Protection des données: la campagne de Microsoft

Xavier Studer

il y a 5 heures

Microsoft a lancé une vaste offensive en Suisse et en Europe pour développer ses affaires et rassurer sur son engagement en matière de protection des données. Nous n’avons pas pu résister à mettre sur le gril la puissante firme américaine, qui nous a répondu en anglais, de manière très engagée!

En début de semaine, j’ai reçu un communiqué de presse du puissant éditeur de logiciel expliquant que Satya Nadella, CEO de Microsoft, a annoncé les prochaines étapes de son engagement numérique en Europe — en introduisant de nouvelles offres visant à renforcer la souveraineté numérique des organisations à travers l’Europe. Il s’exprimait à l’occasion de l’AI Tour à Amsterdam.

Modèle souverain de Microsoft?

«Microsoft s’engage en faveur d’un modèle de souveraineté numérique qui permet aux individus et institutions d’agir de manière indépendante, sécurisée et autonome. Les capacités présentées aujourd’hui étendent cette souveraineté à toutes les organisations européennes utilisant le cloud public, tout en offrant de nouvelles options pour exécuter les services Microsoft dans des environnements cloud privés souverains», a indiqué le géant.

Pour y voir plus clair, j’ai demandé une analyse à l’intelligence artificielle (IA) Perplexity, réputée pour ses performances. Elle est reproduite ci-dessous. En bref, «Les solutions souveraines de Microsoft représentent une amélioration significative en termes de contrôle et de transparence pour les organisations européennes. Cependant, elles ne permettent pas de contourner complètement l’extraterritorialité du droit américain».

La réponse de Redmond

J’ai donc envoyé l’analyse ci-dessous à Microsoft Suisse en demandant à l’entreprise de se positionner par rapport à celle-ci et en posant les questions suivantes: «Très concrètement: imaginons une demande du gouvernement américain d’accéder à des données d’une entreprise suisse active dans l’armement. Allez-vous: 1) informer cette entreprise 2) livrer ces données? 3) Quelle est l’interprétation de Microsoft suisse?» En italique, la «réponse»:

«Microsoft is deeply committed to protecting our customers’ data and ensuring their privacy. We have implemented robust measures to safeguard data and to ensure we comply with applicable laws when responding to the requests from law enforcement. We disclose customer data only when legally compelled to do so. Our Defending Your Data protection further reinforces our dedication with a commitment to challenge every government request for public sector or enterprise customer data – from any government – where there is a lawful basis for doing so.»

«We have a proven track record of successfully challenging government demands in the courts when those demands are inconsistent with the rule of law and have gone as far as suing the US government and taking the case to our United States Supreme Court to protect customer data.»

«Information about our data practices can be found in the Microsoft Privacy Statement: Microsoft Privacy Statement – Microsoft privacy and in our transparency reports on Government Requests for data. A Microsoft spokesperson».

Prenez vos responsabilités!

Mon commentaire? Le texte de Microsoft, même s’il ne répond pas clairement aux questions, semble plutôt rassurant. Cela dit, la réputation de l’entreprise et sa position aux Etats-Unis incite actuellement nombre d’organisations à se tourner vers d’autres solutions, comme les logiciels libres, avec certes des avantages, mais aussi des inconvénients.

En effet, même si Microsoft rime souvent avec bugs, manque d’ergonomie et d’utilisabilité, cette société propose une solution bureautique universellement utilisée en entreprise, puisque la plupart des utilisateurs ont été formés sur des produits de Redmond! Je ne trancherai pas dans ce vaste débat. Toutefois, lorsqu’on constate l’instabilité politique actuelle, il convient probablement de se poser quelques questions…

Xavier Studer

En italique, l’«analyse» de Perpelxity relative à Microsoft Sovereign Cloud, le Patriot Act et le Cloud Act?

L’annonce de Microsoft concernant ses solutions souveraines pour l’Europe soulève une question fondamentale: ces offres permettent-elles réellement de s’affranchir de l’extraterritorialité du droit américain, notamment du Patriot Act et du Cloud Act? L’analyse révèle une réalité nuancée qui mérite un examen approfondi.

Le cadre juridique américain: une portée extraterritoriale extensive

Le Patriot Act et ses implications

Le USA Patriot Act, adopté en 2001 après les attentats du 11 septembre, renforce les pouvoirs des agences de renseignement américaines en matière de surveillance électronique et d’accès aux données personnelles 1 2. Cette loi permet notamment aux autorités américaines d’accéder à des informations personnelles, telles que les dossiers médicaux, financiers ou scolaires, sans notification préalable à la personne concernée 2.

Le Cloud Act: une extension de la juridiction américaine

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act), adopté en mars 2018, va encore plus loin en permettant aux autorités américaines d’accéder aux données stockées par des entreprises américaines, quel que soit le lieu de stockage physique des données 3 4. Cette loi oblige les fournisseurs de services américains à remettre des données aux autorités américaines «indépendamment du fait que cette communication, enregistrement, ou d’autres informations sont situées à l’intérieur ou à l’extérieur des États-Unis» 5.

Les limites des solutions souveraines de Microsoft

Persistance de la juridiction américaine

Malgré les garanties proposées par Microsoft Sovereign Cloud, plusieurs experts soulignent que l’entreprise reste soumise au droit américain 6 7. Frank Karlitschek, CEO de Nextcloud, précise que «le Cloud Act accorde aux autorités américaines l’accès aux données cloud hébergées par des entreprises américaines. Peu importe que ces données soient situées aux États-Unis, en Europe ou ailleurs» 6.

Les mesures de Microsoft: des améliorations mais pas une immunité

Les nouvelles fonctionnalités annoncées par Microsoft apportent certes des améliorations significatives:

Data Guardian garantit que seul le personnel Microsoft résidant en Europe contrôle l’accès à distance aux systèmes européens 89
External Key Management permet aux clients de connecter Azure à leurs propres modules de sécurité matérielle (HSM) 89
Microsoft 365 Local propose des services de productivité fonctionnant entièrement dans les centres de données des clients 89

Cependant, ces mesures ne modifient pas le statut juridique fondamental de Microsoft en tant qu’entreprise américaine soumise aux lois américaines 6 10.

Les alternatives nationales: une approche différente

Le modèle français avec Bleu

En France, l’approche diffère avec Bleu, coentreprise entre Orange et Capgemini, qui vise à obtenir la qualification SecNumCloud de l’ANSSI 11 12. Cette solution repose sur une entité juridique française indépendante, bien qu’utilisant la technologie Microsoft 13.

Le modèle allemand avec Delos Cloud

En Allemagne, Delos Cloud, filiale de SAP, opère selon un principe similaire avec des infrastructures «physiquement séparées» de Microsoft et la capacité d’opérer en «autosuffisance» en cas de crise 14 15.

L’analyse juridique: des protections relatives

Les limites de l’extraterritorialité

Selon les experts juridiques, l’extraterritorialité du droit américain s’applique principalement aux entreprises ayant une présence aux États-Unis 16 17. Les autorités américaines peuvent contraindre toute entreprise établie aux États-Unis à fournir des données en sa «possession, garde ou contrôle», indépendamment de leur localisation 16.

Les mécanismes de résistance

Le Cloud Act prévoit certains mécanismes permettant aux entreprises de contester les demandes d’accès, notamment lorsque cela violerait les lois locales de protection des données 3 17. Cependant, ces protections restent limitées et dépendent largement de la bonne volonté des tribunaux américains.

Conclusion: une protection partielle mais non absolue

Les solutions souveraines de Microsoft représentent une amélioration significative en termes de contrôle et de transparence pour les organisations européennes 89. Elles offrent des garanties opérationnelles importantes, notamment concernant l’accès par le personnel et la localisation des données.

Cependant, elles ne permettent pas de contourner complètement l’extraterritorialité du droit américain 6 7. Microsoft reste une entreprise américaine soumise aux lois américaines, et les autorités américaines conservent théoriquement la possibilité d’exiger l’accès aux données via des procédures légales.

Pour une véritable indépendance juridique, les solutions comme Bleu en France ou Delos Cloud en Allemagne, opérées par des entités nationales indépendantes, semblent offrir une meilleure protection, même si l’indépendance technologique reste relative 14 7. Le choix entre ces différentes approches dépendra ultimement du niveau de risque acceptable pour chaque organisation et de l’importance accordée à la souveraineté numérique.

En italique, l’«analyse» de Perpelxity relative à Microsoft Sovereign Cloud, le Patriot Act et le Cloud Act?

Partagez!