Le Danemark interdit effectivement les services de Google dans les écoles, après que les responsables de la municipalité de Helsingør aient été l’année dernière ordonné pour effectuer une évaluation des risques liés au traitement des données personnelles par Google.
Dans un verdict publié la semaine dernière, l’agence danoise de protection des données, Datatilsynet, a révélé que le traitement des données impliquant des étudiants utilisant Suite logicielle Workspace basée sur le cloud de Google — qui comprend Gmail, Google Docs, Agenda et Google Drive — « ne répond pas aux exigences » de l’ Réglementation RGPD de l’Union européenne en matière de confidentialité des données.
Plus précisément, l’autorité a conclu que l’accord de traitement des données – ou les conditions générales de Google – permettent apparemment que les données soient transférées vers d’autres pays dans le but de fournir une assistance, même si les données sont généralement stockées dans l’un des centres de données de Google dans l’UE.
Les ordinateurs portables Chromebook de Google, et par extension Google Workspace, sont utilisés dans les écoles à travers le Danemark. Mais Datatilsynet s’est concentré spécifiquement sur Helsingør pour l’évaluation des risques après que la municipalité a signalé une « violation de la sécurité des données personnelles » en 2020. Bien que cette dernière décision ne s’applique techniquement qu’aux écoles de Helsingør pour l’instant, Datatilsynet note que bon nombre des conclusions auxquelles elle est parvenue « s’appliqueront probablement à d’autres municipalités » qui utilisent Google Chromebooks et Workspace. Elle a ajouté qu’elle s’attendait à ce que ces autres municipalités « prennent les mesures appropriées » à la suite de la décision qu’elle a prise à Helsingør.
L’interdiction entre en vigueur immédiatement, mais Helsingør a jusqu’au 3 août pour supprimer les données des utilisateurs.
Flux de données
Au cœur de la question est le défunt Bouclier de protection des données UE-États-Unis qui réglementait la manière dont les données peuvent être partagées entre l’UE et les États-Unis. Alors qu’un nouvel accord de flux de données a fait l’objet d’un accord de principe, il n’est pas encore en vigueur, ce qui a laissé de nombreuses organisations dans l’incertitude. Par conséquent, les grandes entreprises technologiques s’appuient sur des clauses contractuelles types pour leurs pratiques de traitement des données.
Un porte-parole de Google a déclaré à TechCrunch:
Nous savons que les élèves et les écoles s’attendent à ce que la technologie qu’ils utilisent soit conforme à la loi, responsable et sûre. C’est pourquoi, pendant des années, Google a investi dans les meilleures pratiques en matière de confidentialité et dans des évaluations diligentes des risques, et a rendu notre documentation largement disponible afin que tout le monde puisse voir comment nous aidons les organisations à se conformer au RGPD.
Les écoles possèdent leurs propres données. Nous ne traitons leurs données que conformément à nos contrats avec eux. Dans Workspace for Education, les données des étudiants ne sont jamais utilisées à des fins publicitaires ou commerciales. Des organisations indépendantes ont audité nos services et nous surveillons constamment nos pratiques afin de maintenir les normes de sécurité et de conformité les plus élevées possibles.
Cette dernière annonce intervient après les organismes locaux de surveillance des données en France, Italieet Autriche a statué que les sites Web utilisant Google Analytics pour suivre les visiteurs enfreignaient les règles européennes en matière de confidentialité des données, étant donné que les données personnelles sont transférées aux États-Unis pour traitement. Et la Commission irlandaise de protection des données (DPC), quant à elle, est réfléchit actuellement à la façon dont la société mère de Facebook, Meta transfère des données entre l’Europe et les États-Unis, ce qui pourrait avoir un impact sur la façon dont les Européens peuvent accéder à des services tels que WhatsApp et Instagram.
Avec les législateurs européens désireux d’établir un plus grand degré de souveraineté numérique, Google a renforcé sa plate-forme et son infrastructure pour aider à garantir que les organisations publiques et privées restent avec l’entreprise. Il y a quelques mois, Google a annoncé qu’il déploierait de nouveaux « contrôles souverains » pour les utilisateurs de Workspace en Europe, leur permettant de « contrôler, limiter et surveiller les transferts de données vers et depuis l’UE ».
Cependant, ces contrôles ne seront pas disponibles avant la fin de l’année, avec des outils de contrôle de données supplémentaires arrivant tout au long de 2023. Et il n’est toujours pas clair à ce stade précoce si ces nouveaux outils seront étanches en termes de conformité au RGPD.
