Le cadre contractuel permet également à Microsoft de communiquer les données de ses clients à des tiers , de façon plus large que ce qui est prévu par le RGPD , potentiellement en violation de cette règlementation . La liste des pays de destination des données n'est d'ailleurs pas exhaustive . Même si cela n'est pas toujours possible en pratique , il serait donc à conseiller aux entreprises utilisatrices des services Microsoft 365 de négocier les termes du contrat en matière de protection des données , afin de remédier à ces lacunes . Des transferts de données aux Etats-Unis inévitables Le cadre contractuel , qui demeure non-exhaustif quant aux pays vers lesquels les données personnelles sont transférées , prévoit toutefois la possibilité , pour Microsoft , de transférer des données à caractère personnel vers les Etats-Unis , en utilisant les clauses contractuelles types . Selon les constatations du groupe de travail , il n'est pas possible d'utiliser Microsoft 365 sans transférer de données personnelles vers les Etats-Unis . Par ailleurs , dans le cadre de ce transfert , les données personnelles sont lisibles par le destinataire , de sorte que ce transfert ne serait pas conforme aux exigences de l'arrêt Schrems II . Vers une régularisation des transferts de données vers les Etats-Unis ? Les griefs faits à Microsoft , par les autorités allemandes , concernant les transferts de données sont à mettre en perspective avec les dernières déclarations de la Commission européenne . Précisons , en effet , que les opérations de collecte de données personnelles par les autorités américaines , dont le caractère généralisé avait motivé la décision Schrems II de 2020 , ont été soumises , par décret présidentiel américain du 7 octobre 2022 , à des conditions de proportionnalité et de nécessité . Au lendemain de ce décret , et sur la base de celui-ci , la Commission européenne a annoncé travailler sur une décision d'adéquation qui permettra d'assurer la conformité des transferts de données personnelles vers les Etats-Unis , à l'image , en leur temps , des décisions " Privacy Shield " et " Safe Harbor " . Cette décision a été rédigée et publiée le 13 décembre 2022 , et soumise au CEPD ( le groupement des CNIL européennes ) pour avis .