Non conformité d’office 365 dans les école d’Allemagne. A quand la France ?

L’autorité allemande de protection des données (DSK) a exprimé des inquiétudes quant à la compatibilité de Microsoft 365 avec les lois sur la protection des données en Allemagne et dans l’Union européenne. Microsoft avait apporté des modifications à ses contrats en septembre 2022, mais la DSK les juge insuffisantes et estime que Microsoft est trop vague dans ses formulations. Cette Non conformité d’office 365 ne l’est que pour une utilisation par un enfant de moins de 13 ans dans les écoles allemandes.

Plus en détail sur la non conformité d’office 365

Selon le rapport de l’autorité allemande de protection des données (DSK), Microsoft 365 est en violation du règlement général sur la protection des données (RGPD).

Selon le RGPD, seules les personnes âgées de 13 ans ou plus peuvent consentir à la collecte de leurs données. Pour les enfants de moins de 13 ans, seules les personnes ayant la responsabilité parentale peuvent donner leur consentement.

Le groupe de travail 2020 a été constitué pour mettre Microsoft 365 en conformité avec la décision Schrems II de la Cour de justice européenne et soulève des préoccupations européennes concernant la souveraineté des données cloud, la concurrence et les règles de confidentialité.

Le DSK a également critiqué les modifications apportées par Microsoft à un addendum sur la protection des données en septembre 2022, estimant que seule la formulation avait changé, sans aucun ajustement au traitement réel des données.

En conséquence, le DSK a déclaré que l’utilisation de Microsoft 365 par les écoles ou les autorités publiques en Allemagne n’est pas conforme à la loi.

Microsoft répond à la Non conformité d’office 365

Nos efforts pour protéger la vie privée de nos clients sont à la pointe du marché. Nous offrons une variété d’outils et de solutions qui donnent à nos clients mondiaux plus de contrôle sur leurs données, tels que :

• Microsoft 365 Advanced Data Residency : cette offre est destinée aux clients qui souhaitent un contrôle plus précis sur l’emplacement de leurs données M365 et étend nos engagements au stockage des données client au repos ;
• Limite des données de l’UE : cette mesure complète les obligations locales de stockage et de traitement existantes et va au-delà de ce qui est requis par la loi. Cela réduira considérablement le flux de données de l’UE vers d’autres pays. Cela permettra aux clients du secteur public et des entreprises de l’UE et de l’ensemble de l’Association européenne de libre-échange de traiter et de stocker les données des clients dans la région ;
• Microsoft Cloud for Sovereignty : cette offre est basée sur le Microsoft Public Cloud et permet de créer un produit sur mesure pour les clients du secteur public tout en respectant les exigences légales en matière de souveraineté des données.

Réaction de la france à la Non conformité d’office 365

Le ministre français de l’Éducation nationale et de la Jeunesse a récemment indiqué que les versions gratuites de Microsoft Office 365 et de Google Workspace ne devraient pas être utilisées dans les écoles.

Cette déclaration fait suite à une question du député Philippe Latombe, qui a alerté le ministre sur les implications de l’offre gratuite d’Office 365 pour les élèves et les enseignants.

Selon le député, cette offre gratuite pourrait être considérée comme du dumping et de la concurrence déloyale, et il n’est pas clair si un appel d’offres a été lancé. Le ministre n’a pas précisé ce qu’il comptait faire face à cette situation.

Voici la réponse du ministère à ce sujet :

S’agissant de l’emploi de la solution Microsoft Office 365, le ministère de l’Éducation nationale et de la Jeunesse a informé en octobre 2021 les recteurs de région académique et d’académie de la doctrine « cloud au centre », de la position de la Dinum et de l’avis de la CNIL sur ce sujet.

Le ministère a ainsi demandé d’arrêter tout déploiement ou extension de cette solution ainsi que celle de Google, qui seraient contraires au RGPD. Il convient enfin de rappeler que le code de l’éducation prévoit que les collectivités territoriales de rattachement des établissements scolaires assurent « l’équipement et le fonctionnement » et qu’à ce titre, « l’acquisition et la maintenance des infrastructures et des équipements, dont les matériels informatiques et les logiciels prévus pour leur mise en service, nécessaires à l’enseignement et aux échanges entre les membres de la communauté éducative sont à [leur] charge ».

Les collectivités territoriales peuvent ainsi fournir des solutions d’environnement numérique de travail (ENT) aux établissements qui offrent des fonctionnalités de communication et de collaboration respectant les principes du RGPD et de souveraineté numérique, permettant ainsi de se passer des offres collaboratives états-uniennes non immunes au droit extraterritorial.

Si la Non conformité d’office 365 se confirme en france, quels sont les risques ?

Rappelons quand même ici que la non conformité se porte sur l’utilisation d’office 365 (fourniture d’un accès offert) par des enfants de moins de 13 ans.

Cependant, si une entreprise utilise un logiciel non conforme au RGPD, elle risque d’être soumise à des sanctions en cas de violation de la réglementation sur la protection des données. Le RGPD prévoit des sanctions administratives pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, en fonction de laquelle des deux sanctions est la plus élevée. En outre, l’utilisation d’un logiciel non conforme au RGPD peut également entraîner des dommages à la réputation de l’entreprise et perdre la confiance des clients et des parties prenantes.