- Le Conseil d’État a confirmé l’hébergement aux Pays-Bas et a considéré que le texte du contrat offrait des garanties suffisantes contre les transferts de routine de données vers les États-Unis.
- Le tribunal a souligné que les obligations de divulgation ne concernaient que le droit de l’UE/des États membres ; Microsoft doit signaler les incompatibilités avec le RGPD.
- La décision se concentre sur les risques concrets des personnes concernées plutôt que sur les droits abstraits des fournisseurs locaux, mais laisse plusieurs questions en suspens.
La plus haute juridiction administrative française (le Conseil d’État) s’est déjà prononcée le 13 octobre 2020 – en référé – sur un contrat avec Microsoft portant sur l’hébergement de données de santé sur MS Azure pour la plateforme “Hub de données sur la santé” s’est exprimé. Le Health Data Hub est une institution publique pour l’échange de données de santé à des fins de recherche. En avril 2020, la plateforme avait conclu à cet effet un contrat d’hébergement avec Microsoft Irlande. Des associations, des syndicats et des personnes individuelles en France ont par la suite demandé d’interdire à la plateforme “Health Data Hub” de traiter des données de santé, car il y avait un risque de transfert de données personnelles vers les États-Unis ; selon le Arrêt Schrems II de la CJCE n’offre pas un niveau adéquat de protection des données.
Le site Le Conseil d’État a rejeté le recours (une traduction automatique de la décision en allemand se trouve sur ici en PDF). Les considérations suivantes ont été déterminantes à cet égard :
- En tant que site de serveurs, les Pays-Bas ont été convenus.
- L’accord entre Microsoft et la plateforme prévoyait que Microsoft fournisse des données sur les clients pas sans consentement en dehors du site du serveur (“Geos”), même pour la maintenance ou l’assistance. Le Conseil d’État a donc supposé que les données des clients en régime de croisière, pas aux États-Unis de l’Union européenne.
- En ce qui concerne le risque résiduel, que l’on ne peut écarter, que Microsoft devienne tout de même la première entreprise à utiliser la technologie de l’Internet. Transmission de données clients aux autorités américaines Une partie du contrat obligeait apparemment Microsoft à se conformer au RGPD, notamment à l’article 28 du RGPD relatif au traitement des données. Microsoft se réservait toutefois le droit de transmettre des données en cas d’obligation légale. Le Conseil d’État a déclaré à ce sujet qu’il ne pouvait s’agir que du droit de l’UE ou d’un État membre [article 28, paragraphe 3, point a) du RGPD]. En outre, Microsoft doit informer si le droit applicable à Microsoft est incompatible avec le RGPD.
- Le Conseil d’État constate en outre que le dans l’arrêt Schrems II, la CJCE n’a examiné que la question du transfert de données vers les États-Unis et non les conditions dans lesquelles les données peuvent être traitées sur le territoire de l’UE. Ainsi, selon le Conseil d’État, la jurisprudence Schems II ne semble pas s’appliquer aux traitements pour lesquels les données sont stockées at rest sur le territoire de l’UE.
- De plus, le Conseil d’État laisse entendre que ce n’est pas le stockage chez Microsoft qui serait éventuellement contraire au RGPD, mais éventuellement une divulgation hypothétique future par Microsoft.
- Enfin, les données de la plate-forme auraient été transmises avant crypté Stockage dans l’infrastructure de Microsoft pseudonymisé.
Dans ce contexte – mais aussi compte tenu de l’intérêt public de la plateforme – le Conseil d’État n’a pas vu de raison d’ordonner la cessation immédiate du traitement des données par la plateforme. Il exige toutefois que la plateforme et Microsoft précisent que le droit sur la base duquel Microsoft pourrait éventuellement fournir des données clients ne peut être que le droit de l’UE ou des États membres.
Au final, la décision du Conseil d’État est utile, mais laisse de nombreuses questions en suspens. Néanmoins, la décision peut être lue comme une indication que lors de la transmission de données personnelles à l’étranger ce ne sont pas les risques abstraits découlant du droit local du fournisseur qui doivent être évalués, mais les risques concrets pour la personne concernée. Cela ne correspond pas à l’approche adoptée par l’EDSA dans son Projet de prise de position sur les mesures Schrems IIL’article 5, paragraphe 1, de la directive sur la protection des données, qui met davantage l’accent sur le droit local du destinataire que sur les risques qui peuvent en résulter pour les personnes concernées par le transfert concret, prévoit que le transfert de données à caractère personnel ne peut être effectué que par des personnes physiques.