OneDrive est-il vraiment sécurisé ?

Toute personne qui utilise OneDrive stocke, organise et partage des données via le service Cloud de Microsoft. Le niveau de pro­tec­tion des données avec OneDrive dépend non seulement des mesures tech­niques du service, mais aussi du cadre juridique et des mesures or­ga­ni­sa­tion­nelles ap­pli­quées.

OneDrive est-il sécurisé ? L’essentiel en bref

Microsoft protège les données stockées dans OneDrive à l’aide de plusieurs mé­ca­nismes de sécurité. Les données sont chiffrées pendant leur transfert via TLS et, lorsqu’elles sont stockées, au moyen de plusieurs niveaux de pro­tec­tion reposant notamment sur AES-256. OneDrive ne propose toutefois pas, par défaut, de chif­fre­ment de bout en bout classique dans lequel seuls les uti­li­sa­teurs dé­tien­nent les clés de chif­fre­ment.

Des fonctions comme l’au­then­ti­fi­ca­tion à deux facteurs et les mé­ca­nismes de contrôle d’accès ren­for­cent également la pro­tec­tion. Dans l’ensemble, OneDrive propose de nom­breuses fonctions de sécurité pour les usages privés et pro­fes­sion­nels, dont l’ef­fi­ca­cité dépend toutefois de la con­fi­gu­ra­tion du compte et des mesures activées.

Du point de vue juridique, la pro­tec­tion des données avec OneDrive doit néanmoins être évaluée avec nuance. En tant qu’en­tre­prise amé­ri­caine, Microsoft est soumise à certaines obli­ga­tions légales d’accès aux données, notamment dans le cadre du CLOUD Act. Pa­ral­lè­le­ment, avec des mesures comme l’EU Data Boundary, Microsoft a étendu le trai­te­ment de nom­breuses données pro­fes­sion­nelles au sein de l’Europe. La pos­si­bi­lité d’utiliser OneDrive con­for­mé­ment au RGPD dépend donc des bases con­trac­tuelles, de la con­fi­gu­ra­tion du service et de la nature des données traitées.

Qu’est-ce que OneDrive ?

Avec OneDrive, vous pouvez stocker et organiser vos fichiers dans le Cloud de Microsoft. OneDrive est intégré à Windows et propose des ap­pli­ca­tions pour d’autres systèmes d’ex­ploi­ta­tion et appareils mobiles, mais son uti­li­sa­tion nécessite un compte Microsoft. Le service est inclus dans de nom­breuses offres Microsoft 365.

Vous pouvez syn­chro­ni­ser vos données OneDrive sur l’ensemble de vos appareils ou limiter la syn­chro­ni­sa­tion à certaines ap­pli­ca­tions et à certains appareils. OneDrive permet de syn­chro­ni­ser et de sau­ve­gar­der au­to­ma­ti­que­ment certains dossiers de l’or­di­na­teur, ainsi que de col­la­bo­rer sur des fichiers grâce aux fonctions de partage.

Quel type de chif­fre­ment OneDrive utilise-t-il ?

Vous trouverez des in­for­ma­tions dé­tail­lées sur les mesures mises en œuvre pour assurer la sécurité de OneDrive sur la page de support Microsoft. Il convient de dis­tin­guer le chif­fre­ment des données pendant leur trans­mis­sion et leur pro­tec­tion au repos.

Lors du transfert de données entre le terminal et les serveurs de Microsoft, OneDrive utilise des pro­to­coles de chif­fre­ment reposant sur TLS. De plus, les données stockées sont protégées au repos. Microsoft combine le chif­fre­ment des supports de stockage, par exemple avec BitLocker, et un chif­fre­ment au niveau des fichiers reposant sur AES-256.

Cette ar­chi­tec­ture de sécurité mul­ti­couche réduit le risque d’accès non autorisé aux données stockées, et donc des attaques par force brute. Son ef­fi­ca­cité dépend toutefois aussi de la sécurité du compte Microsoft, des droits d’accès con­fi­gu­rés et des mesures de pro­tec­tion activées.

Quels droits d’accès peuvent être définis dans OneDrive ?

Comme dans Google Drive, vous pouvez partager des fichiers et des dossiers stockés dans OneDrive avec des personnes sé­lec­tion­nées et définir pré­ci­sé­ment leurs droits d’accès. Vous pouvez :

• Autoriser uni­que­ment la con­sul­ta­tion des contenus ou également leur mo­di­fi­ca­tion
• Accorder l’accès à des adresses email spé­ci­fiques ou au moyen de liens de partage
• Limiter la durée de validité des liens ou leur appliquer des res­tric­tions sup­plé­men­taires, selon le type de compte et les pa­ra­mètres définis par l’ad­mi­nis­tra­tion

Les au­to­ri­sa­tions exis­tantes peuvent être modifiées ou sup­pri­mées à tout moment. Vous conservez ainsi le contrôle sur les au­to­ri­sa­tions de partage et con­tri­buez à renforcer la sécurité de OneDrive.

Microsoft applique le principe de Zero Standing Access (ZSA) et indique que son personnel ne dispose, par défaut, d’aucun accès permanent aux données des clients. Lorsqu’un accès ex­cep­tion­nel est né­ces­saire, par exemple à des fins d’as­sis­tance ou de main­te­nance, il doit être lié à une tâche précise, limité dans le temps, restreint aux seules données in­dis­pen­sables et soumis à des mé­ca­nismes de contrôle et de jour­na­li­sa­tion.

La pro­tec­tion des données avec OneDrive doit toutefois être évaluée au regard des obli­ga­tions légales aux­quelles Microsoft est soumis en tant qu’en­tre­prise amé­ri­caine. Dans le cadre du CLOUD Act, les autorités amé­ri­caines peuvent, sous certaines con­di­tions ju­ri­diques, demander à Microsoft de leur trans­mettre des données placées sous son contrôle, y compris lorsque celles-ci sont stockées en dehors des États-Unis. Pour les en­tre­prises, il est donc important de ne pas examiner uni­que­ment les droits d’accès tech­niques, mais aussi les risques liés aux trans­ferts in­ter­na­tio­naux de données, aux demandes des autorités et à la nature des in­for­ma­tions stockées.

Quel est l’impact du CLOUD Act sur la pro­tec­tion des données avec OneDrive ?

Le CLOUD Act, adopté aux États-Unis en 2018, encadre les con­di­tions dans les­quelles les autorités amé­ri­caines peuvent demander à un four­nis­seur comme Microsoft de trans­mettre des données placées sous sa pos­ses­sion, sa garde ou son contrôle. Cette obli­ga­tion peut également concerner des données stockées dans des data centers situés en dehors des États-Unis. Elle ne permet toutefois pas un accès au­to­ma­tique ou gé­né­ra­lisé aux données : chaque demande doit respecter les pro­cé­dures et les exigences ju­ri­diques ap­pli­cables.

La question des trans­ferts de données vers les États-Unis a pris une im­por­tance par­ti­cu­lière après l’in­va­li­da­tion du Privacy Shield par la Cour de justice de l’Union eu­ro­péenne en 2020. Depuis juillet 2023, la décision d’adé­qua­tion relative au cadre de pro­tec­tion des données UE-États-Unis, ou EU-US Data Privacy Framework, permet certains trans­ferts vers les en­tre­prises amé­ri­caines par­ti­ci­pant ac­ti­ve­ment au dis­po­si­tif. Microsoft figure parmi les en­tre­prises cer­ti­fiées, mais le statut de cer­ti­fi­ca­tion de l’entité concernée doit être vérifié ré­gu­liè­re­ment.

Ce cadre reste ju­ri­di­que­ment ap­pli­cable, mais sa pérennité fait l’objet d’in­cer­ti­tudes crois­santes. Sa validité a été confirmée en première instance par le Tribunal de l’Union eu­ro­péenne le 3 septembre 2025, mais cette décision fait l’objet d’un pourvoi devant la Cour de justice de l’Union eu­ro­péenne. Une décision rendue par la Cour suprême des États-Unis en juin 2026 a également remis en cause la pro­tec­tion contre la ré­vo­ca­tion dont bé­né­fi­ciaient les membres de la Federal Trade Com­mis­sion. Cette évolution soulève des in­ter­ro­ga­tions sur l’in­dé­pen­dance de l’une des autorités chargées de contrôler le respect du dis­po­si­tif aux États-Unis.

Le Data Privacy Framework ne doit donc pas être considéré comme un fondement dé­fi­ni­ti­ve­ment sécurisé. En France, les en­tre­prises qui utilisent OneDrive restent res­pon­sables de la con­for­mité de leurs trai­te­ments au RGPD. Elles doivent examiner la nature et la sen­si­bi­lité des données, les con­di­tions con­trac­tuelles de Microsoft, les trans­ferts éventuels vers des pays tiers, la con­fi­gu­ra­tion du service ainsi que les mesures tech­niques et or­ga­ni­sa­tion­nelles mises en place. Pour les données par­ti­cu­liè­re­ment sensibles, un chif­fre­ment préalable avec des clés con­trô­lées par l’en­tre­prise peut apporter une pro­tec­tion sup­plé­men­taire.

OneDrive est-il suf­fi­sam­ment sécurisé contre les cy­be­rat­taques ?

Dans l’ensemble, Microsoft offre, comme Google et Apple, un niveau de sécurité solide pour le stockage Cloud. Cela vaut par­ti­cu­liè­re­ment lorsque vous utilisez OneDrive à des fins privées ou pour sau­ve­gar­der des données qui ne sont pas critiques pour l’activité de l’en­tre­prise. Parmi les prin­ci­pales mesures de sécurité de OneDrive contre les cy­be­rat­taques et les accès non autorisés figurent :

• Pro­tec­tion du compte par des mots de passe robustes
• Au­then­ti­fi­ca­tion mul­ti­fac­teur (MFA) pour renforcer la sécurité des con­nexions
• Chif­fre­ment TLS pendant le transfert des données
• Chif­fre­ment mul­ti­couche des données stockées (AES-256)
• Processus d’accès contrôlés selon le principe du Zero Standing Access
• Isolation du réseau, pare-feu et mesures de sécurité physique dans les data centers
• Analyse des malwares pour les fichiers té­lé­ver­sés dans les en­vi­ron­ne­ments Microsoft 365
• Détection des ran­som­wares et fonctions de res­tau­ra­tion, notamment pour les abon­ne­ments Microsoft 365 concernés
• His­to­rique des versions et res­tau­ra­tion des fichiers
• Coffre-fort personnel ajoutant une couche d’au­then­ti­fi­ca­tion et de pro­tec­tion pour certains fichiers dans les comptes privés
• Options de partage gra­nu­laires pour les fichiers et les dossiers, notamment des res­tric­tions d’accès pour les liens
• No­ti­fi­ca­tions en cas de ten­ta­tives de connexion suspectes
• Ré­cu­pé­ra­tion du compte à l’aide des in­for­ma­tions de sécurité en­re­gis­trées
• Jour­na­li­sa­tion et sur­veil­lance des accès, en par­ti­cu­lier dans les en­vi­ron­ne­ments pro­fes­sion­nels

Où sont stockées les données OneDrive ?

L’em­pla­ce­ment de stockage et de trai­te­ment des données OneDrive dépend du type de compte, de la région associée au client et des services Microsoft utilisés. Microsoft exploite des data centers dans de nom­breuses régions du monde. Pour les comptes pro­fes­sion­nels, OneDrive est rattaché au tenant Microsoft 365 du client, tandis que l’em­pla­ce­ment physique des données dépend des en­ga­ge­ments de résidence ap­pli­cables à la région choisie.

Pour les clients pro­fes­sion­nels et les or­ga­nismes publics établis dans l’Union eu­ro­péenne ou l’As­so­cia­tion eu­ro­péenne de libre-échange, Microsoft a achevé en février 2025 la mise en œuvre de l’EU Data Boundary. Celle-ci encadre le stockage et le trai­te­ment dans l’UE et l’AELE des données clients, de certaines données per­son­nelles et des données de services pro­fes­sion­nels couvertes, sous réserve des ex­cep­tions do­cu­men­tées par Microsoft.

Du point de vue du RGPD, les en­tre­prises doivent donc vérifier quelles ca­té­go­ries de données sont traitées, où se trouve leur tenant, quels services et modules com­plé­men­taires sont activés et quelles ex­cep­tions sont prévues par les con­di­tions con­trac­tuelles. L’EU Data Boundary améliore la résidence et la trans­pa­rence des données, mais ne dispense pas d’une éva­lua­tion in­di­vi­duelle des risques.

OneDrive respecte-t-il le RGPD et les règles eu­ro­péennes de pro­tec­tion des données ?

Il n’est pas possible de répondre de manière générale par oui ou par non à la question de savoir si OneDrive peut être utilisé con­for­mé­ment au RGPD. Pour OneDrive et Microsoft 365, Microsoft fournit un avenant relatif à la pro­tec­tion des données (Data Pro­ces­sing Addendum), intégré à ses con­di­tions con­trac­tuelles, ainsi que des clauses con­trac­tuelles types et une do­cu­men­ta­tion sur la sécurité et la con­for­mité.

En tant que service proposé par une en­tre­prise amé­ri­caine, OneDrive soulève néanmoins certaines questions en matière de pro­tec­tion des données. Sous certaines con­di­tions, Microsoft peut être tenu de répondre à des demandes lé­ga­le­ment fondées émanant des autorités amé­ri­caines. Les en­tre­prises doivent donc évaluer non seulement la sécurité technique de OneDrive, mais aussi les risques ju­ri­diques liés à d’éventuels accès depuis des pays tiers.

Microsoft a renforcé ses mesures de pro­tec­tion des données au cours des dernières années. Avec l’EU Data Boundary, de nom­breuses données de clients pro­fes­sion­nels européens sont stockées et traitées au sein de l’UE et de l’AELE. Le trai­te­ment réel dépend toutefois toujours des services utilisés, de leur con­fi­gu­ra­tion et du scénario d’uti­li­sa­tion.

Pour utiliser OneDrive con­for­mé­ment au RGPD, les en­tre­prises doivent donc mettre en œuvre des mesures tech­niques et or­ga­ni­sa­tion­nelles ap­pro­priées. Cela comprend l’ac­cep­ta­tion et la vé­ri­fi­ca­tion de l’avenant relatif à la pro­tec­tion des données de Microsoft, la dé­fi­ni­tion de droits d’accès clairs, l’uti­li­sa­tion de l’au­then­ti­fi­ca­tion mul­ti­fac­teur et l’in­for­ma­tion trans­pa­rente des personnes con­cer­nées.

Quel niveau de sécurité et de con­for­mité OneDrive offre-t-il aux en­tre­prises ?

Pour les en­tre­prises, la sécurité de OneDrive doit être évaluée avec nuance du point de vue de la pro­tec­tion des données et de la con­for­mité. Microsoft fournit de nom­breuses fonctions de sécurité et de con­for­mité ainsi que des garanties con­trac­tuelles, notamment un avenant relatif à la pro­tec­tion des données (Data Pro­ces­sing Addendum) et des clauses con­trac­tuelles types. La res­pon­sa­bi­lité de l’uti­li­sa­tion conforme du service reste toutefois partagée : Microsoft doit respecter ses obli­ga­tions en tant que sous-traitant, tandis que l’en­tre­prise demeure res­pon­sable du choix, de la con­fi­gu­ra­tion et de l’uti­li­sa­tion de OneDrive.

En tant qu’en­tre­prise amé­ri­caine, Microsoft est soumise au CLOUD Act. Les autorités amé­ri­caines peuvent donc, dans certaines con­di­tions ju­ri­diques, demander l’accès à des données placées sous son contrôle. Ce risque doit être pris en compte dans l’éva­lua­tion de la pro­tec­tion des données.

En France, l’uti­li­sa­tion de OneDrive et de Microsoft 365 doit être évaluée au regard du RGPD et des re­com­man­da­tions de la CNIL. L’organisme uti­li­sa­teur reste res­pon­sable de la con­for­mité du trai­te­ment et doit notamment vérifier les con­di­tions con­trac­tuelles de Microsoft, la lo­ca­li­sa­tion des données, les éventuels trans­ferts vers des pays tiers, les mesures de sécurité et la con­fi­gu­ra­tion des droits d’accès. L’uti­li­sa­tion de OneDrive n’est donc pas au­to­ma­ti­que­ment conforme ou non conforme au RGPD. Elle doit faire l’objet d’une analyse adaptée à la nature des données traitées et aux risques associés. Pour les données sensibles ou soumises à des exigences par­ti­cu­lières, des mesures sup­plé­men­taires peuvent être né­ces­saires, comme le chif­fre­ment préalable des fichiers, la li­mi­ta­tion stricte des accès ou le choix d’une autre solution d’hé­ber­ge­ment.

Les en­tre­prises qui utilisent OneDrive doivent prendre en compte les points suivants :

• Accepter et vérifier l’avenant relatif à la pro­tec­tion des données de Microsoft, qui encadre la sous-traitance
• Dé­ter­mi­ner la base juridique ap­pli­cable au trai­te­ment des données per­son­nelles
• Informer de manière trans­pa­rente les personnes con­cer­nées sur la nature, la finalité et l’étendue du trai­te­ment
• Vérifier les éventuels trans­ferts vers des pays tiers et les garanties associées
• Mettre en œuvre des mesures tech­niques et or­ga­ni­sa­tion­nelles adaptées, comme l’au­then­ti­fi­ca­tion mul­ti­fac­teur et une gestion ri­gou­reuse des droits d’accès

Con­for­mé­ment à l’article 28 du RGPD, l’uti­li­sa­tion pro­fes­sion­nelle de OneDrive pour traiter des données per­son­nelles doit être encadrée par les dis­po­si­tions de sous-traitance ap­pli­cables, notamment le Data Pro­ces­sing Addendum de Microsoft. Celui-ci doit préciser :

• Les ca­té­go­ries de données per­son­nelles traitées
• Les finalités et la durée du trai­te­ment
• Les obli­ga­tions et les droits des deux parties
• Les mesures de sécurité ap­pli­cables
• Les con­di­tions de recours à d’autres sous-traitants
• Les pro­cé­dures de sup­pres­sion ou de res­ti­tu­tion des données

Pour utiliser OneDrive de manière conforme au RGPD, les en­tre­prises doivent également :

• Évaluer les trans­ferts in­ter­na­tio­naux de données et, lorsque le mécanisme utilisé ou le niveau de risque l’exige, réaliser une analyse d’impact relative aux trans­ferts
• Vérifier ré­gu­liè­re­ment les documents con­trac­tuels et les in­for­ma­tions de con­for­mité de Microsoft
• Définir des règles internes pour la clas­si­fi­ca­tion des données et la gestion des accès
• Mettre en place des pro­cé­dures de jour­na­li­sa­tion, de sur­veil­lance et de contrôle des au­to­ri­sa­tions
• Appliquer des mesures de chif­fre­ment sup­plé­men­taires ou éviter le stockage dans OneDrive lorsque la sen­si­bi­lité des données et l’analyse des risques le jus­ti­fient

Quelles sont les al­ter­na­tives à OneDrive ?

Si vous avez des doutes con­cer­nant les mesures de pro­tec­tion des données de Microsoft et que vous vous demandez si OneDrive est suf­fi­sam­ment sécurisé pour vos usages, il peut être utile de comparer di­rec­te­ment les four­nis­seurs de Cloud. Vous obtenez ainsi une vue d’ensemble des fonc­tion­na­li­tés, des modèles d’hé­ber­ge­ment et du niveau de sécurité des dif­fé­rentes al­ter­na­tives à OneDrive.

Les four­nis­seurs de Cloud européens cons­ti­tuent des al­ter­na­tives ap­pré­ciées à OneDrive. Ils proposent souvent des règles plus strictes en matière de résidence des données et peuvent faciliter le respect des exigences eu­ro­péennes de pro­tec­tion des données. Parmi les four­nis­seurs offrant un niveau élevé de pro­tec­tion des données et des em­pla­ce­ments de serveurs conformes au RGPD figurent notamment IONOS HiDrive et Secure Cloud.