Règlement sur les services numériques (DSA)

Les clients dont le principal établissement se situe en Europe, au Moyen-Orient ou en Afrique (collectivement, la région EMEA) bénéficient de services dans le cadre de contrats conclus avec F5 Networks, Ltd. F5 Networks, dont le siège social se trouve au Royaume-Uni et qui est constituée conformément au droit britannique, est le centre des activités de F5 dans la région EMEA. Les autorités de l’UE et de la Suisse ont reconnu que la législation britannique assure la protection des données à caractère personnel et satisfait pleinement aux exigences du chapitre V du RGPD et de la législation suisse équivalente.

Les clients dont le siège social se trouve dans la région Asie-Pacifique (APAC) concluent un contrat avec F5 Networks Singapore Pte Ltd. à Singapour. Tous les autres clients (y compris ceux dont le siège social se trouve en Amérique du Nord) concluent un contrat avec F5, Inc. aux États-Unis. Pour tous les services F5, l’Avenant relatif à la protection des données (DPA), complété par les Conditions spécifiques aux services, comprend les clauses contractuelles types et les dispositions applicables à tous les transferts vers F5 auxquels la législation s’applique. Ces clauses contractuelles types sont accompagnées de l’avenant relatif aux transferts internationaux de données publié par le gouvernement britannique pour les transferts depuis le Royaume-Uni, ainsi que des dispositions supplémentaires publiées par le Préposé fédéral suisse à la protection des données et à la transparence pour les transferts depuis la Suisse. Pour les services concernés, F5 dispose également d’une certification au titre du cadre de protection des données UE–États-Unis, de l’extension britannique du cadre de protection des données UE–États-Unis et du cadre de protection des données Suisse–États-Unis.

Oui. Pour les services concernés, F5 dispose d’une certification au titre du cadre de protection des données UE–États-Unis, de l’extension britannique au cadre de protection des données UE–États-Unis et du cadre de protection des données Suisse–États-Unis.

Non. Ces deux dispositions légales américaines, qui étaient au cœur de l’arrêt Schrems II, n’ont aucune incidence sur F5. En tout état de cause, à la suite des améliorations apportées au droit américain après l’arrêt Schrems II, la Commission européenne a conclu, dans sa Décision d’exécution du 10 juillet 2023 prise conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil et constatant le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE–États-Unis, que les préoccupations antérieures concernant ces dispositions avaient été levées. Le Comité européen de la protection des données (CEPD) a analysé la décision de la Commission européenne et a indiqué (dans sa Note d’information sur les transferts de données au titre du RGPD vers les États-Unis après l’adoption de la décision d’adéquation le 10 juillet 2023) que « toutes les garanties mises en place par le gouvernement américain dans le domaine de la sécurité nationale (y compris le mécanisme de recours) s’appliquent à toutes les données transférées vers les États-Unis, quel que soit l’outil de transfert utilisé » (c’est-à-dire que les données soient transférées vers les États-Unis au moyen du cadre de protection des données, des clauses contractuelles types ou d’un autre outil de transfert).

F5 n’a jamais reçu de demande d’accès à des données ni aucune autre forme de directive au titre de l’article 702 de la FISA. De nombreux services de F5 ne sont pas du type de ceux susceptibles de faire l’objet d’une directive au titre de l’article 702 de la FISA. En outre, pour la quasi-totalité des clients des services de F5, F5 ne traite pas le type de données susceptibles de faire l’objet d’une telle directive, laquelle concerne les données relatives à la prolifération des armes de destruction massive, aux projets d’attaque des États-Unis par des puissances étrangères, aux renseignements sur les activités clandestines d’espions étrangers ou à d’autres « informations relevant du renseignement extérieur » au sens de la FISA.

F5 ne peut pas non plus recevoir d’injonction de communiquer des données clients au titre de l’EO 12333, car il n’existe pas d’injonction fondée sur l’EO 12333. L’EO 12333 attribue certaines responsabilités au sein de la communauté du renseignement des États-Unis, mais n’impose aucune obligation au secteur privé. F5 chiffre les données en transit et met en œuvre des mesures de sécurité supplémentaires afin de se prémunir contre les activités d’interception théoriques qui préoccupaient la Cour dans l’affaire « Schrems II » avant la décision d’adéquation de la Commission européenne de 2023 évoquée ci-dessus.

Le CLOUD Act n’a pas conféré au gouvernement américain de nouveaux pouvoirs lui permettant d’exiger des données auprès des entreprises exerçant des activités aux États-Unis. Le gouvernement américain n’émet pas d’« injonctions au titre du CLOUD Act » et F5 n’en a jamais reçu. Le CLOUD Act a précisé que, lorsque le gouvernement américain suit la procédure juridique existante appropriée (par exemple, en obtenant une ordonnance d’un juge d’un tribunal fédéral de district) afin d’enjoindre à une entreprise de fournir des données précises qui sont en sa possession, sous sa garde ou sous son contrôle, la localisation de ces données ne peut pas servir de fondement à l’entreprise pour contester l’ordonnance (bien qu’un conflit avec les lois en vigueur dans le lieu concerné puisse toujours le permettre). Le CLOUD Act était déjà en vigueur avant la décision Schrems II. À la suite de la décision Schrems II, les États-Unis ont apporté diverses améliorations à leurs règles et pratiques relatives à l’accès des pouvoirs publics aux données. La Commission européenne a ensuite évalué ces améliorations et conclu que le droit américain applicable aux demandes de données émanant du gouvernement américain assurait désormais un niveau de protection adéquat au sens du RGPD. Voir la Décision d’exécution du 10 juillet 2023 prise en application du règlement (UE) 2016/679 du Parlement européen et du Conseil constatant le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE–États-Unis. Le Comité européen de la protection des données (CEPD) a analysé cette décision et indiqué (dans sa Note d’information sur les transferts de données vers les États-Unis au titre du RGPD après l’adoption de la décision d’adéquation le 10 juillet 2023) que « toutes les garanties mises en place par le gouvernement américain dans le domaine de la sécurité nationale (y compris le mécanisme de recours) s’appliquent à toutes les données transférées vers les États-Unis, quel que soit l’outil de transfert utilisé » (c’est-à-dire que les données soient transférées vers les États-Unis au moyen du cadre de protection des données, des clauses contractuelles types ou d’un autre outil de transfert).

Compte tenu de la nature des relations de F5 avec ses clients et du volume limité de données que F5 traite pour leur compte (lesquelles sont généralement chiffrées), de telles demandes sont extrêmement rares. La politique de F5 concernant toute demande d’accès aux données d’un client consiste à : (i) en informer rapidement le client, si la loi le permet, puis à coopérer avec lui afin d’y répondre ; ou (ii) si la loi interdit d’en informer le client, tenter de renvoyer l’autorité requérante vers celui-ci. Si ces démarches ne permettent pas de résoudre la situation, F5 évalue la légalité de la demande et la conteste par tous les moyens raisonnables (notamment en faisant appel), y compris en examinant si le fait d’y donner suite enfreindrait le RGPD ou toute autre législation applicable. Au cours de cette procédure, F5 demande la suspension des effets de la demande jusqu’à ce que l’autorité judiciaire compétente se soit prononcée sur le fond, y compris à l’issue de toute procédure d’appel. Dans une telle situation, F5 ne divulgue aucune donnée tant qu’elle n’y est pas tenue en vertu des règles de procédure applicables. Si cette obligation devait finalement s’imposer, F5 ne divulguerait que le minimum de données nécessaire pour se conformer aux éléments subsistants de la demande initiale.

Chaque contrat client relatif aux services de F5 (l’« End User Services Agreement (EUSA) ») comprend des Service-Specific Terms qui intègrent et complètent l’Data Protection Addendum (DPA) de F5, lequel inclut les clauses contractuelles types ainsi que les dispositions supplémentaires pertinentes pour les transferts soumis au droit britannique ou suisse. Dans certains cas, le client et F5 peuvent avoir conclu un autre contrat intégrant ces mêmes garanties, tel qu’un contrat portant sur des services d’assistance F5 spécifiques. Les clients peuvent également consulter https://www.dataprivacyframework.gov/list, qui indique que F5 est certifiée au titre du cadre de protection des données UE–États-Unis, de l’extension britannique du cadre de protection des données UE–États-Unis et du cadre de protection des données Suisse–États-Unis.

Pour les transferts vers des entités F5 situées dans des « pays tiers », y compris le Royaume-Uni, F5 et ses clients s’appuient sur l’Addendum relatif au transfert international de données aux clauses contractuelles types de la Commission européenne, disponible sur le site web de l’autorité britannique chargée de la protection des données (Information Commissioner) et intégré par référence à l’accord sur le traitement des données (DPA) de F5 pour les transferts concernés régis par le droit britannique. En outre, pour certains services, F5 est certifiée au titre de l’extension britannique du cadre de protection des données UE–États-Unis.