En juillet 2022, l'Autorité de Protection des Données personnelles (APD) danoise ordonnait à deux communes (en charge de l'éducation) de cesser leur utilisation des Chromebooks et de G Suite for Education / Google Workplace for Education.

Injonction levée en septembre 2022 alors que les problèmes ne sont pas corrigés, mais comme les communes reconnaissent leurs torts et ont identifié les problèmes, tout va bien. Dommage, car ça donne le sentiment que les infractions au RGPD ne sont pas si grave que ça, après tout.

Notes :

• Au final, ce qui est le plus reproché par l'APD, c'est de ne pas avoir suffisamment identifié et atténué les risques (passage en prod' trop rapide, avec désinvolture, quoi), de ne pas avoir documenté sa (non-)conformité. Les mésusages potentiels des données personnelles par Google (marketing, surveillance des États-Unis, etc.) sont secondaires dans sa décision ;
  
  
• Les données personnelles sont stockées dans l'UE mais sont accessibles à Google lors d'une prise en main à distance dans le cadre d'une demande d'assistance, d'après les communes… Tout le temps (FISA) d'après l'APD. Rien de neuf, mais rappel salutaire ;
  
  
• Là encore, les responsables du traitement (les communes) récitent les belles promesses de Google : d'après les statistiques publiées par Google (quid de ce qu'elle ne comptabilise pas ?), cette dernière reçoit très peu de demandes des autorités ricaines portant sur des Européens, Google préviendra de toute demande des autorités ricaines (et les gag orders, c'est-à-dire les interdictions de divulguer avoir reçu une demande, alors ?), Google restreindra chaque demande excessive (bien sûûûûr, elle a que ça à faire), c'est un citoyen des États-Unis qui assistera les Européens et lui n'est pas soumis à FISA (ses données à lui ne sont pas soumises à FISA, rien change pour les données des clients, et il peut "choisir", sous contrainte, de divulguer leurs données, cf. le mémorandum d'un cabinet d'avocats ricain commandité par le ministère de la justice des Pays-Bas, et l'APD rétorque que, de toute façon, FISA s'applique en dehors des créneaux d'assistance, cf. point 2 ci-dessus), etc.

Bref, ça gamberge bien pour sauver la mise aux GAFAM.

Via https://twitter.com/bayartb/status/1568286800296173568.