Partage de données sécurisé : Teams suffit-il vraiment ?

📌 Ce qu’il faut retenir

1. Teams peut être adapté sans couvrir tous les risques – la collaboration quotidienne et la souveraineté juridique répondent à deux questions différentes. Le choix doit partir des données réellement échangées.
2. SecNumCloud protège aussi sur le terrain juridique – l’ANSSI présente la qualification comme un moyen de protéger les données sensibles contre la cybermenace et l’application de lois extraterritoriales.
3. Whaller DONJON est qualifiée SecNumCloud 3.2 – la qualification ANSSI porte sur un périmètre SaaS précis. Elle ne doit pas être étendue par raccourci à un autre hébergement ou service.
4. Action utile : faire un diagnostic avant de migrer – le partage de données sécurisé se décide par périmètre. Classez les flux sensibles, les utilisateurs et les contraintes avant de remplacer un outil.

Résumé généré par IA

Partage de données sécurisé : Teams répond-il au bon risque ?

Réponse courte : Teams peut être un bon outil de collaboration sans répondre à toutes les exigences de souveraineté. La question n’est donc pas de savoir s’il « marche », mais si son cadre technique, contractuel et juridique correspond au niveau de sensibilité de vos échanges. Pour certaines données, le risque résiduel reste acceptable. Pour d’autres, il faut une solution qualifiée.

L’erreur classique consiste à comparer uniquement les fonctions : chat, visioconférence, partage de fichiers, agendas ou coédition. Cette grille favorise naturellement l’outil déjà en place. Pourtant, une décision de sécurité commence ailleurs : quelles données circulent, qui peut y accéder, où sont-elles traitées et sous quelle juridiction se trouve le fournisseur ?

Cloud Act et Microsoft Teams : le point juridique à isoler

Microsoft est une entreprise américaine. Le CLOUD Act prévoit qu’un fournisseur soumis à la juridiction américaine peut devoir produire des données placées sous sa possession, sa garde ou son contrôle, même lorsqu’elles sont stockées hors des États-Unis. Microsoft précise de son côté qu’il vérifie les demandes, peut les contester et ne donne pas d’accès direct et sans contrôle aux autorités.

Cette nuance compte. Dire que Teams serait « non sécurisé » serait trop simple et factuellement mauvais. D’autres risques, plus techniques celui-ci, existent aussi sur Teams : notre alerte sur les faux techniciens de support qui contactent via Teams en détaille le mécanisme. Le sujet est différent : pour une organisation qui doit réduire l’exposition aux législations extraterritoriales, la localisation européenne d’un centre de données ne suffit pas nécessairement. C’est précisément l’un des risques auxquels le référentiel SecNumCloud apporte une réponse.

Pour approfondir ce point, le dossier Eur’Net sur les risques juridiques du Cloud Act américain permet de séparer les questions de cybersécurité, de localisation et de juridiction.

SecNumCloud 3.2 : ce que la qualification change

L’ANSSI décrit SecNumCloud comme un référentiel couvrant des exigences techniques, opérationnelles et juridiques. L’objectif est d’identifier des offres cloud de confiance adaptées aux données sensibles. L’Agence précise notamment que ces offres visent à protéger les traitements face à la cybercriminalité et à l’application de lois extraterritoriales.

Whaller DONJON SaaS est qualifiée SecNumCloud 3.2 par l’ANSSI. C’est un élément vérifiable dans le catalogue de l’Agence, pas une simple promesse commerciale. Pour un décideur, l’intérêt est de pouvoir rattacher le choix de la plateforme à un référentiel public et à un périmètre défini.

Le point important pour un décideur est le périmètre. Une qualification porte sur un service précis, dans des conditions précises. Elle ne se transmet pas automatiquement à un autre hébergement, à une intégration différente ou à une offre dérivée. Il faut donc documenter exactement ce qui est qualifié avant d’utiliser l’argument SecNumCloud dans une proposition.

La référence officielle reste la documentation SecNumCloud de l’ANSSI. Elle doit primer sur les formulations commerciales lorsque le niveau de garantie est déterminant.

Plateforme collaborative souveraine : quand Whaller devient pertinent

Whaller DONJON devient pertinent lorsque l’organisation ne cherche pas seulement un autre outil, mais un cadre de confiance différent. La plateforme est hébergée en France et son offre DONJON est qualifiée SecNumCloud 3.2. Pour des échanges sensibles, cela permet de répondre avec des éléments vérifiables à des exigences de souveraineté et de sécurité.

Depuis septembre 2026, Whaller annonce aussi la certification « Numérique France Garanti », délivrée par l’association Origine France Garantie après contrôle indépendant de Bureau Veritas. Elle porte sur l’origine et la valeur créée en France. Elle ne remplace pas SecNumCloud. Les deux dispositifs répondent à des questions distinctes.

Souveraineté numérique en entreprise : une grille de décision simple

Avant de remplacer Teams, commencez par classer les usages. Cette étape évite une migration globale alors qu’un périmètre ciblé peut suffire. Elle évite aussi l’erreur inverse : conserver par habitude un outil sur des flux dont la sensibilité a changé.

Cette méthode permet de conserver Teams là où le risque est accepté et d’introduire une plateforme collaborative souveraine là où il ne l’est pas. Une stratégie hybride peut être plus réaliste qu’un remplacement intégral, à condition que les règles d’usage soient compréhensibles par les équipes.

Le guide Eur’Net sur la communication d’entreprise sécurisée et la sortie de la dépendance GAFAM détaille cette logique par usages, sans réduire la décision à une opposition de marques.

Passer de l’objection au diagnostic Eur’Net

À l’objection « on a déjà Teams », la meilleure réponse n’est pas « changez tout ». C’est : « quelles données voulez-vous réellement protéger, contre quels risques, et avec quelles preuves ? ». Trois questions suffisent souvent à faire apparaître le vrai besoin : où se trouvent les données, qui peut juridiquement les réclamer et quel niveau de garantie votre organisation doit-elle démontrer ?

Un diagnostic Eur’Net peut servir à cartographier ces flux, distinguer les usages ordinaires des échanges sensibles et vérifier si Whaller, Whaller DONJON ou une autre architecture répond au besoin. L’objectif n’est pas de vendre une migration par principe, mais de choisir un périmètre de confiance proportionné.

Préparez ce diagnostic avec cinq éléments : utilisateurs, documents échangés, outils actuels, obligations applicables et données qui ne doivent pas sortir du périmètre défini, dans la logique des cinq piliers détaillés par notre guide complet de la cybersécurité TPE-PME. La comparaison partira ainsi de faits.