Microsoft a annoncé jeudi commencer à déployer la première phase de son plan de délimitation des données dans l’Union européenne à partir du 1er janvier 2023. De quoi permettre aux clients français et européens de Microsoft de stocker et de traiter leurs données au sein de l’UE. Microsoft nomme cette solution « EU Data Boundary ».
Cette annonce intervient deux jours après que la Commission européenne ait déclaré avoir officiellement entamé le processus d’approbation du framework de protection des données entre l’UE et les États-Unis (EU-U.S. Data Privacy Framework).
Le lancement du « EU Data Boundary » de Microsoft et le framework de protection des données entre l’UE et les États-Unis sont intimement liés.
Les services de renseignement américains devront
démontrer nécessité et proportionnalité
Dans le cadre de la première phase du plan, les entreprises qui utilisent les produits et services de Microsoft pourront stocker et traiter les données de leurs clients au sein de l’UE. Microsoft a inclus Azure, Power BI, Dynamics 365 et Office 365 dans la première phase.
« Avec cette version, Microsoft élargit les engagements existants en matière de stockage et de traitement locaux, réduisant considérablement les flux de données hors d’Europe et s’appuyant sur nos solutions de pointe en matière de résidence des données », a déclaré Julie Brill, vice-présidente d’entreprise chez Microsoft, dans un billet de blog.
Microsoft avait annoncé son intention de lancer le plan de délimitation de l’UE en mars dernier, à peu près au même moment où les États-Unis et l’UE avaient signé le Trans-Atlantic Data Policy Framework. Cet accord de principe UE-USA sur le transfert de données personnelles a été signé le 25 mars 2022. Il encadre les transferts de données hors de l’UE.
Tout comme les actions des services de renseignement américains, qui devront démontrer que les activités de surveillance électronique sur des données d’européens sont nécessaires et proportionnées à la poursuite d’objectifs de sécurité nationale définis en amont.
Le poids de Shrems II
Cet accord est une conséquence de l’évolution de la jurisprudence, notamment la décision « Schrems II » de la CJUE du 16 juillet 2020. Cette décision a invalidé le Privacy Shield.
Ce framework a été signé alors que les grandes entreprises opérant dans l’UE s’inquiétaient de voir les données de leurs clients circuler hors des frontières européennes. Et ce du fait de la mise en place du Règlement général sur la protection des données (RGPD), introduit en 2018.
Ces entreprises voient leur risque juridique augmenter, principalement en raison des lois américaines sur la surveillance des données, qui pourraient bafouer les normes du RGPD.
Microsoft assure par ailleurs contester toute demande de transfert de données de la part des autorités qui ne s’alignerait pas sur le EU-U.S. Data Privacy Framework.
Microsoft a ouvert des centres de données dans plus de 17 régions de centres de données en Europe pour soutenir cette initiative. « Au cours des deux dernières années, nous avons réalisé des investissements dépassant 12 milliards de dollars, ce qui fait de Microsoft l’une des plus grandes sources d’investissement en capital dans l’avenir numérique de l’Europe » indique aussi la société.
A noter que la solution EU Data Boundary est aussi disponible pour les pays de l’Association européenne de libre-échange (AELE), à savoir l’Islande, le Liechtenstein, la Norvège et la Suisse.