Outlook, Teams, OneDrive… Microsoft 365 s’est imposé comme le couteau suisse du bureau moderne. Et quand on demande si c’est RGPD-compatible, la réponse commerciale est toujours « oui, bien sûr ». Sauf que la vraie question n’est pas là.
Le confort a un prix que personne ne lit dans les CGU
Soyons honnêtes : Microsoft 365 est excellent. Ergonomique, omniprésent, intégré. Vos équipes le connaissent, vos clients aussi. Migrer vers autre chose ressemble à arracher une dent saine – douloureux, coûteux, et pour quoi exactement ?
C’est exactement le piège. Parce que pendant que vous appréciez le confort de votre abonnement, vos données — emails, fichiers RH, contrats clients, données comptables — vivent dans un cloud opéré par une entreprise soumise au droit américain. Et le droit américain, lui, n’a pas signé le RGPD.
Le CLOUD Act : ce que Microsoft ne peut pas refuser
On entend souvent parler du Patriot Act comme du grand méchant loup. Mais en 2018, les États-Unis ont adopté quelque chose de plus moderne et de plus large : le CLOUD Act (Clarifying Lawful Overseas Use of Data Act). Ce texte permet aux autorités américaines d’exiger d’une entreprise américaine qu’elle transmette des données – même si elles sont physiquement stockées en Europe.
Autrement dit : peu importe que vos données soient sur des serveurs à Amsterdam ou Dublin. Si Microsoft reçoit une injonction d’un juge américain, elle doit coopérer. Sans nécessairement vous en informer.
« Non, je ne peux pas garantir que les données des citoyens français hébergées par Microsoft ne seront jamais transmises à des autorités étrangères sans l’accord des autorités françaises. »
Directeur juridique de Microsoft France, audition au Sénat, juin 2025
Cette déclaration, faite sous serment devant une commission sénatoriale française, résume tout. Ce n’est pas une théorie du complot, ce n’est pas de la paranoia numérique. C’est Microsoft France qui le dit, clairement, publiquement.
La Commission européenne s’est elle-même fait épingler
En mars 2024, le Contrôleur européen de la protection des données (l’équivalent de la CNIL pour les institutions européennes) a conclu que la Commission européenne – celle-là même qui a rédigé et adopté le RGPD – violait les règles de protection des données dans son propre usage de Microsoft 365. Les infractions constatées : transferts de données hors UE non encadrés, finalités de traitement floues, garanties insuffisantes.
Il a fallu plusieurs mois de mesures correctives strictes pour régulariser la situation. Si même Bruxelles trébuche sur ce sujet, imaginez la situation de la PME nantaise qui utilise Microsoft 365 sans audit ni contractualisation spécifique.
⚠️ Ce que ça signifie concrètement pour vous
Vos emails clients, vos contrats en cours, vos données RH, vos stratégies commerciales partagées sur Teams — tout cela pourrait théoriquement être accessible à des autorités étrangères, sans que vous en soyez informé, sans votre consentement, et sans recours immédiat.
Ce n’est pas une amende RGPD qui vous guette en premier. C’est une fuite de données sensibles vers un gouvernement étranger, avec les conséquences que l’on imagine sur la confidentialité de vos affaires.
Alors, Microsoft 365 est illégal ?
Non. Pas automatiquement. La réalité juridique est plus nuancée – et c’est justement ce qui la rend glissante.
Depuis fin 2023, le Data Privacy Framework (accord EU-US sur les transferts de données) est en vigueur. Il crée un cadre légal pour les transferts transatlantiques. Microsoft a investi massivement pour stocker les données européennes en Europe, obtenir des certifications, et proposer des clauses contractuelles conformes. En théorie, si vous utilisez Microsoft 365 avec les bons paramètres, les bonnes clauses dans votre contrat, et les bonnes configurations techniques, vous pouvez être en conformité.
Le problème, c’est ce « si ». Dans la pratique, la très grande majorité des organisations utilisent Microsoft 365 avec les paramètres par défaut, sans audit, sans avoir négocié les clauses spécifiques de leur contrat. Et dans ce cas, la conformité RGPD réelle est loin d’être acquise.
Et l’État français, il dit quoi ?
La doctrine cloud de l’État français, formalisée en 2021, est claire : pour les données sensibles, les administrations doivent utiliser des solutions souveraines ou certifiées SecNumCloud par l’ANSSI. Microsoft 365, en version standard, n’entre pas dans cette catégorie.
La loi SREN de 2024 a renforcé ces exigences pour le secteur public. Et même si vous êtes une entreprise privée – donc pas directement concerné par ces obligations – ce signal politique mérite attention : les législateurs européens et français ne font pas confiance aux solutions américaines pour les données sensibles. Ce n’est pas anodin.
💡 Ce que vous pouvez faire (dès maintenant)
- Faire un audit de vos usages Microsoft 365 : quelles données transitent réellement ?
- Vérifier votre DPA (Data Processing Agreement) avec Microsoft — et l’avoir en premier lieu
- Classer vos données : toutes ne méritent pas le même niveau de protection
- Envisager des alternatives souveraines pour vos données les plus sensibles (Infomaniak par exemple nous sommes expert technique 😊)
- Documenter vos choix dans votre registre de traitement RGPD
La vraie question à se poser
La question n’est pas « Microsoft 365 est-il RGPD ? » La question est : « Si demain un juge américain demande à Microsoft l’accès à mes données, qu’est-ce qui se passe ? »
Et la réponse de Microsoft France est là, nette, donnée sous serment : ils ne peuvent pas garantir qu’ils refuseront.
Chez Elyazalée, on ne dit pas qu’il faut jeter vos abonnements Office demain matin. On dit qu’il faut arrêter de confondre « pratique » avec « sûr », et « conforme commercialement » avec « conforme légalement ». Ce sont deux conversations différentes – et la deuxième mérite d’être eue.
Vous utilisez Microsoft 365 et vous vous posez des questions ?
On peut faire ensemble un audit rapide de vos usages et identifier les risques réels – sans drama, sans jargon, et sans vous vendre une solution à 50k€.