Lorsqu'un collaborateur clique sur « Se connecter avec Microsoft » dans un outil en ligne, il peut être invité à accepter une liste d'autorisations : lire son profil, accéder à ses emails, à son calendrier ou à ses fichiers OneDrive. S'il accepte, l'éditeur de l'outil obtient un accès durable aux données correspondantes, souvent sans que personne d'autre dans l'organisation ne le sache.
Pour le DPO, ces autorisations sont des traitements de données personnelles à part entière, confiés à un tiers. Elles doivent donc être connues, évaluées et, le cas échéant, documentées dans le registre.
Où se trouvent ces autorisations
Toutes les applications ayant obtenu un accès apparaissent dans le centre d'administration Microsoft Entra, rubrique « Applications d'entreprise ». Pour chacune, l'onglet des autorisations indique les droits accordés et s'ils l'ont été par un administrateur, au nom de toute l'organisation, ou par un utilisateur seul. La liste contient aussi de nombreux services internes de Microsoft, présents dans tous les tenants, qu'il faut savoir écarter pour se concentrer sur les applications tierces.
Lire une autorisation : trois questions
- Quelles données sont accessibles ? Une autorisation limitée au profil de l'utilisateur est sans commune mesure avec un accès en lecture, et a fortiori en écriture, à la messagerie ou à l'ensemble des fichiers.
- Qui a donné son accord ? Un consentement donné par un utilisateur seul signifie qu'aucun contrôle n'a eu lieu avant l'ouverture de l'accès. C'est le cas typique d'usage non encadré.
- L'accès est-il durable ? L'autorisation « conserver l'accès aux données » permet à l'éditeur d'agir même lorsque l'utilisateur n'est pas connecté.
Le paramètre qui change tout : le consentement des utilisateurs
Selon la configuration du tenant, les utilisateurs peuvent être autorisés à consentir seuls à certaines applications, ou au contraire tenus de passer par une demande de validation par un administrateur. Ce réglage, accessible dans Entra ID, est l'une des mesures les plus efficaces pour limiter les usages non maîtrisés : le DPO a intérêt à connaître la configuration retenue et à en discuter avec la DSI.
Interdire tout consentement utilisateur n'est pas toujours souhaitable, car cela peut bloquer des usages légitimes et reporter la charge sur les administrateurs. Un compromis fréquent consiste à n'autoriser le consentement que pour des éditeurs vérifiés et des autorisations à faible risque, avec un circuit de validation pour le reste.
Que faire d'une application à risque
Face à une application disposant d'un accès étendu accordé sans validation, trois issues sont possibles : l'encadrer (validation par un administrateur, fiche au registre, vérification du contrat de l'éditeur), la remplacer par un outil équivalent déjà validé, ou révoquer l'accès. Dans tous les cas, la décision et sa justification doivent être tracées : c'est ce qui permettra de démontrer la maîtrise du risque.
Cet examen gagne à être répété régulièrement, car de nouvelles autorisations apparaissent chaque semaine dans une organisation active.