Les écoles danoises doivent cesser d'utiliser les services de messagerie et de cloud de Google en raison de préoccupations ou de violation des normes de confidentialité européennes élevées définies par le RGPD. Selon l'autorité danoise de protection des données, la suite logicielle Workspace basée sur le cloud de Google « ne répond pas aux exigences » de la réglementation RGPD sur la confidentialité des données de l'Union européenne. Google a indiqué qu'il prévoyait de résoudre les problèmes de confidentialité d'ici août 2023, mais les versions actuelles des services de messagerie et de cloud de Google ne doivent pas être utilisées par les établissements d'enseignement.Pendant longtemps, l'Autorité danoise de protection des données s'est concentrée sur l'utilisation des Chromebooks et de Google Workspace (anciennement G Suite for Education) dans les municipalités. L'utilisation est répandue dans tout le pays, mais concrètement, l'Autorité de protection des données a eu une affaire en cours dans la municipalité de Helsingør.
Ainsi, l'Autorité de protection des données a pris une décision en septembre 2021, où la municipalité d'Helsingør a reçu l'ordre de procéder à une évaluation des risques du traitement des données personnelles par la municipalité à l'école primaire à l'aide de Chromebooks et Workspace. Il y a quelques jours, l'autorité danoise de protection des données a, sur la base de la documentation et de l'évaluation du risque pour les personnes concernées préparées par la municipalité d'Helsingør, établi que le traitement ne répond pas aux exigences du RGPD sur plusieurs points.
« La municipalité d'Helsingør a fait un travail formidable et compétent pour cartographier la manière dont les données personnelles sont utilisées à l'école primaire, mais cela met également en évidence les problèmes juridiques de protection des données qui peuvent être liés aux méthodes des grandes entreprises technologiques pour résoudre la tâche », a déclaré Allan Frank, spécialiste de la sécurité informatique et avocat à l'Autorité danoise de protection des données.
L'Autorité danoise de protection des données a constaté que la municipalité n'a évalué aucun risque concret lié à la construction du processeur de données. En outre, l'accord sur le traitement des données stipule que les informations peuvent être transférées vers des pays tiers dans des situations d'assistance sans le niveau de sécurité requis.
Privacy Shield invalidé
Cette décision fait suite à des décisions similaires des autorités néerlandaises et allemandes.
Pour être plus précis, il a été décidé que les écoles allemandes ne doivent pas utiliser les offres cloud telles qu'Office 365, G Suite et iCloud en raison de violations de la vie privée. Le commissaire de Hesse à la protection des données et à la liberté d'information a publié une déclaration selon laquelle, compte tenu du manque de transparence en matière de protection des données et de l'accès potentiel de tiers, aucune donnée personnelle d'écoliers allemands ne doit être stockée sur les serveurs de Microsoft, Google ou Apple en dehors de l'Allemagne.
Par ailleurs, les écoles et universités néerlandaises doivent cesser d'utiliser les services de messagerie et de cloud de Google en raison de problèmes de confidentialité. Selon l'Autorité néerlandaise des données personnelles, les établissements d'enseignement ne savent pas comment et où les données personnelles des élèves et des étudiants sont traitées et stockées. En conséquence, le traitement des informations serait « non licite ».
Les problèmes auxquels les institutions gouvernementales se voient confrontées ont commencé avec l'invalidation du Privacy Shield en 2020.
Privacy Shield a été un accord de transfert de données entre les États-Unis et l'Union européenne et était censé rendre les transferts de données entre les deux légalement possibles. Cependant, l'accord a été déclaré invalide par la Cour européenne de justice en 2020 en raison de problèmes de confidentialité.
Un problème majeur que la Cour de l'UE a souligné est que les données des étrangers ne sont pas protégées aux États-Unis. Les protections qui existent - même si elles sont limitées - ne s'appliquent qu'aux citoyens américains. La NSA peut obtenir à tout moment un accès complet à toutes les données de citoyens non américains provenant d'entreprises américaines. En outre, les personnes concernées non américaines n'ont aucun droit susceptible d'action devant les tribunaux contre les autorités américaines, ce qui viole « l'essence » de certains droits fondamentaux de l'UE, a conclu la Cour européenne de justice.
L'accord de traitement des données n'est pas suffisant
Après l'invalidation du Privacy Shield, les services cloud américains se sont tournés vers des accords de traitement de données avec leurs clients européens. Cependant, cette pratique est fortement remise en question par les experts de la confidentialité des données, notamment en ce qui concerne sa légalité. La déclaration publiée par l'autorité danoise de protection des données le prouve une fois de plus. L'autorité se plaint, entre autres, que :
« l'accord sur le traitement des données stipule que les informations peuvent être transférées vers des pays tiers dans des situations d'assistance sans le niveau de sécurité requis ».
La décision résume quatre questions principales :
- Suspension de la municipalité d'Helsingør effectuant le traitement d'informations lorsque ces informations sont transférées vers des pays tiers sans le niveau de protection nécessaire.
- Une interdiction générale de traitement avec...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.
Envoyé par ONTAYG
