Cloud Act et Microsoft 365 : où sont vos données et qui peut y accéder ?

Le CLOUD Act oblige un fournisseur de cloud soumis au droit américain à remettre à la justice américaine les données qu'il détient ou contrôle, où qu'elles soient stockées. Promulgué le 23 mars 2018, il a ajouté l'article 2713 au titre 18 du Code des États-Unis à la suite d'un litige où Microsoft refusait de livrer des e-mails stockés dans son datacenter de Dublin ; la Cour suprême a ensuite classé l'affaire sans objet le 17 avril 2018. Le texte ne donne aucun accès direct aux serveurs : il passe par une procédure judiciaire (mandat, injonction) adressée au fournisseur, dans le cadre d'enquêtes pénales. Le fournisseur peut en demander l'annulation si le client n'est pas américain et que la divulgation risque de violer le droit d'un pays lié aux États-Unis par un accord exécutif. Le ministère américain de la Justice ne recense que deux accords signés, avec le Royaume-Uni en 2019 et l'Australie en 2021. Avec l'Union européenne, les négociations ont repris en mars 2023, sans accord publié à ce jour. Pour une entreprise française, cette voie de contestation n'existe donc pas en l'état, même si la loi maintient l'analyse de courtoisie internationale issue de la jurisprudence.

L'EU Data Boundary garantit que la plupart de vos données sont stockées et traitées dans l'Union européenne et l'AELE, mais Microsoft Corporation reste une société américaine. Microsoft l'a déployée en trois phases : données client des services principaux (Microsoft 365, Dynamics 365, Power Platform, Azure) en janvier 2023, journaux pseudonymisés en janvier 2024, puis données de support technique, avec un achèvement annoncé le 26 février 2025. Un tenant Microsoft 365 est concerné si son pays d'inscription est dans l'UE ou l'AELE, sauf s'il a souscrit Multi-Geo, précise la documentation Microsoft Learn. Certaines données sortent encore de la frontière : accès à distance d'ingénieurs situés hors de l'UE quand une réparation l'exige, opérations de sécurité menées à l'échelle mondiale, une partie de l'annuaire Microsoft Entra, titres des dossiers de support, services en préversion, et tout transfert que vous déclenchez vous-même, comme un e-mail envoyé hors de l'UE. Les datacenters de Paris et de Marseille ajoutent un engagement contractuel : pour un tenant créé en France, Exchange Online, SharePoint, OneDrive, Teams et les interactions avec Copilot sont stockés au repos dans le pays. Attention, depuis le 14 septembre 2026, le centre d'administration affiche le réglage « Store Microsoft 365 customer data in-country », désactivé par défaut pour les tenants éligibles créés après cette date. À partir du 14 décembre 2026, un tenant resté désactivé pourra voir ses données déplacées ailleurs dans l'EU Data Boundary, selon la page Microsoft sur la résidence des données. Si l'hébergement en France figure dans vos contrats, vérifiez ce réglage avant cette date.

Microsoft s'engage, sur son Centre de gestion de la confidentialité, à rediriger les autorités vers le client, à prévenir ce dernier sauf interdiction légale, à contester toute demande des pouvoirs publics dans la mesure permise par la loi et à dédommager ses clients professionnels si elle divulgue leurs données en violation du RGPD. Son rapport de transparence donne l'ordre de grandeur : au second semestre 2025, 190 demandes des forces de l'ordre ont visé des clients entreprises dans le monde, et 49 % ont abouti à une communication d'informations. Sur la même période, Microsoft a remis à la justice américaine des contenus concernant 3 clients entreprises non américains dont les données étaient stockées hors des États-Unis, dont 1 situé dans l'UE ou l'AELE. Le risque est faible en volume, sans être nul. Le 10 juin 2025, devant la commission d'enquête du Sénat sur la commande publique, le directeur des affaires publiques et juridiques de Microsoft France, invité à garantir sous serment que des données de citoyens français ne seraient jamais transmises aux autorités américaines sans accord français, a répondu : « Non, je ne peux pas le garantir », tout en précisant que cela ne s'était jamais produit.

Le droit européen ne reconnaît pas d'office une injonction étrangère : selon l'article 48 du RGPD, la décision d'une juridiction d'un pays tiers exigeant la divulgation de données personnelles n'est exécutoire que si elle repose sur un accord international, comme un traité d'entraide judiciaire. Le fournisseur se trouve alors pris entre deux droits, et c'est sur ce conflit que s'appuient les contestations promises par Microsoft. Pour les transferts de données personnelles vers les États-Unis, le cadre en vigueur est le Data Privacy Framework UE-États-Unis, adopté par la Commission européenne le 10 juillet 2023 sur la base du décret présidentiel américain du 7 octobre 2022 qui encadre le renseignement. Le Tribunal de l'Union européenne a rejeté le recours du député Philippe Latombe le 3 septembre 2025 (affaire T-553/23), et un pourvoi est pendant devant la Cour de justice (affaire C-703/25 P). Le cadre s'applique, mais il peut tomber comme le Safe Harbor et le Privacy Shield avant lui. Notez aussi qu'il répond d'abord à la question du renseignement : les demandes judiciaires du CLOUD Act suivent leurs propres règles. Pour toute décision qui vous engage, faites valider l'analyse par votre DPO ou un juriste.

Le chiffrement agit directement sur ce qu'un tiers peut lire, à condition que Microsoft ne détienne pas toutes les clés. Microsoft 365 chiffre déjà les données au repos avec des clés gérées par Microsoft. Customer Key ajoute une couche chiffrée avec vos propres clés, conservées dans Azure Key Vault (deux abonnements Azure payants, deux clés par stratégie). Microsoft 365 continue d'utiliser ces clés, avec votre autorisation, pour la recherche, l'antispam ou l'eDiscovery : l'intérêt tient surtout à la révocation, qui déclenche la suppression cryptographique des données. Microsoft le réserve à Microsoft 365 E5, Office 365 E5 et aux modules Microsoft Purview Suite ou Microsoft 365 E5 Information Protection and Governance ; ni Business Premium ni E3 ne suffisent. Double Key Encryption (DKE) va plus loin : le document est protégé par deux clés, dont une hébergée par vous, et Microsoft n'accède qu'à l'une d'elles. En contrepartie, pas de coédition, pas d'Office pour le web, pas de recherche ni d'eDiscovery, et Copilot ne lit pas ces fichiers. Dans sa documentation de 2026, Microsoft la destine à environ 5 % des données d'une organisation type. Elle est incluse dans Microsoft 365 E5, affiché à 58,13 € HT par utilisateur et par mois contre 19,06 € pour Business Premium (microsoft.com/fr-fr, 26 octobre 2026, engagement annuel), ainsi que dans les mêmes modules. Reste à savoir quoi protéger : les étiquettes de confidentialité Purview, en application manuelle, sont incluses dans Business Premium et E3, comme le détaille notre article sur la gouvernance des données avec Microsoft Purview.

Le référentiel SecNumCloud de l'ANSSI traite la juridiction, pas seulement la localisation. Sa version 3.2 du 8 mars 2022 exige un siège dans l'UE, un capital et des droits de vote détenus au plus à 24 % individuellement et à 39 % collectivement par des entités extérieures à l'UE, et qu'aucun sous-traitant non européen n'ait la possibilité technique d'obtenir les données. S3NS, filiale de Thales en partenariat avec Google Cloud, a annoncé le 17 décembre 2025 la qualification SecNumCloud 3.2 de son offre PREMI3NS, qui couvre des services d'infrastructure et de plateforme, pas une suite bureautique. Bleu, fondée par Orange et Capgemini pour proposer Azure et Microsoft 365, a annoncé le 17 avril 2025 la validation du premier jalon de sa qualification, en visant alors le premier semestre 2026. Au 26 octobre 2026, son site la présente toujours « en cours de qualification », et selon la presse spécialisée, Microsoft 365 sera qualifié après les services Azure. Pour la plupart des PME, la priorité est donc ailleurs. Si un client public, un appel d'offres ou vos obligations au titre de NIS 2 posent la question, intégrez dès maintenant ce calendrier.

Commencez par ce qui se vérifie en une heure, puis traitez le chiffrement donnée par donnée. D'abord, dans le centre d'administration Microsoft 365, ouvrez la carte de localisation des données (Settings, Org settings, Organization profile, Data location) et contrôlez la géographie du tenant et le réglage d'hébergement dans le pays avant le 14 décembre 2026. Ensuite, listez les données qu'aucun tiers ne doit lire (secrets de fabrication, dossiers RH, données de santé, offres en cours) et appliquez-leur une étiquette Purview. Pour cette petite part, décidez avec votre DPO si DKE justifie des licences E5 pour les utilisateurs concernés. Enfin, consignez l'analyse dans votre registre des traitements. Nos consultants certifiés font ce point avec vous lors d'un audit gratuit de 15 minutes, et notre page sécurité présente notre accompagnement autour de Microsoft 365.