Microsoft Azure
Microsoft Azure est la plateforme cloud publique exploitée par Microsoft Corporation. Elle propose App Service, Functions, Azure SQL, Cosmos DB, Front Door pour la diffusion globale, Application Gateway pour la répartition de charge HTTP, Application Insights pour la télémétrie, Microsoft Entra ID pour l'identité et des dizaines d'autres services utilisés par les sites européens pour héberger, sécuriser et accélérer leurs applications. Comme Azure appartient à une société américaine, chaque déploiement européen doit traiter les transferts internationaux et le consentement parallèlement à l'engagement EU Data Boundary de Microsoft.
Que fait Microsoft Azure ?
Ce que fait Microsoft Azure et comment il apparaît sur un site
Microsoft Azure est la plateforme cloud publique exploitée par Microsoft Corporation, dont le siège se trouve à Redmond, Washington. Sur un site européen, Azure se manifeste typiquement sous la forme d'Azure App Service hébergeant l'application, Azure Front Door distribuant le contenu mondialement, Azure Application Gateway répartissant le trafic HTTP, Azure SQL ou Cosmos DB stockant les données utilisateurs, Microsoft Entra ID gérant l'authentification et Application Insights capturant la télémétrie. Azure alimente également des services supérieurs comme Microsoft Clarity, Power BI Embedded, Azure OpenAI et Communication Services.
Microsoft offre l'engagement EU Data Boundary, qui maintient le stockage et la majeure partie du traitement des données clients et données personnelles pseudonymes des services en ligne au sein de l'UE et de l'AELE. Certains processus de support, télémétrie ou identité peuvent encore toucher des systèmes américains, et Microsoft Corporation reste soumis aux lois extraterritoriales des États-Unis.
Cookies et données collectés par Azure
Au niveau infrastructure, Azure pose surtout des cookies d'affinité de session. Azure App Service et Front Door utilisent ARRAffinity et ARRAffinitySameSite pour maintenir un visiteur sur la même instance. Application Gateway utilise ApplicationGatewayAffinity et ApplicationGatewayAffinityCORS. Azure Front Door peut également poser AzureAppProxyAccessCookie quand l'authentification est activée. Ces cookies sont généralement classés strictement nécessaires.
En plus, Application Insights stocke un identifiant utilisateur (ai_user) et un identifiant de session (ai_session) dans le stockage navigateur pour mesurer l'usage. Microsoft Entra ID pose des cookies d'authentification (ESTSAUTH, ESTSAUTHPERSISTENT) sur le domaine de connexion. Des produits supérieurs comme Microsoft Clarity déposent des cookies analytiques supplémentaires nécessitant un opt-in préalable.
Implications RGPD et ePrivacy
Microsoft agit en sous-traitant au titre du Microsoft Products and Services Data Protection Addendum (DPA). Le DPA intègre les clauses contractuelles types de la Commission européenne, liste les sous-traitants et engage Microsoft sur des contrôles ISO 27001, ISO 27018, ISO 27701, SOC 2 et EU Cloud Code of Conduct. L'éditeur du site reste responsable de traitement et de chaque cookie déposé par un composant Azure.
Au titre de la directive ePrivacy transposée nationalement (TTDSG en Allemagne, LCEN en France, LSSI-CE en Espagne), les cookies d'affinité de session sont généralement exemptés de consentement préalable car strictement nécessaires, contrairement aux cookies de télémétrie Application Insights ou Clarity.
Transferts internationaux et EU Data Boundary
Microsoft Corporation est certifié sous le EU-US Data Privacy Framework, base d'adéquation pour les transferts vers les États-Unis. Le EU Data Boundary, déployé en 2024, maintient les données clients et les données pseudonymes pour Azure, Microsoft 365, Dynamics 365 et Power Platform en UE et AELE. Après Schrems II, une évaluation d'impact des transferts et des mesures supplémentaires comme des clés client Azure Key Vault HSM restent recommandées.
Consentement et base légale
Pour l'infrastructure pure (hébergement, répartition de charge, distribution, sécurité), l'intérêt légitime (article 6, paragraphe 1, point f du RGPD) est la base habituelle. Pour les fonctionnalités analytiques et de personnalisation comme Application Insights ou Microsoft Clarity, un opt-in préalable via une CMP est obligatoire avant le déclenchement des scripts.
Étapes pratiques de conformité
Signer le DPA Microsoft, activer le périmètre EU Data Boundary, épingler les ressources aux régions UE, activer les clés client Azure Key Vault, restreindre les rôles Microsoft Entra ID, configurer la rétention des logs, lister Microsoft dans la politique de confidentialité, documenter l'évaluation d'impact des transferts, activer le masquage IP dans Application Insights et intégrer chaque cookie non strictement nécessaire dans la CMP.
Microsoft Azure et le RGPD
Microsoft Azure est classé dans la catégorie « Non classé ». Sur un site qui vise des visiteurs européens, il ne doit se charger qu'après le consentement du visiteur, et doit figurer dans votre politique de cookies.
- Base légale
- Legitimate interest under Article 6(1)(f) GDPR for core hosting and security with a documented assessment. Consent under Article 6(1)(a) is required as soon as Azure components serve analytics (Application Insights), advertising, personalization or profile based features that set identifiers on the user device.
- Niveau de risque
- medium
- Textes applicables
- GDPR, ePrivacy Directive, EU-US Data Privacy Framework, Schrems II case law, German TTDSG / TDDDG, Microsoft EU Data Boundary commitment
Analyse d'impact (AIPD)
Une AIPD est recommandée lorsque Azure héberge des données personnelles à grande échelle, des données sensibles, ou combine App Service, Application Gateway, Front Door et Application Insights avec des identifiants utilisateurs. L'AIPD doit couvrir la région, la portée du EU Data Boundary, les clés client, les accès conditionnels, la rétention, les sous-traitants et la réponse aux demandes des autorités américaines sous FISA 702.
Exemple de texte pour votre bannière
Nous utilisons Microsoft Azure pour héberger et délivrer ce site. Azure peut déposer des cookies techniques d'affinité de session (ARRAffinity, ApplicationGatewayAffinity) et traiter votre adresse IP. Certains flux transitent par les États-Unis sous le EU-US Data Privacy Framework et les clauses contractuelles types, dans le cadre du EU Data Boundary. En cliquant sur Accepter, vous autorisez les fonctionnalités d'analytique et de personnalisation reposant sur Azure.
Ce que Microsoft Azure dépose et contacte
- Méthode de suivi
- Cloud infrastructure with session and routing cookies set by App Service, Application Gateway and Front Door
- Localisation des serveurs
- Global, multi-region, customer configurable. EU regions include West Europe (Netherlands), North Europe (Ireland), France Central, Germany West Central, Sweden Central, Italy North, Spain Central, Norway East, Poland Central, Switzerland North.
- Transfert de données hors UE
- Operated by Microsoft Corporation (United States). Microsoft Entra ID, billing, and some global PaaS endpoints route through US infrastructure even when EU regions are selected. Transfers rely on Standard Contractual Clauses and the EU-US Data Privacy Framework certification under the Microsoft Online Services DPA.
Cookies déposés (6)
| Nom | Type | Durée | Finalité |
|---|---|---|---|
| ARRAffinity | HTTP cookie | Session | Azure App Service and Front Door session affinity: keeps a visitor on the same backend instance. |
| ARRAffinitySameSite | HTTP cookie | Session | SameSite compliant variant of ARRAffinity used in modern browsers. |
| ApplicationGatewayAffinity | HTTP cookie | Session | Azure Application Gateway sticky session for HTTP backends. |
| ApplicationGatewayAffinityCORS | HTTP cookie | Session | Cross-origin variant of ApplicationGatewayAffinity. |
| ESTSAUTH | HTTP cookie | Session | Microsoft Entra ID authentication cookie set on the login domain (login.microsoftonline.com). |
| ai_user | localStorage | 1 year | Application Insights anonymous user identifier for telemetry. |
Domaines tiers contactés (6)
azure.comazureedge.netazurewebsites.netwindows.netmsftauth.netazurefd.net
Questions fréquentes sur Microsoft Azure
Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.
Quels cookies dépose Microsoft Azure ?
Azure pose principalement des cookies d'affinité de session. Azure App Service et Front Door déploient ARRAffinity et ARRAffinitySameSite (session). Application Gateway pose ApplicationGatewayAffinity et ApplicationGatewayAffinityCORS. Microsoft Entra ID ajoute des cookies d'authentification (ESTSAUTH, ESTSAUTHPERSISTENT) sur son domaine de connexion. Application Insights stocke ai_user et ai_session en local storage. Microsoft Clarity, déployé sur Azure, pose ses propres cookies analytiques.
Un consentement est-il requis pour Azure sur un site européen ?
Les cookies d'affinité de session (ARRAffinity, ApplicationGatewayAffinity) sont généralement considérés strictement nécessaires et exemptes de consentement préalable au titre de la directive ePrivacy. Les fonctionnalités de télémétrie comme Application Insights et Microsoft Clarity exigent un opt-in éclairé avant déclenchement.
Quelle base légale pour les traitements via Azure ?
L'intérêt légitime (article 6, paragraphe 1, point f du RGPD) est la base habituelle pour l'hébergement, la sécurité et l'optimisation des performances. Le consentement (article 6, paragraphe 1, point a) s'applique à l'analytique, la publicité et la personnalisation. La nécessité contractuelle (article 6, paragraphe 1, point b) peut s'appliquer lorsqu'Azure fait fonctionner une fonctionnalité à laquelle le visiteur s'est expressément abonné.
Microsoft Azure transfère-t-il des données vers les États-Unis ?
Oui, même si une région UE est choisie, certains processus de support, d'identité et de services globaux peuvent transiter par les États-Unis. Microsoft Corporation est certifiée sous le EU-US Data Privacy Framework et le DPA Microsoft inclut les clauses contractuelles types. Le EU Data Boundary conserve la majorité des données clients et des données personnelles pseudonymes dans les centres UE/AELE.
Faut-il une AIPD pour déployer sur Azure ?
Une AIPD est recommandée lorsque Azure traite des données personnelles à grande échelle, des données sensibles ou agrège plusieurs services (App Service, Application Gateway, Front Door, Application Insights) liés à des identifiants utilisateurs. Documenter la région, le périmètre EU Data Boundary, les clés client, la rétention, les sous-traitants et le plan de réponse aux demandes FISA 702.
Comment déployer Azure conformément au RGPD ?
Signer le DPA Microsoft, activer le EU Data Boundary, épingler les services aux régions UE, activer des clés client, restreindre les accès conditionnels Entra ID, conserver les logs au minimum, lister Microsoft et ses sous-traitants, documenter l'évaluation d'impact des transferts, activer le masquage IP dans Application Insights et passer chaque cookie non strictement nécessaire par la CMP.
Existe-t-il des alternatives à Azure plus respectueuses du RGPD ?
Pour les charges de travail européennes, OVHcloud Public Cloud, Scaleway, Hetzner Cloud, IONOS Compute Engine et Open Telekom Cloud (T-Systems) sont des options UE. Pour les exigences de souveraineté (GAIA-X), regarder Outscale, Cleura ou le futur cloud souverain Bleu en France. L'aptitude dépend de votre mix de services et de vos certifications.
Comment mettre à jour ma politique cookies après avoir déployé Azure ?
Mentionner Microsoft Corporation comme sous-traitant, décrire les services Azure utilisés, documenter les cookies techniques (ARRAffinity, ApplicationGatewayAffinity, ESTSAUTH), expliquer le EU Data Boundary et le EU-US Data Privacy Framework, lier le DPA Microsoft et indiquer un point de contact pour les demandes des personnes concernées.
Mettez votre site en conformité aujourd'hui.
Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.