Lundi 14 septembre. Une option apparaît discrètement dans la console d’administration des clients Microsoft 365. « Emplacement des données » donne désormais le choix aux clients suisses de stocker celles-ci dans une sélection de pays européens. A l’ère de l’IA et des interrogations sur la souveraineté de nos données, on ne peut que se réjouir du choix laissé aux abonnés. Oui, à première vue. Sauf que…
Cette modification dans les options de configuration Microsoft 365 n’a pas été annoncée à grand bruit par le fournisseur leader des solutions Cloud d’entreprise. Et pourtant cela aurait pu constituer un effet d’annonce profitable. Mais reprenons dès le début, pour mieux comprendre.
Microsoft a déployé des infrastructures en Suisse dès 2018 pour ce qui n’était à l’époque qu’Office 365. Les clients qui avaient souscrit les services Cloud de Microsoft antérieurement à cette date voyaient leurs données hébergées dans le reste de l’Europe, généralement en Allemagne ou au Pays-Bas. Dans la foulée de ce déploiement, les comptes des clients avaient été progressivement et automatiquement migrés en Suisse – sauf avis contraire – et les nouveaux y étaient créés de facto.
Progressivement, Microsoft a donc octroyé à ces clients un contrôle de plus en plus important sur la localisation des données. Ce qui renforçait le positionnement de la Suisse en tant que coffre-fort numérique. Notamment parce qu’elle ne fait pas partie de l’UE et édicte ses propres règles de protection des données. Evidemment, tout n’est pas blanc ou noir. La nLPD se rapproche, dans les grandes lignes, de ce que prévoit le RGPD européen. Et le Cloud Act fait toujours foi pour les fournisseurs Cloud américain.
Pour autant, les clients se satisfaisaient grandement de cette situation. En particulier dans un période trouble où l’IA pouvait venir mettre à mal la confidentialité et la souveraineté des données. Et c’est pourtant à ce moment précis que Microsoft vient donner un coup de canif dans un contrat qui convenait à tout le monde.
Depuis mi-septembre, Microsoft a donc mis en place un préavis pour tous ses clients européens, y.c. suisses, pour confirmer leur volonté de stocker les données au repos dans les centres de données hébergés sur le sol helvétique. Vous avez bien lu : il ne s’agit pas d’octroyer à Microsoft la possibilité de mettre les données ailleurs, mais au contraire de confirmer qu’elles doivent rester là où elles sont. Avec, en corollaire, la possibilité pour le géant de Redmond de les déplacer selon son bon vouloir si aucune instruction contraire ne lui est donnée dans le temps du préavis.
Microsoft met en avant le fait que ces données restent dans l’UE, et sont soumises à la réglementation européenne selon l’EU Data Boundary. Si cela confère aux données un certain niveau de protection, cela peut tout autant mettre à mal les engagements contractuels ou réglementaires de clients suisses qui ne seraient pas au courant de ce changement et/ou n’en feraient rien. Et dont la localisation des données dans le pays constitue un argument fort. Ceci d’autant plus qu’en cas d’oubli, la relocalisation des données en Suisse pourrait prendre jusqu’à 6 mois.
Dès lors, quoi faire ? Evidemment, la première mesure concernera l’activation de la fameuse option apparue en catimini dans la console Microsoft 365. Vous noterez au passage que la traduction même de ce choix, dans un français aléatoire, laisse perplexe, et n’incite définitivement pas à peser sur le bouton. Le délai accordé par Microsoft est en tout cas suffisamment long pour s’y reprendre à plusieurs fois et se renseigner sur la bonne combinaison d’options à activer.
Et pour la suite, on est en droit de se demander si les nouveaux environnements de nouveaux clients seront créés avec cette option, si celle-ci sera activée de facto, et même si elle perdurera dans le temps. Les modifications arbitraires réalisées par Microsoft, que ce soit dans les conditions d’utilisation de ses services ou les contrats clients, sont en général annonciatrices de modifications ultérieures, plus profondes. Selon le principe qu’il n’y a jamais de fumée sans feu.
Surtout, lorsqu’un prestataire passe par à un distributeur de licences Microsoft, comme c’est le cas pour Steel Blue, il sera utile de savoir si la création d’un environnement Microsoft est réalisée par défaut avec l’option de localisation activée, ou si cette option ne pourra être cochée qu’une fois les ressources crées. Car dans ce second cas, le délai de 6 mois annoncé par Microsoft pour rapatrier les données en Suisse a posteriori rendrait le nouvel environnement inutilisable par des clients contraints réglementairement parlant.
Enfin on est droit de s’interroger sur les raisons profondes qui ont forcé Microsoft à opérer ce mouvement. Le déploiement de centres de données en Suisse avait permis à l’éditeur de promouvoir la souveraineté des clients sur leurs données hébergées en dehors de l’EU dans un pays aux institutions stables. Ce qui leur conférait une certaine protection. Ce pas en retrait n’est évidemment pas dramatique si les bonnes options sont activées au bon moment. Espérons juste que cela ne soit pas l’arbre qui cache une forêt plus inquiétante.