Dans une réponse à une question du député MODEM Philippe Latombe, le ministère de l'Education nationale confirme la fin du déploiement des offres Microsoft Office 365 et Google Workspace à titre gratuit au sein des établissements scolaires. L'application de cette décision incombe néanmoins aux collectivités locales disposant des compétences en la matière.La DINUM estime que Microsoft 365 n'est pas conforme à la stratégie « Cloud au centre » de l'État français
L'année dernière, dans une circulaire relative à la doctrine d’utilisation du cloud computing par l’État adressée aux secrétaires généraux des ministères, Nadi Bou Hanna, Directeur interministériel du numérique, a estimé qu'Office 365 (comprendre Microsoft 365) n'est pas conforme à la directive « Cloud au centre ». Pour mémoire, avec cette doctrine, le cloud devient dorénavant le mode d’hébergement et de production par défaut des services numériques de l’État français, pour tout nouveau produit numérique et pour les produits connaissant une évolution substantielle. Une conclusion plutôt logique étant donné que, bien que les services Microsoft 365 sont opérés sur des datacenters Microsoft situés en France, ils ne sont pas immunisés contre les réglementations extracommunautaires.
La stratégie « Cloud au Centre » encourage donc toutes les administrations à migrer vers le cloud mais en précise le contexte ; ce cloud peut être un « cloud interne » maîtrisé par l’État pour les applications sensibles et les données à diffusion restreinte, ou encore un « cloud de confiance » (cloud certifié SecNumCloud et opéré par une entité européenne). Bien entendu, les offres cloud génériques des hyperscalers ne sont pas interdites mais leur usage est restreint « à l’hébergement de données non sensibles et aux services non essentiels au fonctionnement des administrations… ».
L’Éducation nationale française rappelle qu’en matière de suites collaboratives, les offres d’Office 365 et de Google Éducation ne sont pas adéquates
Philippe Latombe, député MODEM, a alerté le ministre de l'Éducation nationale et de la Jeunesse sur la gratuité d'Office 365 pour les élèves et les enseignants. En effet, comme l'annonce le site de Microsoft, « les élèves et les enseignants des établissements admissibles peuvent s'abonner gratuitement à Microsoft Office 365, qui intègre Word, Excel, PowerPoint, OneNote et maintenant Microsoft Teams, ainsi que de nombreux autres outils pour la classe ».
De prime abord, la proposition peut sembler attrayante puisqu'elle promet un seul lieu pour l'organisation, l'accès à tout moment, en tout lieu et à partir de n'importe quel appareil. Cependant, pour le député, cette offre gratuite s'apparente à une forme ultime de dumping et à de la concurrence déloyale. Il semble par ailleurs qu'aucun appel d'offres n'ait eu lieu. Il lui a demandé s'il peut lui indiquer ce qu'il compte faire face à de telles pratiques commerciales qui, si elles peuvent paraître séduisantes au consommateur, pénalisent fortement les autres acteurs économiques, posent un problème grave de souveraineté, en raison de la localisation des données personnelles sur un cloud américain et de l'extraterritorialité du droit américain et donnent aux très nombreux enseignants qui y sont hostiles l'impression d'une administration vendue à Microsoft.
Voici la réponse du ministère à ce sujet :
L'éditeur Microsoft a une politique mondiale pour l'éducation consistant à offrir gratuitement la version de base de sa suite collaborative en ligne. Le code de la commande publique prévoit que les contrats de la commande publique sont des contrats conclus à titre onéreux pour satisfaire les besoins de la personne publique en matière de travaux, de fournitures ou de services. Les offres gratuites de services sont donc, en principe, exclues du champ de la commande publique.
S'il est vraisemblable que la mise à disposition gratuite des établissements scolaires d'une suite bureautique vise à inciter un public qui aurait été accoutumé à l'utilisation de ces outils à souscrire par la suite à la version payante de son offre, cet avantage indirect n'est pas de nature, à lui seul, à regarder cette prestation comme présentant un caractère onéreux. Le ministère chargé de l'économie et des finances indiquait toutefois dans cette réponse ministérielle que « dans un souci de bonne administration et dans la mesure où de tels contrats peuvent avoir une incidence à terme sur la concurrence, les personnes publiques veilleront toutefois à circonscrire l'objet de ces contrats, à en limiter leur durée et, à ne pas octroyer d'exclusivité à l'opérateur économique afin de permettre à d'autres concurrents de bénéficier des gains notamment d'image en résultant. »
Par ailleurs, la circulaire du Premier ministre invite les différents ministres à s'assurer que les offres de cloud commercial auxquelles ont recours les organisations et les services publics placés sous son autorité soient immunisés contre toute réglementation extracommunautaire et bénéficient de la qualification SecNumCloud ou d'une qualification européenne équivalente. À cet égard, une note du directeur interministériel du numérique en date du 15 septembre 2021 précise que la suite collaborative Microsoft Office 365 n'était pas conforme à la doctrine « cloud au centre ».
La politique du Gouvernement s'inscrit dans la continuité de l'arrêt du 16 juillet 2020 dit « Schrems II » de la Cour de justice de l'Union européenne et de la position des autorités de contrôle des États membres. Dans un courrier du 27 mai 2021, la Commission nationale de l'informatique et des libertés (CNIL) a ainsi recommandé aux établissements d'enseignement supérieur, en l'absence de mesures supplémentaires susceptibles d'assurer un niveau de protection adéquat, de recourir à des suites collaboratives proposées par des prestataires exclusivement soumis au droit européen qui hébergent les données au sein de l'Union européenne et ne les transfèrent pas vers les États-Unis.
S'agissant de l'emploi de la solution Microsoft Office 365, le ministère de l'Éducation nationale et de la Jeunesse a informé en octobre 2021 les recteurs de région académique et d'académie de la doctrine « cloud au centre », de la position de la Dinum et de l'avis de la CNIL sur ce sujet.
Le ministère a ainsi demandé d'arrêter tout déploiement ou extension de cette solution ainsi que celle de Google, qui seraient contraires au RGPD. Il convient enfin de rappeler que le code de l'éducation prévoit que les collectivités territoriales de rattachement des établissements scolaires assurent « l'équipement et le fonctionnement » et qu'à ce titre, « l'acquisition et la maintenance des infrastructures et des équipements, dont les matériels informatiques et les logiciels prévus pour leur mise en service, nécessaires à l'enseignement et aux échanges entre les membres de la communauté éducative sont à [leur] charge ».
Les collectivités territoriales peuvent ainsi fournir des solutions d'environnement numérique de travail (ENT) aux établissements qui offrent des fonctionnalités de communication et de collaboration respectant les principes du RGPD et de souveraineté numérique, permettant ainsi de se passer des offres collaboratives états-uniennes non immunes au droit extraterritorial.
Une décision qui fait suite à des décisions similaires prises dans d'autres pays européens suite à l'invalidation du Privacy Shield
Pendant longtemps, l'Autorité danoise de protection des données s'est concentrée sur l'utilisation des Chromebooks et de Google Workspace (anciennement G Suite for Education) dans les municipalités. L'utilisation est répandue dans tout le pays, mais concrètement, l'Autorité de protection des données a eu une affaire en cours dans la municipalité de Helsingør.
Ainsi, l'Autorité de protection des données a pris une décision en septembre 2021, où la municipalité d'Helsingør a reçu l'ordre de procéder à une évaluation des risques du traitement des données personnelles par la municipalité à l'école primaire à l'aide de Chromebooks et Workspace. En juillet 2022, l'autorité danoise de protection des données a, sur la base de la documentation et de l'évaluation du risque pour les personnes concernées préparées par la municipalité d'Helsingør, établi que le traitement ne répond pas aux exigences du RGPD sur plusieurs points.
« La municipalité d'Helsingør a fait un travail formidable et compétent pour cartographier la manière dont les données personnelles sont utilisées à l'école primaire, mais cela met également en évidence les problèmes juridiques de protection des données qui peuvent être liés aux méthodes des grandes entreprises technologiques pour résoudre la tâche », a déclaré Allan Frank, spécialiste de la sécurité informatique et avocat à l'Autorité danoise de protection des données.
L'Autorité danoise de protection des données a constaté que la municipalité n'a évalué aucun risque concret lié à la construction du processeur de données. En outre, l'accord sur le traitement des données stipule que les informations peuvent être transférées vers des pays tiers dans des situations d'assistance sans le niveau de sécurité requis.
Cette décision fait suite à des décisions similaires des autorités néerlandaises et allemandes.
Pour être plus précis, il a été décidé que les écoles allemandes ne doivent pas utiliser les offres cloud telles qu'Office 365, G Suite et iCloud en raison de violations de la vie privée. Le commissaire de Hesse à la protection des données et à la liberté d'information a publié une déclaration selon laquelle, compte tenu du manque de transparence en matière de protection des données et de l'accès potentiel de tiers, aucune donnée personnelle d'écoliers allemands ne doit être stockée sur les serveurs de Microsoft, Google ou Apple en dehors de l'Allemagne.
Par ailleurs, les écoles et universités néerlandaises doivent cesser d'utiliser les services de messagerie et de cloud de Google en raison de problèmes de confidentialité. Selon l'Autorité néerlandaise des données personnelles, les établissements d'enseignement ne savent pas comment et où les données personnelles des élèves et des étudiants sont traitées et stockées. En conséquence, le traitement des informations serait « non licite ».
Sur la base des déclarations des organismes de protection de la vie privée danois, néerlandais et allemand, les écoles au Danemark, aux Pays-Bas et en Allemagne ne peuvent pas utiliser les services de messagerie ou de cloud de Google.
Alors que les déclarations des organismes de surveillance de la vie privée danois, néerlandais et allemand visent principalement à faire pression sur les entreprises technologiques américaines pour qu'elles adhèrent enfin aux réglementations européennes strictes en matière de confidentialité, il serait de loin préférable d'avoir une véritable alternative à Microsoft, Google et Apple.
Des alternatives européennes sont nécessaires
Les écoles européennes peuvent désormais attendre que les grandes entreprises technologiques américaines résolvent leurs problèmes de confidentialité. Ou elles peuvent commencer à chercher des alternatives européennes. Cette dernière solution aura un grand impact positif sur l'Europe et les Européens dans leur ensemble :
- le business technologique européen est renforcé et peut constituer une alternative aux grandes entreprises technologiques américaines ;
- les données des citoyens européens sont protégées conformément au RGPD ;
- les données sont stockées en Europe et aucun transfert de données n'a lieu.
Source : Assemblée nationale
Et vous ?
Que pensez-vous de la décision d'arrêter le déploiement des offres Microsoft Office 365 et Google Workspace à titre gratuit au sein des établissements scolaires ?Voir aussi :
Le ministre de l'Éducation et l'Assemblée nationale disent non à la priorité au logiciel libre pour l'enseignement scolaire Les écoles au Danemark, aux Pays-Bas et en Allemagne ne peuvent pas utiliser Gmail ou de cloud de Google en raison de problèmes de confidentialité 
Envoyé par ONTAYG
