La gouvernance Chromebook RGPD est devenue, malgré elle, l'un des cas d'école les plus documentés de la protection des données en milieu scolaire en Europe. Le débat est en effet souvent résumé à une formule simple : « le Danemark a interdit les Chromebook parce qu'ils ne sont pas conformes au RGPD ».

Cette formule est séduisante. Mais elle masque l'essentiel : ce n'est pas le Chromebook qui est en cause, c'est la capacité de la puissance publique à maîtriser les traitements de données qu'il permet. C'est d'ailleurs un sujet que je développe plus largement dans le Modèle GDN, mon cadre de gouvernance des dépendances numériques.

Ce qui s'est réellement passé

En juillet 2022, l'autorité danoise de protection des données (Datatilsynet) a bien interdit à la commune de Helsingør de traiter les données de ses élèves via les services Google. Il s'agissait d'une interdiction ferme, confirmée un mois plus tard.

Cependant, en janvier 2024, face à la généralisation du même dispositif dans 53 communes, l'autorité a changé de registre. Elle n'a pas prononcé une interdiction généralisée. Elle a plutôt émis une injonction de mise en conformité, laissant aux communes le temps de documenter, prouver, corriger. Les communes ont ainsi engagé les mesures demandées par le Datatilsynet sur les principaux points de l'injonction. Pour autant, l'autorité a souligné que des interrogations demeuraient, notamment sur la chaîne de sous-traitance de Google hors de l'Union européenne. Cette réserve rappelle donc combien il est difficile, pour un responsable de traitement, de démontrer une maîtrise complète d'un écosystème numérique complexe.

Trois décisions, trois logiques de contrôle différentes. Par conséquent, résumer tout cela à « le Danemark a interdit les Chromebook » fait perdre l'essentiel.

Gouvernance Chromebook RGPD : ce que l'autorité danoise reproche vraiment

Ce n'est pas le terminal. En effet, un Chromebook n'est qu'un support.

Ce que le Datatilsynet interroge, ce sont plutôt les traitements de données que ce support permet, et surtout la capacité des communes, en tant que responsables de traitement, à en garder la maîtrise. Les griefs retenus sont d'ailleurs précis :

• l'incapacité à documenter la base juridique des traitements
• l'absence de contrôle effectif sur les opérations du sous-traitant
• des transferts de données vers des pays tiers insuffisamment maîtrisés

Sur ce deuxième point, le Datatilsynet est même allé jusqu'à demander aux communes de démontrer précisément dans quels cas Google agissait comme sous-traitant et dans quels cas il pouvait être considéré comme responsable de traitement ou responsable conjoint. Cette exigence révèle donc surtout une difficulté majeure : les communes n'étaient plus en mesure de démontrer avec certitude qui décidait de quoi concernant les données de leurs élèves.

L'utilisation de certaines données pour améliorer les services de Google a beaucoup retenu l'attention. Pourtant, ce n'est pas le cœur de la décision.

La vraie leçon

Ce que le Datatilsynet documente, décision après décision, c'est en réalité une perte de maîtrise du responsable de traitement face à son sous-traitant. Les communes ne savaient pas précisément ce qui était fait de leurs données, et n'avaient donc pas les moyens de le vérifier.

Cette distinction (responsable de traitement qui pilote, fournisseur qui exécute) dépasse largement le cas Google. Elle préfigure ainsi les questions que devront résoudre les administrations avec l'arrivée des assistants d'IA générative : qui définit les finalités ? quelles données sont réutilisées ? qui garde réellement la maîtrise des traitements ?

Les bonnes questions à poser

Le débat ne devrait donc pas être : « Chromebook ou PC ? »

Il devrait plutôt être :

• Qui définit les finalités des traitements de données ?
• Qui contrôle réellement ce que fait le sous-traitant ?
• Qui garantit la réversibilité des solutions retenues ?
• Qui assume les dépendances numériques créées par ces choix ?

C'est précisément là, en définitive, que la gouvernance devient un enjeu stratégique.

Ce que cela change pour les DSI

Pendant longtemps, les DSI ont choisi des technologies. Aujourd'hui, en revanche, ils arbitrent des dépendances numériques et doivent être capables d'en justifier les conséquences. C'est d'ailleurs ce que je détaille dans mon article sur le capital de maîtrise.

Le RGPD ne désigne pas les « bons » ou les « mauvais » fournisseurs. Il rappelle simplement qu'un responsable public demeure responsable des traitements qu'il confie à un tiers.

Cette affaire ne condamne donc pas un produit. Elle rappelle qu'aucune innovation ne dispense un responsable public de démontrer qu'il maîtrise les traitements de données qu'il met en œuvre.

Enfin, la leçon dépasse largement le cas des Chromebook : une dépendance numérique ne devient jamais un problème du jour au lendemain. Elle se construit progressivement, à travers des choix techniques, contractuels et organisationnels. Ce cas danois restera ainsi l'un des exemples les plus complets de gouvernance Chromebook RGPD appliquée à l'échelle d'un pays tout entier, et c'est pourquoi il relève avant tout de la gouvernance.

---