Les orientations suisses rendent le critère de décision explicite (source) : si le fournisseur cloud peut techniquement accéder aux clés de déchiffrement, le niveau de protection n’est pas suffisant pour les données personnelles sensibles ou les données soumises à une obligation légale de confidentialité.

Ce critère vise directement les déploiements M365 usuels, où le chiffrement dépend de clés que Microsoft peut opérer, même lorsque des options “customer-managed” sont activées.

Dans les configurations “standard” de Microsoft 365, la protection dépend in fine de clés qui restent sous le contrôle opérationnel de Microsoft. Il n’existe donc pas de séparation technique stricte entre les données chiffrées et la capacité de les déchiffrer, ce qui peut laisser au fournisseur un chemin d’accès aux données en clair — problématique pour les catégories sensibles et légalement confidentielles en Suisse.

Le Double Key Encryption (DKE) est cité comme exemple de chiffrement effectif vis-à-vis du fournisseur. Son fonctionnement repose sur deux clés distinctes :

• Une première clé gérée par Microsoft (dans Azure Key Vault)

• Une seconde clé gérée par l’administration dans une infrastructure externe et souveraine

Le déchiffrement requiert les deux clés simultanément. Microsoft, ne détenant qu’une seule clé, ne peut accéder aux données en clair.

En cas d’injonction au titre du CLOUD Act, Microsoft peut transmettre les données chiffrées. Elles restent illisibles sans la seconde clé, qui demeure sous contrôle de l’administration, en dehors du fournisseur.

Le DKE établit une séparation technique stricte entre les données chiffrées et la clé de déchiffrement déterminante.