RGPD et Microsoft 365 : les points de contrôle concrets
Utiliser Microsoft 365 ne rend pas une organisation conforme au RGPD, et ne la rend pas non plus non conforme. Microsoft agit comme sous-traitant pour l'essentiel des services ; le responsable de traitement reste l'organisation, qui doit configurer et documenter son usage. Voici les points que nous examinons, au croisement de la sécurité et de la protection des données.
Le cadre contractuel
L'article 28 du RGPD exige un contrat encadrant la sous-traitance. Pour Microsoft 365, il s'agit de l'addendum relatif à la protection des données (DPA) des produits et services Microsoft, intégré aux conditions des produits. Il décrit les engagements de Microsoft en tant que sous-traitant, les mesures de sécurité, le recours à des sous-traitants ultérieurs et les mécanismes de transfert. Le délégué à la protection des données doit en connaître la version applicable et l'avoir référencée dans le registre des traitements, avec chaque usage de Microsoft 365 qui implique des données personnelles.
Localisation des données et transferts
La frontière des données de l'UE (EU Data Boundary) vise à stocker et traiter dans l'Union européenne et l'AELE les données client et une partie des données pseudonymisées des principaux services cloud de Microsoft. Elle a été déployée par phases, et certains flux restent hors de son périmètre, notamment pour l'assistance ou la sécurité ; consultez la documentation actuelle pour connaître les exceptions. La localisation de stockage du locataire se vérifie dans le centre d'administration.
Lorsque des transferts hors UE subsistent, le DPA s'appuie sur des mécanismes comme les clauses contractuelles types, et Microsoft est par ailleurs certifié dans le cadre de protection des données UE–États-Unis. Ce cadre peut être remis en cause devant les juridictions : l'analyse des transferts doit être documentée et revue lorsque le contexte juridique évolue.
Les demandes des personnes concernées
Droit d'accès (article 15), droit à l'effacement (article 17) : répondre à ces demandes suppose de retrouver les données d'une personne dans les boîtes aux lettres, OneDrive, SharePoint et Teams. Les outils de recherche et d'eDiscovery de Microsoft Purview le permettent, et Microsoft Priva propose un module dédié aux demandes de droits ; vérifiez les licences actuellement requises. Il faut surtout une procédure : qui reçoit la demande, qui recherche, qui valide le périmètre, comment la réponse est transmise, et dans quel délai.
Effacement et conservation. Une stratégie de conservation ou une conservation légale empêche la suppression définitive des contenus concernés. C'est souvent voulu, mais cela doit être cohérent avec les durées de conservation annoncées dans le registre. Documentez les cas où une obligation légale de conservation prime sur la demande d'effacement.
Minimisation et durées de conservation
Le principe de limitation de la conservation se traduit dans Microsoft 365 par des stratégies de conservation et de suppression. Dans la plupart des locataires que nous auditons, rien n'est configuré : tout est conservé indéfiniment, y compris les comptes et boîtes aux lettres d'anciens collaborateurs. Points à traiter : durée de conservation des courriers et des conversations Teams, sort des OneDrive des personnes parties, suppression des boîtes aux lettres partagées obsolètes, nettoyage des sites SharePoint abandonnés.
La confidentialité est l'autre face du sujet. Des données personnelles sensibles (dossiers RH, données de santé, pièces d'identité) se retrouvent régulièrement dans des sites ou des dossiers partagés trop largement : liens « toute personne disposant du lien », groupes « tout le monde sauf les utilisateurs externes », invités jamais retirés. Les étiquettes de confidentialité et les stratégies DLP de Purview permettent de repérer et de protéger ces contenus, mais elles supposent d'avoir d'abord identifié où se trouvent les données concernées. Les rapports de partage de SharePoint sont un bon point de départ pour mesurer l'exposition réelle.
Sécurité et traçabilité des accès
L'article 32 impose des mesures de sécurité appropriées, et l'article 33 une notification des violations à l'autorité de contrôle, en principe dans les 72 heures. Sans journaux, impossible de déterminer quelles données ont été consultées lors d'une compromission de compte. À vérifier : activation du journal d'audit unifié et de l'audit des boîtes aux lettres, durée de conservation des journaux selon les licences, capacité à identifier les éléments consultés par un compte compromis, et accès des administrateurs aux contenus des utilisateurs (rôles eDiscovery, délégations de boîte aux lettres, Customer Lockbox pour les accès des ingénieurs Microsoft). Les nouveaux usages, comme Microsoft 365 Copilot, qui exploite les droits d'accès existants, justifient souvent une analyse d'impact.
Ce qu'un audit vérifie
- La référence au DPA en vigueur et l'inscription des usages Microsoft 365 au registre des traitements.
- La localisation des données du locataire, le périmètre de la frontière des données de l'UE et l'analyse des transferts.
- La procédure de traitement des demandes de droits et les outils mobilisés.
- Les stratégies de conservation et le traitement des données des personnes parties.
- La journalisation des accès, les droits des administrateurs sur les contenus et la capacité à qualifier une violation.