Au 1er novembre 2026, Microsoft a modifié son avenant sur la protection des données pour Microsoft 365, le Data Protection Addendum (DPA). Une nouvelle clause a suscité des inquiétudes dans les milieux spécialisés, notamment chez heise online. Des juristes relativisent en partie. Le cas montre pourtant le peu d’influence qu’une entreprise a sur les règles selon lesquelles ses e-mails sont traités dans le cloud.
Ce qui a changé
La section « Divulgation des données traitées » contient désormais la règle suivante : si Microsoft a connaissance de contenus manifestes d’exploitation et d’abus sexuels sur des enfants, il peut les signaler au National Center for Missing and Exploited Children (NCMEC) ou à une autre instance. Le NCMEC est une organisation privée américaine qui assume des missions légales dans la lutte contre les abus sur les enfants.
L’objectif de la clause n’est pas contesté. La discussion porte sur sa portée.
L’avis des spécialistes
La plupart des juristes y voient un droit de signaler et non un droit de rechercher. Microsoft peut signaler ce dont il a déjà connaissance. Il n’en découle pas une analyse systématique des boîtes aux lettres et des fichiers. En exploitation normale, Microsoft reste sous-traitant et lié aux instructions du client.
Quelques questions restent toutefois ouvertes :
- Transmission sans information du client. Pour les demandes des autorités, Microsoft renvoie d’ordinaire au client. Ici, Microsoft peut décider seul et signaler directement.
- « Autre instance » n’est pas précisé. Le texte ne dit pas de quelles organisations il peut s’agir.
- Les textes peuvent aussi être concernés. La clause parle de contenus, pas seulement d’images. Des rapports médicaux, des notes de thérapie ou de centres de conseil peuvent décrire de tels faits sans être problématiques en soi.
- Les données quittent l’Europe. Le signalement part aux États-Unis, quel que soit le centre de données où elles sont stockées.
Pour la plupart des entreprises, rien ne change au quotidien. Celles qui traitent des données de patients, de clients ou de mandants devraient toutefois connaître la clause et en tenir compte dans leur documentation.
Ce que le cas montre
La clause elle-même n’est pas le vrai sujet. Plus important : un fournisseur cloud peut adapter ses conditions unilatéralement. Le client en est informé par une nouvelle version du contrat et peut l’accepter ou résilier. Il doit ensuite mettre à jour sa déclaration de protection des données, le registre des activités de traitement et, le cas échéant, l’analyse d’impact.
La loi suisse sur la protection des données exige qu’un sous-traitant ne traite les données que comme l’entreprise elle-même serait en droit de le faire. Plus les conditions changent, plus il est laborieux de le démontrer. Voir aussi l’article sur les mesures informatiques selon la LPD.
Les métadonnées partent déjà aux États-Unis
Indépendamment de la nouvelle clause, certaines données de Microsoft 365 partent aux États-Unis, même si les boîtes aux lettres se trouvent en Europe ou en Suisse. Microsoft documente lui-même ces exceptions à la frontière de données de l’UE. En font partie les noms d’utilisateur et adresses e-mail de l’annuaire, les journaux de surveillance de sécurité, des identifiants pseudonymisés ainsi que les noms d’appareils pour la vérification des licences.
Ces métadonnées semblent anodines, mais elles en disent long : qui communique avec qui, quand, à quelle fréquence et depuis quel appareil. Pour une étude d’avocats ou un cabinet médical, cette information peut déjà être confidentielle. De plus, Microsoft, en tant qu’entreprise américaine, est soumis au droit américain, par exemple au CLOUD Act, qui peut permettre aux autorités américaines d’accéder à des données à l’étranger.
Avec Zimbra en exploitation propre, journaux, annuaire et vérification des licences restent aussi sur vos serveurs.
Zimbra : messagerie et agenda en exploitation propre
Zimbra est une plateforme de messagerie, d’agenda, de contacts et de tâches. Elle fonctionne sur vos propres serveurs Linux, dans votre salle serveur ou chez un hébergeur suisse. L’éditeur n’a pas accès aux boîtes aux lettres, et l’entreprise fixe elle-même les règles d’accès et de conservation.
Pour les collaborateurs, peu de choses changent :
- Outlook reste. La Network Edition comprend un connecteur qui synchronise e-mails, agendas et contacts dans Outlook.
- Webmail et smartphone. Le client web Zimbra fonctionne dans le navigateur, les applications habituelles sur iPhone et Android.
- Agendas et dossiers partagés fonctionnent comme avec Exchange, y compris les délégations et les ressources comme les salles de réunion.
- L’archivage selon l’OLICO se complète avec MailStore, également en exploitation propre.
Zimbra ne remplace pas tout ce qu’offre Microsoft 365. Teams, SharePoint et l’édition commune de documents Office dans le navigateur n’en font pas partie. Beaucoup de PME combinent donc Zimbra pour la messagerie et l’agenda avec Office sur le poste de travail et un stockage de fichiers dans leur propre réseau.
Pour qui le changement vaut la peine
Zimbra en exploitation propre convient particulièrement aux entreprises soumises au secret professionnel ou qui traitent des données sensibles : cabinets médicaux et de thérapie, études d’avocats, fiduciaires, centres de conseil et fondations. Les entreprises qui veulent réduire leur dépendance envers les fournisseurs américains y trouvent aussi une solution éprouvée. Plus de contexte dans l’article sur la souveraineté numérique.
Celles qui travaillent beaucoup avec Teams et SharePoint restent en général mieux chez Microsoft 365 et adaptent leur documentation à la nouvelle clause.
Le changement est souvent aussi intéressant financièrement. Au-delà d’une certaine taille, le serveur et le suivi ne coûtent guère plus, alors qu’avec Microsoft 365 chaque personne supplémentaire implique un abonnement de plus. À partir d’un certain nombre d’utilisateurs, Zimbra est donc souvent moins cher à l’exploitation.
L’exploitation propre implique aussi des responsabilités : mises à jour, sauvegarde et surveillance doivent être assurées. Nous nous en chargeons pour nos clients.
Comment procéder
- Vérifier si vous êtes concerné. Traitez-vous des données de santé, des données de mandants ou d’autres informations sensibles dans Microsoft 365 ?
- Mettre à jour la documentation. Compléter la déclaration de protection des données et le registre des activités de traitement avec la divulgation possible.
- Comparer les alternatives. Mettre côte à côte coûts, fonctions et charge de Microsoft 365 et de Zimbra.
- Planifier la migration. Boîtes aux lettres, agendas et partages sont transférés, les entrées DNS pour SPF, DKIM et DMARC sont redéfinies.
Nous exploitons Zimbra en Suisse
A BOT est partenaire Zimbra et exploite des environnements Zimbra pour des PME sur des serveurs en Suisse, filtre anti-spam, archivage et sauvegarde compris. Nous examinons avec vous si un changement a du sens et migrons les boîtes aux lettres en dehors des heures de bureau. Plus d’informations sous sécurité e-mail. Si vous exploitez encore votre propre serveur Exchange, les options figurent dans l’article sur la fin du support d’Exchange.
Questions fréquentes
Microsoft lit-il désormais nos e-mails ?
Selon l’avis actuel de la plupart des spécialistes, non. La clause permet un signalement lorsque Microsoft a déjà connaissance de tels contenus. Elle ne contient pas d’autorisation de recherche systématique. Des métadonnées comme les noms d’utilisateur, les adresses e-mail et les journaux de sécurité partent toutefois déjà en partie aux États-Unis.
Devons-nous quitter Microsoft 365 ?
Pas obligatoirement. Vérifiez si vous traitez des données sensibles et mettez à jour votre documentation. Un changement vaut surtout la peine si vous souhaitez de toute façon davantage de contrôle sur vos données.
L’éditeur de Zimbra peut-il accéder à nos données ?
Non. Zimbra fonctionne sur vos propres serveurs ou chez votre hébergeur. L’éditeur fournit le logiciel et les mises à jour, mais n’a pas accès aux boîtes aux lettres.
Combien coûte Zimbra en comparaison ?
À partir d’un certain nombre d’utilisateurs, Zimbra est souvent moins cher à l’exploitation que Microsoft 365. Avec Zimbra, il y a des licences par boîte, un serveur et le suivi. Le serveur et le suivi se répartissent sur tous les utilisateurs, alors qu’avec Microsoft 365 vous payez un abonnement mensuel pour chaque personne. Un calcul comparatif vous montre où se situe le seuil pour votre entreprise.
