La France et l’UE face aux enjeux de souveraineté des données

Si la protection des données semble être au cœur des débats, il ne faut pas oublier que ces règlementations ont aussi pour vocation d’encadrer l’activité économique des différents acteurs du marché de part et d’autre de l’Atlantique. L’Europe et la France sont face à un enjeu majeur : comment créer un contexte juridique favorable au développement d’acteurs européens face aux GAFAM et autres BATX (Acteurs économiques en Chine : Baidu, Alibaba, Tencent et Xiaomi) ? Pour illustrer les enjeux liés à cette bataille juridique, retrouvez ci-dessous l’interview du Président français Emmanuel Macron par Niklas Zennström le 9 décembre dernier.

La situation en Europe et aux Etats-Unis

Pour commencer, il est important de faire un rappel sur la différence de perception des données entre l’Europe et les Etats-Unis. 
En Europe, les données des citoyens sont perçues comme étant privées et personnelles. Elles entrent dans la sphère individuelle et intime de l’utilisateur. Aux Etats-Unis, la donnée est tout aussi importante, mais lorsqu’elle est stockée par une entreprise américaine, elle en devient un actif. Les données détiennent une valeur économique. 
Ainsi, la législation concernant l’utilisation et le stockage des données est différente entre l’Europe et les Etats-Unis. En découlent alors les conflits d’intérêts déjà existants.

Réglementations en vigueur

Il existe diverses réglementations en vigueur afin d’encadrer l’utilisation des données, que ce soit aux Etats-Unis ou en Europe. 

Aux Etats-Unis 

Aux Etats-Unis, le Patriot Act et le Cloud Act définissent le pouvoir qu’ont les entreprises et le gouvernement sur les données des Américains. 

Le Patriot Act 

Dans un premier temps, la loi Patriot Act a été élaborée le 26 octobre 2001 avec des dispositions rendues permanentes en 2005. Le Patriot Act permet aux agences gouvernementales américaines d’accéder aux données et informations personnelles des personnes ciblées dans le cadre d’une investigation. Cette loi est donc sortie en urgence après les attentats du 11 septembre 2001, afin de permettre au gouvernement d’avoir une meilleure connaissance des échanges opérés sur le sol américain. Néanmoins, les enquêtes sont classées confidentielles et secrètes. Les personnes concernées par l’enquête ne seront donc pas notifiées. Elles seront informées à posteriori pour ne pas entraver la récupération des informations. Cela signifie donc que toutes les entreprises implantées aux Etats-Unis, quelle que soit leur nationalité, sont soumises au Cloud Act et au Patriot Act. Il en va de même pour les entreprises américaines détenant des datacenters implantés sur le territoire étranger. 

Cloud Act : “Clarifying Lawful Overseas Use of Data Act” 

Dans la continuité du Patriot Act, le Cloud Act est une loi votée en mars 2018 à cause d’un litige entre Microsoft et le gouvernement américain. Cette loi permet aux Etats-Unis d’accéder plus facilement à des données provenant de serveurs situés hors des Etats-Unis. L’Europe ne peut donc pas intervenir sur le sujet. Ce texte de clarification précise que le gouvernement américain peut saisir, sur simple demande et sans besoin de justification, n’importe quelle donnée en se connectant sur la plateforme de la société américaine en question, même si elle n’est pas localisée sur le territoire américain. Le Cloud Act va alors poser problème aux entreprises qui travaillent avec des hébergeurs américains. Si ces hébergeurs détiennent des serveurs en Europe, ils resteront alors soumis à la législation américaine. Pour les citoyens et les entreprises de l’Union Européenne, il y a donc un danger de fuite de données sensibles, malgré l’entrée en vigueur du RGPD le 25 mai 2018.

En Europe

 L’Union Européenne souhaite renforcer la protection des données de ses citoyens face aux entreprises. C’est pour cette raison que le RGPD et le Privacy Shield ont vu le jour. 

Le RGPD 

Le Règlement Général sur la Protection des Données (RGPD ou en anglais General Data Protection Regulation GDPR) est un texte de référence européen en matière de protection des données privées. Il a été appliqué le 25 mai 2018 dans l’ensemble des 28 états membres de l’Union Européenne. Ce règlement a pour but de renforcer les droits des personnes, avec la création d’un droit à la portabilité des données personnelles, de responsabiliser les acteurs traitant les données, et de crédibiliser la régulation par une coopération renforcée entre les autorités de protection des données et par le renforcement des sanctions.

Le Privacy Shield 

Afin de construire un rempart face au Patriot Act et au Cloud Act, l’Union Européenne a décidé de créer le Privacy Shield. Plus général, il a été créé comme bouclier pour protéger les données et pour qu’elles ne soient pas utilisées dans les pays étrangers. 

Il représente un intermédiaire entre la réglementation européenne et la règlementation américaine. Le Privacy Shield est un texte censé garantir la confidentialité des données et le respect du RGPD par les Etats-Unis. Le Patriot Act et le Cloud Act permettent à l’état américain de saisir des données et de les utiliser selon ses conditions. 

Néanmoins, le Privacy Shield était censé garantir une limite à cette liberté de saisie, afin d’empêcher le stockage et l’exploitation des données à l’extérieur du territoire européen. Ce texte a été annulé au cours de l’été 2020 par la Cour de Justice de l’Union Européenne (CJUE) car les Etats-Unis ont souhaité y apporter des amendements, qui ont été refusées par l’Europe. Sans accord, le Privacy Shield a pour conséquent été invalidé. L’Europe et les Etats-Unis travaillent donc sur un nouveau texte, mais qui mettra plusieurs années avant de voir le jour. Ainsi, sans Privacy Shield, ce sont aujourd’hui le Patriot Act et le Cloud Act qui s’appliquent. 

Pourquoi le Privacy Shield a été annulé ? 

• 1ère raison : Le juge européen en charge a affirmé que la politique de surveillance des Etats-Unis n’est pas conforme avec le RGPD en vigueur dans l’Union-Européenne.

• 2ème raison : La Cour exprime que « les citoyens européens n’ont pas de recours effectifs aux Etats-Unis », impliquant qu’ils ne sont pas maîtres de leur propres données personnelles et que le transfert de données aux Etats-Unis comporte, par conséquent, trop de risques. 

L’arrêt Schrems II 

Le 16 juillet 2020, la Cour de justice de l’UE (CJUE) a rendu un arrêt, appelé Schrems II, qui conteste les processus de transfert des données entre l’Union Européenne et les Etats-Unis. Le problème qui a été évoqué est que les Etats-Unis ne sont pas en mesure de garantir une protection des données à la hauteur du RGPD. Selon cet arrêt, les Etats-Unis ne sont donc pas un pays « adéquat » car le niveau de protection des données n’est pas égal à celui de l’Union Européenne. 

Le Privacy Shield avait pourtant été créé pour équilibrer cette inégalité de protection entre le système juridique américain et européen. Néanmoins, il a été annulé par cet arrêt car il ne permettait pas non plus de garantir une adéquation de protection. 

L’exemple du Health Data Hub 

Une organisation qui décide de stocker ses données personnelles chez un hébergeur de type GAFAM doit le faire en pleine connaissance de cause et accepter les contraintes, souvent contraires au RGPD. En France, la CNIL (Commission Nationale de l’Informatique et des Libertés) a rendu un avis dans lequel elle recommande de ne pas stocker ses données sensibles sur des plateformes soumises au droit étasunien. C’est donc ce qu’on appelle le principe de précaution qui s’applique, avec comme exemple le Health Data Hub devenu caduc suite à l’invalidation du Privacy Shield.

Le Health Data Hub est une base de données de santé lancée le 1er décembre 2019 par le Président Emmanuel Macron. Elle est dédiée à la collecte, l’exploitation et le stockage de données de santé de patients afin de favoriser la recherche et le développement de l’intelligence artificielle dans le domaine.

Les données sont actuellement hébergées par Microsoft. La CNIL (Commission Nationale de l’Informatique et des Libertés) a exigé que Microsoft soit retiré du programme. Pourquoi ? Parce que Microsoft est une entreprise américaine ayant le droit de transférer les données collectées par le Health Data Hub aux Etats-Unis, alors même que Microsoft dispose d’un siège et de serveurs dans l’Union-Européenne. Cette plateforme est censée être conforme avec une certification HDS. Néanmoins, le directeur lui-même a avoué que la conséquence d’une possible panne serait la collecte de toutes les données des patients à des fins de maintenance. A cela s’ajoute le Patriot Act et le Cloud Act qui prévalent sur la confidentialité des données, puisque Microsoft est une entreprise américaine.

La CNIL a donc décidé de protéger les données des citoyens européens.

L’objectif, dorénavant, est de transférer le Health Data Hub à un hébergeur français ou européen situé dans l’Union-Européenne pour ne plus être soumis à la législation américaine. Le Health Data Hub est un bon exemple du principe de précaution, qui stipule que puisque l’hébergeur en question ne peut pas garantir la confidentialité des données, il n’est pas bénéfique de les stocker chez celui-ci. Ce sujet est d’autant plus sensible qu’il concerne des données personnelles et confidentielles. Pour plus de détails, vous pouvez consulter le site Internet du Health Data Hub.

Quelles alternatives ?

L’hébergement local

Ainsi, en l’absence de réglementation, il est aujourd’hui plus que nécessaire pour les entreprises d’évaluer les risques liés à l’hébergement de leurs données dans le cloud.

En attente d’un équivalent au Privacy Shield, la CNIL préconise le principe de précaution qui conseille d’éviter de stocker ses données chez des hébergeurs américains et de privilégier bien entendu la collaboration avec des acteurs français du cloud. Dans le même esprit, il est possible d’héberger ses données auprès des entreprises de droit européen, qui disposent d’une forme juridique universelle au sein de l’Union Européenne.

Le projet GAIA-X 

GAIA-X est un projet résultant d’une collaboration franco-allemande. La France et l’Allemagne ambitionnent de créer un cloud européen souverain. 

En réalité, le projet a pour but d’établir des règles et un encadrement commun pour les entreprises. A terme, la France et l’Allemagne souhaitent collaborer entre pays européens et non européens avec une infrastructure cloud commune. 

Le fonctionnement est simple : les entreprises qui font partie du projet doivent déclarer la localisation de leurs datacenters et des données stockées, les règlementations auxquelles elles sont soumises : RGPD, Cloud Act, etc. Ensuite, il relève de la responsabilité du client de choisir quelle entreprise est la plus adéquate pour lui, en fonction de ses critères.

Presque 1 an après sa création, le projet GAIA-X se concrétise peu à peu. La première réunion du conseil d’administration devrait se dérouler en juin 2021. Pour en savoir plus sur les prochaines étapes du projet GAIA-X, nous vous recommandons de lire cet article du Ministère de l’Economie des Finances et de la Relance. To be continued… 

Nous vous tiendrons au courant de la suite des actualités concernant les discussions politiques à ce sujet. En attendant, n’hésitez pas à nous contacter pour la mise en place de votre hébergement souverain.