Microsoft Forms est-il conforme au droit suisse de la protection des données ?

La question surgit dans toute organisation suisse qui paie Microsoft 365, en général la semaine où quelqu'un construit un formulaire RH dans Forms parce qu'il était déjà là. La réponse honnête est plus utile que les deux que l'on entend d'habitude. Ce n'est pas « Microsoft n'est pas conforme » — c'est faux et facile à réfuter. Ce n'est pas non plus « nous avons le contrat de sous-traitance Microsoft, donc tout va bien », car cela répond à une autre question. Microsoft Forms est licite pour la plupart des traitements suisses, et quatre faits précis déterminent quand il cesse d'être le bon choix.

Si votre question est de savoir si Forms est chiffré, nous y avons répondu séparément dans Microsoft Forms est-il chiffré — réponse courte : oui, en transit et au repos, avec Microsoft détenteur des clés. Cet article porte sur sa licéité en Suisse, qui est un test différent avec une réponse différente.

Ce que la nLPD exige réellement de vous ici

Commencez par la structure, plus simple que le débat qui l'entoure. Utiliser un outil de formulaires en cloud fait de vous le responsable du traitement et de Microsoft un sous-traitant au sens de l'art. 9 nLPD. La responsabilité reste chez vous. Ce que vous devez tient en une liste courte et vérifiable.

1. Un contrat de sous-traitance. L'avenant de protection des données de Microsoft, partie des conditions des services en ligne, est le document — vous ne le négociez pas, vous le localisez et l'archivez. Ce qu'il doit contenir et ce qu'il n'achète pas est dans le contrat de sous-traitance pour les outils de formulaires.
2. Une base pour la communication à l'étranger. Les États de l'UE et de l'EEE figurent sur la liste suisse d'adéquation (annexe 1 de l'ordonnance), donc un stockage UE/AELE n'exige pas de clauses types. Mais Microsoft Corporation est un groupe américain, et les sous-traitants ultérieurs comme les accès du support se regardent, ils ne se supposent pas. Analyse complète dans quelles données de formulaires peuvent légalement quitter la Suisse.
3. La transparence de l'art. 19. Les répondants doivent savoir qui est responsable, à quelle fin, quels sont les destinataires et quels pays sont concernés. « Microsoft » a sa place dans cette note, pas seulement dans votre registre interne.
4. Proportionnalité et limitation des finalités (art. 6). L'exigence la plus souvent manquée, et elle n'a rien à voir avec Microsoft : elle porte sur les champs que vous mettez dans le formulaire.
5. Une sécurité proportionnée au risque (art. 8) — c'est là que la question « qui peut lire ceci » passe de la philosophie au test de conformité.
6. Une entrée au registre des traitements, nommant Microsoft comme sous-traitant, la localisation UE/AELE et la catégorie de données.

Remarquez ce qui ne figure pas sur cette liste : une quelconque obligation de stocker les données en Suisse. Le droit suisse n'impose rien de tel aux responsables privés. La localisation compte pour d'autres raisons — charge documentaire, friction procédurale, couches sectorielles — que nous exposons dans les formulaires avec serveurs en Suisse.

Les quatre faits suisses que la plupart des tenants ignorent

1. La frontière des données de l'UE n'est pas une frontière suisse

L'EU Data Boundary de Microsoft est un engagement d'ingénierie réel qui maintient l'essentiel des données de service Microsoft 365 dans les régions UE et AELE. La Suisse est un État de l'AELE, et les tenants suisses atterrissent dans la macro-région européenne — d'où le fait que l'engagement soit souvent rapporté en interne comme « nos données restent en Europe », puis arrondi discrètement en « nos données restent ici ». Ce sont deux affirmations différentes. Stocker les données de répondants suisses dans un centre de données de l'UE est une communication à l'étranger : licite au sens de l'art. 16 grâce à l'adéquation, et à nommer dans votre registre et votre note d'information.

2. Forms est hors Advanced Data Residency

C'est le fait qui piège les organisations soigneuses, et il mérite de la précision plutôt qu'une attaque. La Suisse est une géographie Advanced Data Residency : un tenant suisse peut donc maintenir en Suisse les données d'Exchange Online, SharePoint, OneDrive et Teams. Forms, en revanche, figure parmi les services additionnels sans engagement spécifique de localisation. Conséquence pratique : un canton, un hôpital ou une école qui a acquis la résidence suisse et croit qu'elle vaut pour tout le tenant a une affirmation inexacte dans sa propre documentation dès que quelqu'un crée un formulaire. Vérifiez la liste actuelle des services avant de vous y fier dans un sens ou dans l'autre — la couverture de Microsoft évolue.

3. Les administrateurs du tenant peuvent lire les réponses — par conception

Microsoft 365 embarque des outils d'eDiscovery, de rétention et d'audit précisément pour qu'une organisation puisse rechercher, conserver et produire du contenu à des fins juridiques et de gouvernance. C'est une capacité légitime et souvent exigée par la loi. Cela signifie aussi que la réponse honnête à « qui peut lire cet envoi » inclut le propriétaire du formulaire, les co-auteurs, les membres du groupe, vos administrateurs de tenant, et Microsoft comme sous-traitant en dessous. Pour un sondage sur le repas de midi, cette liste convient. Pour un formulaire de doléances, c'est exactement la liste qui inquiète vos répondants — et aucun paramètre ne l'élimine, parce qu'il ne s'agit pas d'une mauvaise configuration.

4. Le secret professionnel va plus loin que le droit de la protection des données

L'art. 321 CP lie médecins, dentistes, pharmaciens, psychologues, avocats — et leurs auxiliaires. C'est ce dernier terme qui compte pour un logiciel : les personnes pouvant accéder aux informations protégées dans le cadre du travail du professionnel se trouvent à l'intérieur du périmètre du secret. Un contrat de sous-traitance ne vous libère pas de l'art. 321 — c'est un instrument de protection des données, pas de droit pénal. Pour un cabinet, la manière la plus propre de tenir un fournisseur hors du périmètre est d'utiliser un outil où il ne peut rien déchiffrer, argument développé dans les données de santé dans les formulaires.

Là où Microsoft Forms est une très bonne réponse

Cela mérite d'être dit clairement, car une culture de conformité qui traite chaque outil comme une menace perd l'argument le jour où il compte. Si la donnée est ordinaire et le public interne, Forms est pratique, déjà payé, intégré à votre système d'identité, et chiffré en transit et au repos. Utiliser autre chose reviendrait à payer une protection que la donnée ne justifie pas.

Administrations cantonales, hôpitaux et écoles

Les organes publics sont le groupe le plus susceptible d'avoir déjà une réponse formelle — et le plus susceptible d'en avoir une qui ne couvre pas Forms. Selon l'entité, le droit cantonal de la protection des données s'applique à la place de la nLPD fédérale ou à côté d'elle, et de nombreux cantons et institutions ont mené leurs propres évaluations de Microsoft 365 assorties de conditions : catégories de données interdites, exigences de configuration, ou restriction à des services déterminés.

La résolution de privatim de novembre 2025 sur les services de cloud internationaux est ici la référence externe la plus tranchée. Elle ne tient l'usage de prestataires exposés à un accès étranger pour admissible que dans des cas étroits — avec l'exception notable où l'organe public chiffre lui-même les données et où le fournisseur ne détient aucune clé. Cette exception mérite une lecture attentive, car elle décrit précisément l'architecture qui permet à une entité d'utiliser un service cloud pour des contenus qu'elle n'aurait sinon pas pu y placer.

Si vous restez sur Forms, faites ces six choses

Quand passer à autre chose, et ce que cela change

Le déclencheur n'est pas la sensibilité dans l'abstrait, mais le fait de savoir si la lisibilité des données par vos administrateurs et par le fournisseur pose problème. Quand c'est le cas, la solution est architecturale et non contractuelle : le chiffrement de bout en bout, où la réponse est chiffrée dans le navigateur du répondant et où seul le détenteur de la clé peut la déchiffrer. Un administrateur de tenant voit du texte chiffré. L'eDiscovery trouve du texte chiffré. Une injonction au fournisseur produit du texte chiffré. C'est une propriété réellement différente de « chiffré au repos avec des clés détenues par le fournisseur », et la seule qui modifie la liste des lecteurs.

Cela coûte aussi quelque chose, et il faut le dire : pas de recherche côté serveur dans les réponses, pas d'analyse de contenu côté fournisseur, et aucune récupération si vous perdez la clé. La plupart des organisations aboutissent à un partage raisonnable — Forms pour la collecte interne à faible enjeu dans un tenant déjà payé, et un outil chiffré pour l'ensemble restreint de formulaires dont le contenu causerait un dommage réel entre de mauvaises mains. Utiliser deux outils est une délimitation, pas un échec de consolidation. Le comparatif fonctionnel est dans Schweizerform vs Microsoft Forms.

L'essentiel

Microsoft Forms est-il conforme au droit suisse de la protection des données ? Pour des données internes ordinaires, oui — avec le contrat de sous-traitance archivé, la localisation UE/AELE documentée, Microsoft nommé dans la note d'information et une liste de champs proportionnée. Les pièges propres à la Suisse sont que la frontière des données de l'UE n'est pas suisse, qu'Advanced Data Residency ne s'étend pas à Forms, et que la lisibilité des réponses par les administrateurs est une propriété de conception et non un réglage.

Pour une collecte confidentielle — doléances RH, signalements, données de patients et de clients sous secret professionnel —, la réponse change, et elle change pour une raison qu'aucun contrat ne peut traiter : quelqu'un d'autre que le destinataire prévu peut lire l'envoi. C'est tout le test, et il mérite d'être appliqué à chaque outil que vous évaluez, y compris le nôtre.