RGPD et Microsoft 365 en France : Avec la généralisation des services cloud, de nombreuses entreprises françaises adoptent Microsoft Office 365 pour ses capacités étendues de collaboration et de productivité. Cependant, le choix d’utiliser une version américaine plutôt qu’européenne entraîne d’importants risques de non-conformité au Règlement Général sur la Protection des Données (RGPD).
Pourquoi existe-t-il un risque avec une version américaine d’Office 365 ?
Le principal enjeu du RGPD réside dans la protection des données personnelles des citoyens européens. Le règlement exige que ces données bénéficient d’un niveau de sécurité et de confidentialité au moins équivalent à celui imposé par l’Union Européenne. En utilisant une version américaine d’Office 365, les données sont potentiellement hébergées aux États-Unis, où les lois locales telles que le CLOUD Act autorisent les autorités américaines à accéder aux données stockées par des fournisseurs de services américains, même lorsqu’elles concernent des citoyens européens.
Cette situation crée une incompatibilité majeure avec le RGPD, car les États-Unis ne bénéficient actuellement d’aucune décision d’adéquation de la part de la Commission européenne. Ainsi, les transferts de données outre-Atlantique sont considérés à haut risque sans mesures de protection complémentaires.
Pourquoi utiliser une version NAM ou LATAM ?
Le coût potentiellement inférieur
-
Certaines offres hors Europe peuvent être moins chères, en particulier aux États-Unis ou en Amérique latine, du fait d’un marché très concurrentiel ou d’une politique tarifaire adaptée à un pouvoir d’achat local différent.
-
Cependant, la différence tarifaire est généralement faible et ne compense pas toujours les risques liés à la non-conformité au RGPD.
Accès à certaines fonctionnalités en avant-première
-
Microsoft déploie parfois en priorité certaines nouvelles fonctionnalités ou services aux États-Unis avant d’autres régions. Les entreprises cherchant un avantage concurrentiel technologique peuvent être tentées par ces offres.
Besoins spécifiques d’intégration
-
Une entreprise française avec des filiales américaines pourrait préférer unifier tous ses services sous un même environnement pour simplifier l’administration informatique.
Contrats globaux ou accords-cadres
-
Les multinationales bénéficiant de contrats-cadres mondiaux négociés au niveau américain pourraient être incitées à utiliser une version unique à l’échelle mondiale pour simplifier la gestion et réduire les coûts globaux.
Risques majeurs liés au choix d’une version hors Europe :
Malgré ces avantages potentiels, le choix d’une version non-européenne expose clairement l’entreprise à des risques significatifs :
-
Non-conformité RGPD : risque juridique, financier (amendes pouvant atteindre jusqu’à 4 % du chiffre d’affaires annuel mondial) et d’image.
-
Accès aux données par des autorités étrangères : notamment via le CLOUD Act américain.
-
Difficulté à obtenir des certifications spécifiques européennes (HDS, SecNumCloud) nécessaires à certains secteurs sensibles (santé, finance, administration publique, etc.).
Les garanties de conformité RGPD fournies par Microsoft
Microsoft reconnaît ces défis et a mis en place plusieurs mesures pour assurer sa conformité RGPD en Europe. Selon le site officiel de Microsoft : « Microsoft s’engage à respecter pleinement les obligations RGPD pour tous ses services cloud, incluant Office 365, Azure et Dynamics 365. » (Source : https://www.microsoft.com/fr-fr/trust-center/privacy/gdpr-overview).
Lors de la certification RGPD des Sous-Traitants, vous allez avoir besoin de prouver que l’utilisation de microsoft est conforme au RGPD.
Parmi les mesures adoptées :
- Le chiffrement des données en transit et au repos.
- Des contrôles stricts d’accès et une traçabilité avancée.
- La transparence accrue concernant les requêtes d’accès aux données par des autorités publiques.
- Des évaluations régulières de conformité par des organismes indépendants.
Pour répondre spécifiquement au défi posé par le CLOUD Act, Microsoft a introduit la « EU Data Boundary », assurant que toutes les données personnelles des utilisateurs européens restent stockées exclusivement sur le territoire européen (source : https://www.microsoft.com/fr-fr/trust-center/privacy/data-location).
Microsoft France et la certification Hébergeur de Données de Santé (HDS)
En France, le stockage et le traitement des données de santé sont strictement régulés, nécessitant une certification spécifique : l’Hébergement des Données de Santé (HDS). Microsoft Azure offre la possibilité d’obtenir cette certification via ses datacenters français ou par le biais de partenaires certifiés. Cette certification implique des conditions particulières telles que :
- Respect d’exigences élevées en matière de sécurité physique et logique.
- Contrôles spécifiques relatifs aux données de santé, notamment la traçabilité des accès et l’intégrité des données.
Les services HDS ne sont généralement pas inclus dans les offres standard et impliquent souvent des coûts supplémentaires associés à la certification et à l’exploitation spécifique des infrastructures (source : https://azure.microsoft.com/fr-fr/overview/trusted-cloud/compliance/).
Microsoft 365 (anciennement Office 365) est certifié HDS (Hébergeur de Données de Santé) pour ses services en ligne principaux, à condition qu’ils soient provisionnés depuis les géographies « France » ou « Union Européenne » .Microsoft Learn
Services Microsoft 365 couverts par la certification HDS
La certification HDS s’applique aux services en ligne principaux de Microsoft 365, tels que :
-
Exchange Online
-
SharePoint Online
-
OneDrive for Business
-
Microsoft Teams
-
Power BI (dans le cadre de Microsoft 365)
Ces services doivent être hébergés dans les centres de données situés en France ou dans l’Union Européenne pour bénéficier de la certification HDS .
Conditions contractuelles spécifiques
Pour utiliser Microsoft 365 dans le cadre de l’hébergement de données de santé en France, il est nécessaire de :
-
Souscrire à une licence Microsoft 365 appropriée : Les offres Enterprise E3 ou E5 sont recommandées car elles incluent des fonctionnalités de sécurité avancées nécessaires pour répondre aux exigences HDS.
-
Signer un avenant spécifique au contrat client Microsoft : Cet avenant, intitulé « French Health Data Hosting Amendment », formalise les engagements de Microsoft en matière de conformité HDS et précise les responsabilités du client en matière de sécurité et de gestion des données de santé.
Responsabilités partagées entre Microsoft et le client
La conformité HDS repose sur une collaboration entre Microsoft et le client :
-
Microsoft fournit l’infrastructure certifiée HDS, assure la sécurité physique des centres de données, le chiffrement des données, et réalise des audits réguliers pour maintenir la certification.
-
Le client est responsable de la configuration sécurisée de son environnement Microsoft 365, de la gestion des accès utilisateurs, de la mise en place de politiques de sécurité adaptées, et de la surveillance des activités pour détecter d’éventuelles anomalies .
Coût de la mise en conformité, utilisation de la version HDS
L’utilisation de Microsoft 365 avec la certification HDS peut entraîner des coûts supplémentaires, notamment :
-
Licences : Les offres Enterprise E3 ou E5 sont plus onéreuses que les versions standard, mais elles sont nécessaires pour répondre aux exigences HDS.
-
Accompagnement : Il peut être judicieux de faire appel à des partenaires spécialisés pour l’audit, la configuration et la maintenance de l’environnement Microsoft 365 en conformité avec la certification HDS. Exemple d’intégration réussie :
-
Formation : Former les utilisateurs aux bonnes pratiques de sécurité et de gestion des données de santé est essentiel pour maintenir la conformité.
Positionnement de l’ANSSI et importance de SecNumCloud
L’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) propose des recommandations strictes pour les entités manipulant des systèmes d’information sensibles ou critiques. Dans ce cadre, elle a développé le référentiel SecNumCloud, un label de sécurité pour les solutions cloud jugées « de confiance » et adaptées au traitement des données sensibles ou classées.
Une solution labellisée SecNumCloud garantit notamment :
- Des niveaux élevés de sécurité sur les infrastructures utilisées.
- Un contrôle rigoureux et certifié de l’ensemble des processus opérationnels.
- Une forte protection contre les accès externes non autorisés et les incidents de sécurité majeurs.
Microsoft ne détient pas directement le label SecNumCloud pour toutes ses solutions, mais l’entreprise travaille avec des partenaires français certifiés SecNumCloud. Ainsi, les entreprises peuvent utiliser des solutions Microsoft en combinaison avec ces partenaires pour garantir un niveau optimal de sécurité et de conformité (source ANSSI : https://www.ssi.gouv.fr/entreprise/qualifications/prestataires-de-services-de-confiance-qualifies/).
Quelles mesures adopter pour assurer la conformité RGPD ?
Pour garantir la conformité RGPD, il est impératif de :
- Choisir explicitement des offres Microsoft Office 365 européennes avec la garantie « EU Data Boundary ».
- Vérifier que le contrat avec Microsoft inclut les clauses contractuelles types validées par la Commission européenne.
- Opter, si besoin, pour des services HDS pour les données de santé.
- Considérer sérieusement l’utilisation d’offres cloud qualifiées SecNumCloud pour traiter des données sensibles ou stratégiques.
Bien que Microsoft propose des solutions robustes pour assurer la conformité RGPD en Europe, il est crucial pour les entreprises françaises de privilégier des services explicitement adaptés au cadre réglementaire européen. Les risques associés à une utilisation imprudente d’une version américaine d’Office 365 peuvent être significatifs, tant juridiquement que financièrement. Le choix prudent d’une solution conforme aux recommandations de l’ANSSI et aux exigences RGPD permet ainsi d’exploiter pleinement les bénéfices du cloud tout en sécurisant les données critiques de l’entreprise.
Notes pour les DPO :
Conformité RGPD et certifications spécifiques
-
Conformité RGPD : Microsoft s’engage à respecter le RGPD pour ses services cloud, avec des engagements contractuels et des mesures techniques spécifiques .
-
Hébergement des données de santé (HDS) : Microsoft Azure propose des solutions certifiées HDS via des partenaires tiers ou directement au travers de son infrastructure cloud certifiée en France .
-
SecNumCloud : Microsoft ne dispose pas directement du label SecNumCloud pour toutes ses solutions, mais l’entreprise collabore avec des partenaires français qualifiés SecNumCloud, permettant ainsi aux entreprises de profiter d’une infrastructure conforme aux plus hauts standards nationaux .
Complément d’information : Faire la différence entre les versions
Microsoft 365 (anciennement Office 365) est disponible dans de nombreuses régions du monde, avec des offres adaptées aux spécificités locales, notamment en matière de conformité réglementaire et de localisation des données. Voici un aperçu des principales régions géographiques où Microsoft 365 est proposé, ainsi que des informations sur la conformité au RGPD et aux certifications spécifiques telles que HDS et SecNumCloud.
Régions géographiques de Microsoft 365
Microsoft propose des environnements Microsoft 365 adaptés aux besoins des clients dans différentes régions :
1. Europe (EUR)
-
Pays couverts : France, Allemagne, Espagne, Italie, Pays-Bas, Belgique, etc.
-
Conformité RGPD : Oui, avec des engagements contractuels spécifiques.
-
Localisation des données : Possibilité de stocker les données exclusivement dans l’Union européenne grâce à l’initiative « EU Data Boundary » .
-
Certifications : Certaines offres sont compatibles avec les exigences HDS pour l’hébergement de données de santé.Microsoft Learn
2. Amérique du Nord (NAM)
-
Pays couverts : États-Unis, Canada.
-
Conformité RGPD : Non garantie en standard ; nécessite des mesures supplémentaires pour la conformité.
-
Localisation des données : Données généralement stockées aux États-Unis.
-
Offres spécifiques : Environnements dédiés pour le secteur public américain, tels que GCC, GCC High et DoD, avec des certifications spécifiques .MicrosoftMicrosoft Learn
3. Amérique latine (LATAM)
-
Pays couverts : Brésil, Mexique, Argentine, Colombie, etc.
-
Conformité RGPD : Non applicable ; les entreprises européennes doivent évaluer les risques de transfert de données.
-
Localisation des données : Données généralement stockées dans des centres régionaux ou aux États-Unis.
4. Asie-Pacifique (APAC)
-
Pays couverts : Australie, Japon, Corée du Sud, Singapour, Inde, etc.
-
Conformité RGPD : Non applicable ; nécessite des évaluations spécifiques pour les transferts de données depuis l’UE.
-
Localisation des données : Centres de données régionaux disponibles.Microsoft LearnMicrosoft Learn+1Microsoft Learn+1
5. Moyen-Orient et Afrique (MEA)
-
Pays couverts : Émirats arabes unis, Afrique du Sud, Nigeria, etc.
-
Conformité RGPD : Non applicable ; les entreprises européennes doivent évaluer les risques de transfert de données.
-
Localisation des données : Centres de données régionaux en développement.Microsoft Learn
6. Royaume-Uni (UK)
-
Conformité RGPD : Le Royaume-Uni a mis en place son propre règlement sur la protection des données (UK GDPR), similaire au RGPD de l’UE.
-
Localisation des données : Centres de données situés au Royaume-Uni.
