Les principes fondamentaux restent inchangés: si des données personnelles sensibles ou des informations confidentielles doivent être traitées à l'aide des services M365, cela n'est possible qu'avec un chiffrement complet ou dans le cadre d'un fonctionnement hybride.
Modalités d'utilisation des données personnelles sensibles et des données soumises au secret professionnel
Il existe deux façons d'utiliser M365 qui permettent d'empêcher Microsoft d'accéder aux données soumises au secret professionnel et aux données personnelles sensibles:
- Si aucune mesure technique n’est prise lors de l’utilisation de M365 pour empêcher Microsoft d’accéder unilatéralement aux données, les données personnelles sensibles ainsi que les données relevant du secret professionnel doivent être traitées et stockées en dehors du cloud Microsoft, dans le cadre d’une solution hybride. Elles peuvent être traitées et stockées localement au sein de l’institution éducative ou chez un prestataire tiers n’ayant aucun lien avec les États-Unis.
- Il existe deux mesures techniques permettant d’empêcher Microsoft d’accéder unilatéralement aux données: l’utilisation généralisée du Double Key Encryption (DKE) et l’utilisation généralisée d’un Cloud Access Security Broker (CASB) avec chiffrement vis-à-vis de Microsoft.
Un aperçu du mode de fonctionnement hybride, accompagné d'une sélection d'exemples d'applications M365, figure à la page 5 du guide. Par ailleurs, l'annexe a été mise à jour avec une sélection d'applications M365 et une indication précisant lesquelles peuvent être utilisées exclusivement en ligne et ne peuvent, par conséquent, pas être intégrées dans une solution hybride.
Désactivation de Microsoft Copilot
Microsoft Copilot est intégré à différentes applications M365. Ce service peut collecter et analyser des contenus afin de les utiliser pour la rédaction de textes ou la formulation de suggestions à l’aide de l’IA. De ce fait, des données personnelles sensibles et des données soumises au secret professionnel peuvent être traitées dans les services cloud de Microsoft. Copilot doit donc être désactivé dans toutes les applications.
Par ailleurs, les informations relatives à la relation contractuelle avec Microsoft et à l’accord-cadre Educa ont été révisées, et la structure du guide a été harmonisée avec celle du guide M365 destiné aux communes.