La Con­fé­dé­ra­ti­on intro­duit Micro­soft 365

Le 15 février 2023, le Con­seil fédé­ral a déci­dé d’uti­li­ser Micro­soft 365 com­me nou­vel­le ver­si­on d’Of­fice dans l’ad­mi­ni­stra­ti­on fédé­ra­le (Com­mu­ni­qué de pres­se). La décis­i­on a été pré­cé­dée d’u­ne pha­se de test, joli­ment inti­tulée pro­jet “Cloud Enab­ling Büro­au­to­ma­ti­on” (CEBA). L’in­tro­duc­tion con­cer­ne notam­ment Word, Excel, Power­Point, OneN­ote, Out­look, Teams, Win­dows 10 et 11 Enter­pri­se, Share­Point Online, One­Dri­ve for Busi­ness, Stream, Sway, Visio, Power Apps for Micro­soft 365, Power Auto­ma­te for Micro­soft 365, Power Vir­tu­al Agents for Teams, Power BI et autres.

La Chan­cel­le­rie fédé­ra­le a décrit plus en détail le pro­jet dans un docu­ment d’in­for­ma­ti­on daté du 14 février 2023 (ici) et ana­ly­sé l’ad­mis­si­bi­li­té de la réfé­rence dans un docu­ment “Bases léga­les” de la même date (ici). Le résul­tat de ce document :

Avec les cont­rats con­clus avec Micro­soft, l’ad­mi­ni­stra­ti­on fédé­ra­le a Les bases sont poséesLe Con­seil d’ad­mi­ni­stra­ti­on a déci­dé d’au­to­ri­ser l’uti­li­sa­ti­on de M365 en respec­tant le cad­re légal. Pour l’uti­li­sa­ti­on, une cré­er une direc­ti­ve d’in­ter­ven­ti­onLes don­nées néces­si­tant un niveau de pro­tec­tion plus éle­vé ne doi­vent pas être stockées dans le cloud. Dans le cad­re du con­cept SIPD, une ana­ly­se des ris­ques a été réa­li­sée, les ris­ques rési­du­els y ont été iden­ti­fi­és et sont connus.

L’ana­ly­se de BK vient en réfé­rence à la Exi­gence d’u­ne base léga­le – une que­sti­on qui aut­re pour­rait enco­re don­ner lieu à des dis­cus­sions – à la con­clu­si­on suivante :

L’ex­plo­ita­ti­on du BA [bureau­tique] n’im­pli­que pas d’in­ter­ven­ti­on dans les droits des indi­vi­dus. Dans ces con­di­ti­ons, l’ex­plo­ita­ti­on du BA peut se baser direc­te­ment sur le trans­fert des tâches admi­ni­stra­ti­ves cor­re­spond­an­tes. Une base juri­di­que expli­ci­te n’est donc pas néces­saire ; cela vaut éga­le­ment pour l’ex­ter­na­li­sa­ti­on de la BA dans le cloud public.

La base léga­le reste donc l’art. 57h LOGA (les orga­nes fédé­raux peu­vent gérer un système d’in­for­ma­ti­on et de docu­men­ta­ti­on pour l’en­re­gi­stre­ment, la gesti­on, l’in­dexa­ti­on et le con­trô­le de la cor­re­spond­ance et des affai­res, qui peut éga­le­ment con­te­nir des don­nées sen­si­bles et des pro­fils de la personnalité). -

Don­nées per­son­nel­les sen­si­bles ne doi­vent pas, selon l’ana­ly­se de la ChF – dans le cas pré­sent – être trai­tées ou stockées dans le cloud public ; elles restent On Pre­mi­se. Il reste à savoir si cela con­sti­tue une mesu­re volon­tai­re de la Con­fé­dé­ra­ti­on ou si elle a été déduite d’e­xi­gen­ces – non men­ti­onnées – rela­ti­ves à la base léga­le (éven­tu­el­le­ment de l’art. 17 LPD ; mais il fau­drait alors se deman­der si ce niveau de nor­me s’ap­pli­que effec­ti­ve­ment aus­si à la moda­li­té de trai­te­ment de l’ex­ter­na­li­sa­ti­on à un sous-trai­tant dans un nuage – une que­sti­on qui se pose éga­le­ment dans la Rap­port sur le cloud public de l’ad­mi­ni­stra­ti­on fédé­ra­le n’a pas été posée). 

La BK pour­su­it son action sur les Exi­gen­ces de la CyRV qui exi­ge, ent­re aut­res, le respect de la pro­tec­tion de base et une ana­ly­se des beso­ins de pro­tec­tion et, le cas échéant – mais pas ici, car il n’y a pas de beso­in de pro­tec­tion accru – un con­cept ISDS (cf. art. 14b ss. CyRV ; tant que celui-ci n’est pas enco­re rem­pla­cé par la LSI ou l’or­don­nan­ce sur la sécu­ri­té de l’in­for­ma­ti­on OSI ; pro­ba­blem­ent en vigueur le 1er avril 2023).

Du point de vue de la pro­tec­tion des don­nées, il est pos­si­ble de con­clu­re avec Micro­soft une con­ven­ti­on de con­fi­den­tia­li­té. Accord sur le trai­te­ment des com­man­des de con­clu­re. En ce qui con­cer­ne le trai­te­ment des Méta­don­nées Micro­soft est cer­tes un responsable, mais il se situe dans le cad­re de l’art. 57h LOGA. En out­re, Micro­soft pré­sen­te régu­liè­re­ment des rap­ports d’au­dit (audits de tiers) que l’ad­mi­ni­stra­ti­on fédé­ra­le exami­ne de son côté.

En réfé­rence à la Pro­tec­tion des secrets l’ana­ly­se reflè­te le résul­tat désor­mais lar­ge­ment reconnu :

Le trai­te­ment des com­man­des par le four­nis­seur d’u­ne solu­ti­on en nuage est éga­le­ment auto­ri­sé pour les don­nées cou­ver­tes par le secret de fonc­tion, le secret com­mer­cial ou le secret pro­fes­si­on­nel ou l’ob­li­ga­ti­on de dis­cré­ti­on pro­fes­si­on­nel­le, pour autant que les obli­ga­ti­ons de secret et de dis­cré­ti­on ne soi­ent pas décri­tes de maniè­re plus stric­te dans des lois spé­cia­les et que l’ex­ter­na­li­sa­ti­on à des tiers soit exclue. […] 

Avec la révi­si­on de l’ar­tic­le 320 CP, les auxi­li­ai­res sont désor­mais éga­le­ment sanc­tion­nés par le droit pénal. Com­me les four­nis­seurs de pre­sta­ti­ons TIC exter­nes sont qua­li­fi­és de tels, la trans­mis­si­on d’in­for­ma­ti­ons à des per­son­nes trai­tant des don­nées sur man­dat est autorisée.

Pour les Annon­ce à l’étran­ger indi­que le rapport :

Il y aura pas de don­nées sur des systè­mes situés en dehors de la Sui­s­se ou de l’U­ni­on euro­pé­en­ne Même une pan­ne du ser­vice d’an­nu­ai­re (Azu­re AD) n’au­ra pas lieu sur un ser­veur exté­ri­eur. Cela vaut éga­le­ment pour les don­nées de fac­tu­ra­ti­on et d’as­si­stance (mises en œuvre jus­qu’à fin 2022). Les don­nées ne seront trans­mi­ses aux États-Unis que de maniè­re anony­me et limi­tée dans le temps, à des fins d’ana­ly­se de sécu­ri­té. Con­for­mé­ment aux mesu­res EU Boun­da­ry de Micro­soft, Micro­soft éta­bl­i­ra au début de l’an­née pro­chai­ne une liste des don­nées qui seront transmises. […] 

Si un cloud ou un ser­vice cloud est exploi­té par une ent­re­pri­se ayant des points de réfé­rence aux États-Unis, quels que soi­ent son siè­ge, ses sites de ser­ve­urs ou le lieu d’ob­ten­ti­on de la solu­ti­on cloud, il exi­ste éga­le­ment un ris­que que cel­le-ci Don­nées cli­ents trans­mi­ses aux auto­ri­tés amé­ri­cai­nes de pour­suite péna­le sur la base du CLOUD Act même si cela enfreint le droit sui­s­se (art. 271, 320 CP). Il faut tou­te­fois que ces don­nées soi­ent en rap­port avec un crime. […] 

Out­re le US Cloud Act, le Loi sur la sur­veil­lan­ce du rens­eig­ne­ment exté­ri­eur (FISA) est important. Cel­le-ci régit l’e­spion­na­ge par les ser­vices secrets amé­ri­cains. Il ne dev­rait tou­te­fois pas peser plus lourd dans l’éva­lua­ti­on des ris­ques que le ris­que géné­ral d’e­spion­na­ge par les ser­vices de renseignement.

En rai­son du par­ta­ge des responsa­bi­li­tés il appar­tient aux dépar­te­ments et aux unités admi­ni­stra­ti­ves d’éva­luer au cas par cas le ris­que de com­mu­ni­ca­ti­on de don­nées aux Etats-Unis sur la base de leurs don­nées. La pré­sen­te ana­ly­se des bases juri­di­ques atti­re l’at­ten­ti­on de maniè­re géné­ra­le sur le ris­que exi­stant. La direc­ti­ve d’uti­li­sa­ti­on E 03135 défi­nit quel­les don­nées peu­vent être trai­tées dans le nuage et les­quel­les ne le peu­vent pas. […] 

L’ad­mi­ni­stra­ti­on fédé­ra­le trans­met les don­nées à Micro­soft dans l’UE (Irlan­de)Les don­nées sont trai­tées dans un pays qui off­re un niveau de pro­tec­tion des don­nées adé­quat, con­for­mé­ment à la liste des pays, sur la base des clau­ses con­trac­tu­el­les stan­dard et en pré­cisant que la LPD sui­s­se s’ap­pli­que éga­le­ment. Con­for­mé­ment aux mesu­res fron­tiè­res de l’UE, tou­tes les don­nées sont con­ser­vées dans des cen­tres de don­nées UE/CH. […]

Il con­vi­ent éga­le­ment de respec­ter – au sein de l’ad­mi­ni­stra­ti­on cen­tra­le – les dis­po­si­ti­ons de la VDTI et le AIBM.