Règlement sur les marchés numériques (DMA)
Le règlement (UE) 2022/1925, mieux connu sous le nom de règlement sur les marchés numériques (Digital Markets Act), vise à garantir une concurrence équitable dans le secteur numérique. À cette fin, les entreprises désignées comme « contrôleurs d’accès » par la Commission européenne sont soumises, au-delà des règles générales de concurrence, à des obligations particulières visant à assurer l’interopérabilité avec les services tiers et à éviter tout « enfermement propriétaire ».
F5 n’a pas été désignée comme contrôleur d’accès par la Commission européenne et ne prévoit pas de l’être dans un avenir prévisible. Bien que F5 fournisse un « service de plateforme essentiel » dans le cadre de ses offres de cloud computing, nous n’atteignons pas les seuils de chiffre d’affaires et d’utilisateurs requis pour être considérés comme un contrôleur d’accès, et nous ne jouissons pas non plus d’une « position solide et durable » sur le marché des services de cloud computing. Par conséquent, les obligations renforcées imposées aux contrôleurs d’accès au titre du DMA ne s’appliquent pas à F5.
Les clients dont le principal établissement se situe en Europe, au Moyen-Orient ou en Afrique (collectivement, la région EMEA) bénéficient de services dans le cadre de contrats conclus avec F5 Networks, Ltd. F5 Networks, dont le siège social se trouve au Royaume-Uni et qui est constituée conformément au droit britannique, est le centre des activités de F5 dans la région EMEA. Les autorités de l’UE et de la Suisse ont reconnu que la législation britannique assure la protection des données à caractère personnel et satisfait pleinement aux exigences du chapitre V du RGPD et de la législation suisse équivalente.
Les clients dont le siège social se situe dans la région Asie-Pacifique (APAC) concluent un contrat avec F5 Networks Singapore Pte Ltd. à Singapour. Tous les autres clients (y compris ceux dont le siège social se situe en Amérique du Nord) concluent un contrat avec F5, Inc. aux États-Unis. Pour tous les services F5, l’avenant relatif à la protection des données (DPA), complété par les conditions propres à chaque service, comprend les clauses contractuelles types et les dispositions applicables à tous les transferts vers F5 auxquels la législation s’applique. Ces clauses contractuelles types sont accompagnées de l’avenant relatif aux transferts internationaux de données publié par le gouvernement britannique pour les transferts depuis le Royaume-Uni, ainsi que des dispositions supplémentaires publiées par le Préposé fédéral suisse à la protection des données et à la transparence pour les transferts depuis la Suisse. Pour les services concernés, F5 dispose également d’une certification au titre du cadre de protection des données UE–États-Unis, de l’extension britannique du cadre de protection des données UE–États-Unis et du cadre de protection des données Suisse–États-Unis.
Oui. Pour les services concernés, F5 dispose d’une certification au titre du cadre de protection des données UE–États-Unis, de l’extension britannique du cadre de protection des données UE–États-Unis et du cadre de protection des données Suisse–États-Unis.
Non. Ces deux dispositions légales américaines, qui étaient au cœur de l’arrêt Schrems II, n’ont aucune incidence sur F5. En tout état de cause, compte tenu des améliorations apportées au droit américain à la suite de l’arrêt Schrems II, la Commission européenne a conclu, dans sa décision d’exécution du 10 juillet 2023 prise en application du règlement (UE) 2016/679 du Parlement européen et du Conseil et relative au niveau adéquat de protection des données à caractère personnel assuré par le cadre de protection des données UE–États-Unis, que les préoccupations antérieures concernant ces dispositions avaient été levées. Le Comité européen de la protection des données (CEPD) a analysé la décision de la Commission européenne et indiqué, dans sa note d’information sur les transferts de données vers les États-Unis au titre du RGPD après l’adoption de la décision d’adéquation le 10 juillet 2023, que « toutes les garanties mises en place par le gouvernement américain dans le domaine de la sécurité nationale (y compris le mécanisme de recours) s’appliquent à toutes les données transférées vers les États-Unis, quel que soit l’outil de transfert utilisé » (c’est-à-dire que les données soient transférées vers les États-Unis au moyen du cadre de protection des données, des clauses contractuelles types ou d’un autre outil de transfert).
F5 n’a jamais reçu de demande d’accès à des données ni aucune autre forme de directive au titre de l’article 702 de la FISA. De nombreux services F5 ne sont pas du type de ceux susceptibles d’être visés par une directive fondée sur l’article 702 de la FISA. En outre, pour la quasi-totalité des clients des services F5, F5 ne traite pas le type de données susceptible d’être visé par une telle directive, laquelle s’applique aux données relatives à la prolifération des armes de destruction massive, aux projets d’attaque de puissances étrangères contre les États-Unis, aux renseignements concernant les activités clandestines d’espions étrangers ou à d’autres « informations relevant du renseignement étranger » au sens de la FISA.
F5 ne peut pas non plus recevoir d’injonction de produire des données clients au titre de l’EO 12333, car il n’existe pas d’injonction fondée sur l’EO 12333. L’EO 12333 répartit certaines responsabilités au sein de la communauté du renseignement des États-Unis, mais n’impose aucune obligation au secteur privé. F5 chiffre les données en transit et applique des mesures de sécurité supplémentaires afin de se prémunir contre les activités théoriques d’interception qui avaient préoccupé la juridiction dans l’affaire Schrems II avant la décision d’adéquation de la Commission européenne de 2023 évoquée ci-dessus.
Le CLOUD Act n’a pas conféré au gouvernement américain de nouveaux pouvoirs lui permettant d’exiger des données auprès des entreprises exerçant des activités aux États-Unis. Le gouvernement américain n’émet pas d’« injonctions au titre du CLOUD Act » et F5 n’en a jamais reçu. Le CLOUD Act a précisé que, lorsque le gouvernement américain suit la procédure juridique existante appropriée (par exemple, en obtenant une ordonnance d’un juge d’un tribunal fédéral de district) afin d’enjoindre à une entreprise de fournir des données précises qui sont en sa possession, sous sa garde ou sous son contrôle, la localisation de ces données ne peut pas constituer le fondement d’une contestation de l’ordonnance par l’entreprise (bien qu’un conflit avec les lois en vigueur dans le lieu concerné puisse toujours le permettre). Le CLOUD Act est en vigueur depuis avant l’arrêt Schrems II de 2020. À la suite de cet arrêt, les États-Unis ont apporté diverses améliorations à leurs règles et pratiques relatives à l’accès des pouvoirs publics aux données. La Commission européenne a ensuite évalué ces améliorations et conclu que le droit américain applicable aux demandes de données émanant du gouvernement américain garantit désormais un niveau de protection adéquat au sens du RGPD. Voir la décision d’exécution du 10 juillet 2023 prise conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil et constatant le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE–États-Unis. Le Comité européen de la protection des données (CEPD) a analysé cette décision et indiqué (dans sa note d’information sur les transferts de données au titre du RGPD vers les États-Unis après l’adoption de la décision d’adéquation le 10 juillet 2023) que « toutes les garanties mises en place par le gouvernement américain dans le domaine de la sécurité nationale (y compris le mécanisme de recours) s’appliquent à toutes les données transférées vers les États-Unis, quel que soit l’outil de transfert utilisé » (c’est-à-dire que les données soient transférées vers les États-Unis au moyen du cadre de protection des données, de clauses contractuelles types ou d’un autre outil de transfert).
Compte tenu de la nature des relations de F5 avec ses clients et du volume limité de données — généralement chiffrées — que F5 traite pour leur compte, de telles demandes sont extrêmement rares. Face à toute demande de communication de données client, la politique de F5 consiste à (i) en informer rapidement le client si la loi le permet, puis à coopérer avec lui afin d’y répondre, ou (ii), s’il est illégal d’en informer le client, à tenter de rediriger l’autorité requérante vers celui-ci. Si ces démarches ne permettent pas de résoudre la situation, F5 évalue la légalité de la demande et la conteste par tous les moyens raisonnables, notamment en faisant appel, y compris lorsqu’y donner suite serait susceptible d’enfreindre le RGPD ou toute autre législation applicable. Au cours de cette procédure, F5 demande la suspension des effets de la demande jusqu’à ce que l’autorité judiciaire compétente se soit prononcée sur le fond, y compris à l’issue de toute procédure d’appel. Dans une telle situation, F5 ne divulgue aucune donnée tant qu’elle n’y est pas tenue en vertu des règles de procédure applicables. Si cette obligation devait finalement s’imposer, F5 ne divulguerait que le minimum de données nécessaire pour se conformer aux éléments subsistants de la demande initiale.
Chaque contrat client relatif aux services de F5 (le Contrat de services de l’utilisateur final, ou EUSA) comprend des Conditions spécifiques aux services qui intègrent et complètent l’Avenant de F5 relatif à la protection des données (DPA), lequel inclut les Clauses contractuelles types ainsi que les dispositions supplémentaires pertinentes pour les transferts soumis au droit britannique ou suisse. Dans certains cas, le client et F5 peuvent avoir conclu un autre contrat intégrant ces mêmes garanties, tel que le contrat portant sur certains services d’assistance de F5. Les clients peuvent également consulter https://www.dataprivacyframework.gov/list, qui indique que F5 est certifiée au titre du Cadre de protection des données UE–États-Unis, de l’extension britannique du Cadre de protection des données UE–États-Unis et du Cadre de protection des données Suisse–États-Unis.
Pour les transferts vers des entités F5 situées dans des « pays tiers », y compris le Royaume-Uni, F5 et ses clients s’appuient sur l’Addendum relatif au transfert international de données aux clauses contractuelles types de la Commission européenne, disponible sur le site web de l’autorité britannique chargée de la protection des données (Information Commissioner) et intégré par référence à l’accord de traitement des données (DPA) de F5 pour les transferts concernés régis par le droit britannique. En outre, pour certains services, F5 est certifiée au titre de l’extension britannique du cadre de protection des données UE–États-Unis.
