veut pas dire qu'Office 365 est interdit en Europe, ni dire grand chose. Je suppose que vu la mention de l'arrêt Schrems II, il y a sans doute aussi des questions de timing vis à vis de la décision d’adéquation mise en place en juillet 2023 (vu que la décision se base sur l'état en mai 2021). Les décisions d'adéquation ne sont qu'un premier mécanisme autorisant les transferts (article 45), les autres étant des clauses spécifiques dans les contrats (article 46 et 47) et ce genre de subtilité. C'est ce qui semble manquer ici en l'absence de l'adéquation entre 2021 et 2023.
Donc ce que va faire l'UE, c'est sans doute demander à Microsoft de ne pas transférer les données dans des DC hors UE (pas un gros souci), et refaire un contrat avec la pression de faire ça en 8 mois ou risquer de bloquer toute la commission (et de faire un audit sans doute bien lourd de toutes les données, si c'est pas déjà fait). Autant dire que Microsoft va sans aucun doute en profiter pour revoir les prix (et pas à la baisse), donc bon, sans doute pour leurs bénéfices.