Suite à son enquête, le CEPD (le contrôleur européen de la protection des données) a constaté que la Commission européenne a enfreint plusieurs règles clés de protection des données lors de l'utilisation de Microsoft 365. Elle a enfreint plusieurs dispositions du règlement 2018/1725 (la loi de l'UE sur la protection des données pour les institutions, organes et organismes de l'UE), y compris celles relatives aux transferts de données à caractère personnel en dehors de l'UE et de l'Espace économique européen (EEE).

"En particulier, la Commission n'a pas prévu de garanties appropriées pour assurer que les données à caractère personnel transférées en dehors de l'UE/EEE bénéficient d'un niveau de protection essentiellement équivalent à celui garanti dans l'UE/EEE", explique le CEPD.

En outre, dans son contrat avec Microsoft, la Commission n'a pas suffisamment précisé quels types de données à caractère personnel doivent être collectés et pour quelles finalités explicites et spécifiées dans le cadre de l'utilisation de Microsoft 365. Les infractions commises par la Commission concernent également le traitement des données, y compris les transferts de données à caractère personnel, effectué en son nom.

"Le CEPD a donc décidé d'ordonner à la Commission, avec effet au 9 décembre 2024, de suspendre tous les flux de données résultant de son utilisation de Microsoft 365 vers Microsoft et vers ses affiliés et sous-traitants situés dans des pays en dehors de l'UE/EEE qui ne sont pas couverts par une décision d'adéquation".

source : AOF