Sauvegarde Windows par défaut : pourquoi le DMA oblige Microsoft à exclure l'Europe

Depuis août 2025, les appareils Windows gérés par une organisation peuvent sauvegarder automatiquement leurs paramètres dans le cloud : sons, connexions Wi-Fi et Bluetooth, disposition multi-écrans, menu Démarrer, applications du Microsoft Store. À partir de Windows 11 26H2, cette sauvegarde sera activée par défaut sur tous les appareils gérés… sauf dans l’Union européenne, où Microsoft a choisi de la laisser désactivée. La raison, assumée par l’éditeur : le Digital Markets Act (DMA).

Ce qui s'est passé

Microsoft a confirmé sur son blog Tech Community que le basculement vers une sauvegarde « par défaut » arrivera avec la mise à jour Windows 11 26H2, et sera également poussé vers les appareils en 26H1 via une mise à jour de fonctionnalités. Concrètement, chaque appareil Windows 10/11 Entreprise, Éducation ou Pro rattaché à Entra ID (jonction cloud ou hybride) verra ses réglages sauvegardés automatiquement tous les 8 jours dans le locataire Microsoft 365 de l'organisation. Deux points de restauration seront disponibles : la configuration initiale et l'état de la première connexion.

Cette bascule « par défaut » ne s'appliquera toutefois pas dans l'UE. Microsoft justifie explicitement cette exception territoriale par les obligations du DMA, la fonctionnalité impliquant le traitement de données personnelles. C'est la deuxième fois que l'éditeur applique cette logique : il avait déjà exclu l'Europe de l'activation automatique de la sauvegarde OneDrive des dossiers Documents, Images et Bureau.

Pourquoi c'est important pour les DPO

Le DMA est d'abord connu comme un texte de régulation économique visant les « gatekeepers » du numérique. Mais cet épisode illustre un effet secondaire moins commenté : il agit aussi comme un garde-fou de fait sur les réglages par défaut qui touchent à des données personnelles, là où le RGPD impose déjà la protection des données dès la conception. Ce n'est pas un cas isolé : la Commission européenne a par ailleurs ouvert des enquêtes DMA visant AWS et Azure comme services de plateforme essentiels, tandis que plusieurs Big Tech multiplient les recours devant le Tribunal de l'UE contre les premières sanctions prononcées au titre du règlement.

Le sujet touche directement les organisations qui utilisent Microsoft 365 et gèrent un parc Windows via Entra ID. Les paramètres sauvegardés — réseaux Wi-Fi connus, préférences d'affichage, applications installées — constituent des données à caractère personnel dès lors qu'ils sont associés à un compte utilisateur identifié, et sont hébergés dans le locataire Microsoft 365 de l'entreprise, Microsoft agissant comme sous-traitant au sens de l'article 28 du RGPD. Le DPO doit donc traiter cette fonctionnalité, activée ou non, comme un traitement à documenter dans son registre des traitements, au même titre que toute autre configuration de son environnement Microsoft 365 (voir notre guide sur la sécurisation d'Office 365).

Ce que ça change concrètement

En Europe, l'absence d'activation automatique laisse la main aux DPO et RSSI, mais ne dispense de rien : si une politique de sauvegarde Windows a déjà été définie sur le parc, par exemple via Intune, elle continuera de s'appliquer sans changement. Pour les organisations qui envisagent d'activer la fonctionnalité volontairement, trois réflexes s'imposent : vérifier la base légale du traitement (l'intérêt légitime de l'employeur pour la continuité de service, à documenter), informer les utilisateurs concernés de la conservation de leurs préférences dans le tenant M365, et s'assurer que le contrat de sous-traitance signé avec Microsoft couvre bien cette catégorie de données. Les équipes IT des groupes internationaux doivent également anticiper la bascule prévue avec 26H2 : sur les appareils situés hors UE, le comportement par défaut changera sans action de leur part.

Ce que Leto pense de cette décision

Ce n'est pas un excès de prudence de la part de Microsoft, c'est un aveu implicite : ce type de sauvegarde traite bel et bien des données personnelles, et l'éditeur ne l'active par défaut que là où la réglementation ne l'y oblige pas expressément. Pour les DPO, la leçon dépasse largement Windows : ne jamais présumer qu'un paramètre « par défaut » respecte le RGPD sous prétexte qu'il est proposé par un éditeur sérieux. Le DMA a ici joué le rôle de filet de sécurité de fait — mais rien ne garantit que ce filet fonctionne à chaque nouvelle fonctionnalité. La vigilance doit rester du côté du responsable de traitement, pas de l'éditeur.

Sources : Sauvegarde Windows activée par défaut : l'Europe tenue à l'écart, Silicon.fr · Windows settings backup becoming a new resilience baseline, Microsoft Tech Community