En juin 2025, devant la commission d'enquête du Sénat français, le directeur des affaires publiques et juridiques de Microsoft France a répondu « Non, je ne peux pas le garantir, mais cela ne s'est jamais produit » à la question de savoir si des données de citoyens français pouvaient être transmises au gouvernement américain sans l'accord des autorités françaises. Autrement dit : vos e-mails, fichiers et identités Microsoft 365, même hébergés en Europe, peuvent être exigées par les autorités américaines au titre du CLOUD Act.
Le fait est vérifiable : il est consigné dans les travaux parlementaires de juin 2025.
Commission d'enquête sur la commande publique
Question posée : des données de citoyens français peuvent-elles être transmises au gouvernement américain sans l'accord des autorités françaises ? Réponse d'Anton Carniaux, pour Microsoft France : « Non, je ne peux pas le garantir, mais cela ne s'est jamais produit. »
Loi américaine du 23 mars 2018
Elle autorise les autorités américaines à exiger l'accès aux données détenues par une entreprise relevant de la juridiction américaine, où que ces données soient stockées, y compris en Europe.
Le Contrôleur européen de la protection des données (CEPD) a examiné l'usage de Microsoft 365 par la Commission elle-même.
Le CEPD juge que l'usage de Microsoft 365 par la Commission européenne est non conforme au règlement (UE) 2018/1725 : limitation des finalités, transferts internationaux, divulgations non autorisées. Il ordonne la suspension de certains flux de données.
La Commission a depuis corrigé la situation, en 2025. Le constat initial reste néanmoins révélateur.
Votre tenant Microsoft 365 concentre ce qu'il y a de plus sensible dans votre entreprise.
Votre tenant regroupe les boîtes aux lettres, les documents, les identités et les droits d'accès.
Le CLOUD Act ne vous épargne pas parce que vous êtes une PME.
Ce n'est plus « est-ce grave ? », mais « qui, à part vous, peut voir ou exiger ces données ? »
Pour évaluer la sécurité de votre Microsoft 365, la plupart des prestataires demandent un accès large.
Ils emportent une copie de votre configuration, parfois de vos données, sur leurs propres serveurs.
Vous ajoutez une nouvelle exposition : celle de l'auditeur lui-même. S'il est piraté, la carte de vos faiblesses peut tomber entre de mauvaises mains.
Nous mesurons votre posture de sécurité Microsoft 365 sans jamais emporter vos données. L'analyse lit votre configuration (les paramètres), pas votre contenu (ni e-mails, ni fichiers), et vous la vérifiez vous-même dans vos propres journaux Microsoft.
Les paramètres, pas le contenu
L'analyse porte sur la configuration de votre tenant. Aucun e-mail et aucun fichier ne sont consultés.
Vous contrôlez la preuve
Chaque constat se vérifie directement dans vos propres journaux Microsoft.
Évaluation de posture à connaissance nulle
Une méthode d'évaluation de posture à connaissance nulle, hébergée en Europe, bâtie sur des briques open source.
Les faits de cette page renvoient aux textes et travaux suivants.
Oui. Il vise l'entreprise relevant de la juridiction américaine qui détient les données, quel que soit leur lieu de stockage. Devant le Sénat français en juin 2025, Microsoft France a déclaré ne pas pouvoir garantir le contraire, tout en précisant que cela ne s'était jamais produit.
Non. La posture peut être mesurée en lisant la configuration et en la vérifiant dans vos propres journaux, sans emporter de copie (audit sans copie, ZKPA).
Oui : la protection ne dépend pas de la taille de l'entreprise, mais de qui détient vos données et peut les réclamer.
Chaque constat se vérifie dans vos propres journaux Microsoft.
Parler à un expert