Microsoft SharePoint

Ce qu'est Microsoft SharePoint

Microsoft SharePoint est une plateforme web de collaboration et de gestion de contenu éditée par Microsoft, proposée à la fois comme service cloud SharePoint Online au sein de Microsoft 365 et comme SharePoint Server auto hébergé. Les organisations l'utilisent pour bâtir des intranets, des bibliothèques de documents, des sites d'équipe et des sites publics. Lorsque des pages SharePoint sont servies aux utilisateurs, la plateforme dépose des cookies d'authentification et de session pour gérer l'état de connexion, la sécurité et l'affichage de contenus personnalisés. Comme SharePoint constitue souvent l'ossature de portails d'entreprise traitant des données de salariés et de clients, son comportement de cookies et la localisation des données entrent pleinement dans le champ du RGPD.

Cookies et stockage déposés par SharePoint

SharePoint Online authentifie les utilisateurs via Azure Active Directory et dépose plusieurs cookies de première partie sur le domaine sharepoint.com. Les principaux sont rtFa, utilisé pour l'authentification fédérée inter sites à travers Microsoft 365, et FedAuth, le cookie de session d'authentification fédérée. La plateforme écrit aussi des cookies opérationnels comme WSS_FullScreenMode pour mémoriser l'état de l'interface. Les propriétés Microsoft 365 peuvent ajouter MUID et le cookie d'analyse MSFPC lié à la télémétrie Microsoft. Les cookies d'authentification sont strictement nécessaires, contrairement aux cookies de télémétrie.

Implications RGPD et ePrivacy

Selon l'article 5(3) de la directive ePrivacy, le dépôt de cookies strictement nécessaires à la fourniture d'un service expressément demandé par l'utilisateur est exempté de consentement préalable. Les cookies de connexion et de session de SharePoint relèvent de cette exemption car aucune session authentifiée ne peut exister sans eux. Le RGPD s'applique néanmoins aux données personnelles traitées: identifiants de compte, adresses IP, métadonnées de documents et journaux d'audit. Le responsable de traitement, en général l'organisation qui exploite le tenant, doit définir une base légale, généralement le contrat pour les salariés et l'intérêt légitime ou le contrat pour les collaborateurs externes, et documenter Microsoft comme sous traitant.

Exigences de consentement

Pour un intranet privé derrière une authentification, le consentement aux cookies d'authentification n'est pas requis car ils sont strictement nécessaires et l'utilisateur demande activement la session. Si SharePoint alimente un site public, ou si des analyses Microsoft 365, Clarity ou des contenus tiers intégrés sont ajoutés, alors tout cookie non essentiel d'analyse ou de personnalisation requiert un consentement préalable éclairé recueilli via une bannière avant l'exécution du script. L'ensemble strictement nécessaire peut toujours se charger en premier.

Transferts internationaux de données

Microsoft Corporation est établie aux États Unis et certifiée au titre du Data Privacy Framework UE États Unis depuis 2023. Les données SharePoint Online sont hébergées dans la région de centre de données Microsoft 365 choisie pour le tenant, et les clients de l'Union européenne peuvent s'appuyer sur l'EU Data Boundary de Microsoft pour conserver les données clients de base et le traitement en Europe. Certaines opérations de support, de télémétrie et de dépannage peuvent encore impliquer du personnel Microsoft hors UE au titre des clauses contractuelles types incluses dans l'addendum Microsoft sur la protection des données.

Étapes pratiques de conformité

Inscrivez Microsoft comme sous traitant dans votre registre article 30 et signez l'addendum Microsoft sur la protection des données. Configurez la région du tenant et activez l'EU Data Boundary si la résidence européenne est requise. Listez les cookies d'authentification SharePoint dans votre politique cookies comme strictement nécessaires en précisant finalité et durée. Si vous exposez du contenu SharePoint publiquement, placez toute analyse ou média intégré derrière une bannière de consentement. Vérifiez la durée de conservation des journaux d'audit, limitez le partage externe et appliquez les étiquettes de rétention et de sensibilité Microsoft Purview aux données personnelles des bibliothèques.