L'autorité belge de protection des données a prononcé une réprimande à l'encontre de deux entités pour avoir utilisé l'application Microsoft Teams pour des entretiens de recrutement après l'arrêt Schrems II, sans avoir réalisé d'analyse d'impact sur les transferts de données vers les États-Unis. La décision qualifie les flux audio et vidéo, même non enregistrés, ainsi que les métadonnées techniques, de données à caractère personnel, et confirme que leur accessibilité par un fournisseur américain constitue un transfert au sens du RGPD.

Faits et contexte

L'autorité de protection des données (APD) belge a publié une décision prononçant une réprimande à l'encontre de Y1 et Y2 pour des manquements liés aux transferts de données vers les États-Unis dans le cadre de l'utilisation de l'application Microsoft Teams.

L'affaire trouve son origine dans la plainte d'un candidat ayant participé à des entretiens de recrutement organisés via Microsoft Teams en novembre 2020 et avril 2021, soit après l'invalidation du Bouclier de protection des données par l'arrêt Schrems II.

Motifs de la décision

• Obligation de garantir un niveau de protection adéquat pour les transferts de données hors de l'Espace Économique Européen (article 44 du RGPD et article 46 du RGPD) : L'autorité a d'abord écarté les arguments des défenderesses en qualifiant de données à caractère personnel les flux audio et vidéo des entretiens, ainsi que les données de diagnostic (identifiant, adresse IP), au motif que les responsables de traitement disposaient de moyens raisonnables pour identifier le plaignant. Elle a ensuite considéré que l'utilisation d'un sous-traitant américain (Microsoft) rendant les données accessibles depuis les États-Unis constituait un transfert vers un pays tiers, en application des critères des lignes directrices 05/2021 du Comité Européen de la Protection des Données (CEPD). L'autorité a conclu que, durant la période comprise entre l'arrêt Schrems II et l'adoption de la décision d'adéquation pour le Cadre de protection des données, les défenderesses n'avaient pas complété l'usage des clauses contractuelles types par une analyse d'impact sur les transferts (AIT) évaluant les risques liés à la législation américaine en matière de surveillance.
• Obligation de n'utiliser les dérogations pour les transferts qu'en l'absence d'autres garanties appropriées (article 49 du RGPD) : L'autorité a jugé que les défenderesses ne pouvaient se prévaloir d'aucune dérogation de l'article 49 pour justifier les transferts. Se référant aux lignes directrices 2/2018 du CEPD, elle a rappelé que ces dérogations ont un caractère strictement exceptionnel et ne sauraient s'appliquer à des transferts devenus structurels pour lesquels des mécanismes de l'article 46, tels que les clauses contractuelles types, étaient disponibles et d'ailleurs prévus dans leur contrat avec Microsoft.

Décision de l'autorité

En conséquence, l'autorité a prononcé une réprimande à l'encontre de Y1 et Y2.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet, en identifiant la société Microsoft, afin de sensibiliser les responsables de traitement aux risques associés à l'utilisation de cet outil pour les transferts de données vers les États-Unis.

Enseignements

Cette décision rappelle que :

• Les flux audio et vidéo d'une visioconférence, même non enregistrés, ainsi que les métadonnées techniques associées (identifiants, adresses IP), constituent des données à caractère personnel dont le traitement doit être conforme au RGPD.
• Le simple fait de rendre des données accessibles à un sous-traitant établi dans un pays tiers, même si les serveurs de stockage principaux sont situés en Europe, constitue un transfert de données soumis aux exigences du Chapitre V du RGPD.
• L'utilisation de clauses contractuelles types comme outil de transfert vers un pays ne faisant pas l'objet d'une décision d'adéquation impose au responsable du traitement de réaliser et de documenter sa propre analyse d'impact sur les transferts (AIT) afin de vérifier si le droit du pays tiers n'entrave pas l'efficacité des garanties offertes.