Ce n’est pas nouveau, ils le disent ouvertement depuis longtemps, on a même déjà légiféré sur cette impossibilité de garantir la protection des données au niveau européen (la fin du Privacy Shield). Ce qui est nouveau c’est que c’est devant le sénat français.

En 2019 j’ai basculé le run d’une très grosse entreprise d’AWS vers Azure, les ingés Microsoft qui nous aidaient devaient délimiter la protection des données qu’ils pouvaient garantir (pour que l’entreprise garde sa certification ISO 27001), une des garanties impossibles de leur part était que les données des clients soient protégées du gouvernement américain, vu qu’ils ont leur loi CLOUD Act à respecter.

En théorie ça ressemble à une brèche du RGPD, mais entre temps il y a eu l’arrêt Schrems II côté UE qui dit comment rendre ça RGPD compatible : c’est aux entreprises de chiffrer toutes les données considérées “sensibles” qui sont stockées dans un cloud. Comme ça, même si les USA mettent leur nez dedans, ils n’en tireront que des données impossibles à exploiter. Donc on part du principe que les clouds américains sont incompatibles avec l’Europe… mais qu’on peut s’adapter à leur usage, et qu’il y a donc une compatibilité possible.

Bien entendu, ce n’est pas fait par la majorité des entreprises, ne serait-ce que parce que l’impact du chiffrage sur les performances des recherches parmi les données sensibles serait lourd, or le business de beaucoup d’entreprises inclut l’exploitation des données sensibles qu’elles ont sous la main (rappel que chaque info que vous donnez à une entrerpise va être exploitée). Par expérience de la façon de fonctionner dans le monde de la tech, trouver une façon de faire semblant de respecter le RGPD (par ex. une pseudonymisation foireuse) est plus attirant que de trouver une façon de chiffrer les données sensibles tout en conservant la performance lors de leur exploitation. Donc l’illégalité sera généralement préférée pour faire des économies d’efforts. Les amendes ne sont pas assez élevées pour dissuader (elles le sont en théorie mais jamais en pratique).

TL;DR: Ça fait longtemps que les données sensibles sont impossibles à protéger quand un cloud américain est utilisé.

Pas des amis, pas des partenaires. Des ennemis.

J’en parlais hier à un des commerciaux à mon boulot et j’avais pas remis la main sur un article, je vais m’empresser de lui montrer de ce pas !

Ce qui me choque un peu avec le chmilblik :

• ça fait un mois que l’audition a été diffusée
• si Microsoft se retire, le hub de santé est dead de chez dead (évidemment c’est du propriétaire)