Paramètres Windows : comment vous défendre face à la « collectionnite » de Microsoft

Il y a peu, un client m’a confié qu’il était contraint de passer de Windows Pro à Windows Enterprise. Pourquoi ? Parce que l’utilisation de Microsoft Windows 10 et 11 n’est conforme au règlement général sur la protection des données (RGPD) que dans certaines conditions très précises. Plus particulièrement, ce sont les données de télémétrie recueillies en arrière-plan par Microsoft qui posent problème. Sous Windows Enterprise, leur transmission peut être bloquée en réglant les paramètres de protection des données en conséquence. Les versions Windows Pro et Home, en revanche, n’offrent pas cette possibilité. Une preuve de plus que la protection des données n’est pas vraiment une priorité pour Microsoft et que le groupe essaye par tous les moyens de favoriser ses propres intérêts.

En fonction de la configuration, les données de télémétrie peuvent contenir des données à caractère personnel. Celles-ci sont régies par le RGPD et sont soumises à une règlementation stricte, notamment en cas de transmission vers des pays tiers. Dans le cas de Windows, nul ne sait si les dispositions en matière de protection des données du groupe respectent les obligations du règlement. Ainsi, la question se pose de savoir si la finalité du traitement des données est expliquée avec suffisamment de transparence et si les personnes concernées ont la possibilité de supprimer l’ensemble de leurs données. Le transfert des données vers les États-Unis est lui aussi préoccupant. Il existe certes un cadre de protection des données entre l’Union européenne et les États-Unis, qui offre une base juridique formelle pour la transmission des données à caractère personnel vers le pays partenaire, mais il n’est pas exclu que celui-ci soit déclaré nul par la Cour de justice de l’Union européenne, comme pour les deux traités précédents, la « Sphère de sécurité » (« Safe Harbour ») et le « Bouclier de protection » (« Privacy Shield »). La transmission de données à caractère personnel vers le nuage d’un prestataire américain se trouverait alors dépourvue de toute base juridique. Et cela vaudrait aussipour Microsoft. C’est que depuis l’adoption du CLOUD Act, les entreprises américaines sont contraintes de fournir aux autorités des États-Unis les données que celles-ci leur demandent, et ce, même si les données en question sont sauvegardées dans un centre de données sur le territoire de l’UE.

Windows 11 ou la collecte de données de masse en cas de paramètres par défaut
En soi, il n’est pas inhabituel que les éditeurs recueillent des données de télémétrie. Celles-ci leur servent généralement à en savoir plus sur l’utilisation et les performances du système d’exploitation. Grâce aux données de diagnostic, ils peuvent par exemple analyser les causes de plantages ou améliorer la disponibilité ou la sécurité de leurs logiciels. Cependant, les utilisateurs ne voient pas quelles données sont collectées et transmises en arrière-plan. La chaîne YouTube PC Security Channel a voulu faire la lumière sur cette question et a récemment étudié en laboratoire quelles sont les liaisons de données mises en place par Windows 11 sur un ordinateur portable neuf après y avoir été fraîchement installé. Le résultat est des plus inquiétants et les experts ont même qualifié le système d’exploitation de Microsoft de « logiciel espion ». C’est que Windows 11 ne crée pas seulement des passerelles vers les serveurs de Windows Update, Bing et MSN, mais communique également des données à divers services de marketing et d’étude de marché. La vidéo est en anglais, mais vous en trouverez un résumé ici.

Comment paramétrer Windows pour protéger vos données ?
Comme d’habitude, Microsoft fait peser la responsabilité sur sa clientèle. Si vous utilisez Windows 10 ou 11, vous devez régler les paramètres de protection des données correctement par vos propres moyens. Cependant, Microsoft n’a pas misé sur la convivialité du processus : dans certaines versions, la transmission des données de télémétrie est activée par défaut dans les paramètres standard. Les administrateurs doivent donc modifier la configuration du système d’exploitation pour pouvoir l’utiliser dans le respect des dispositions en matière de protection des données. C’est du moins possible dans la version Enterprise Edition de Windows 10 et 11. La Conférence des autorités de protection des données de l’État et des Länder d’Allemagne a établi qu’aucune donnée à caractère personnel n’est transmise si la télémétrie est réglée sur le niveau « Sécurité ». Néanmoins, Windows 11 Enterprise Edition permet de procéder au paramétrage correspondant (« Données de diagnostic désactivées (sécurité) ») uniquement en passant par le registre ou par une stratégie de groupe.

Microsoft ne recueille pas que des données de télémétrie
Qui pense que prendre les mesures ci-dessus résoudra toutes les questions de protection des données se trompe bien. C’est ce qui ressort d’annonces récentes publiées après que le prestataire de messagerie chiffrée Proton a étudié les pratiques de la nouvelle version d’Outlook en matière de collecte des données. Ses conclusions sont troublantes : il semble qu’Outlook recueille massivement des données pour des partenaires externes de Microsoft. Et ce n’est pas la première fois que le géant du logiciel est critiqué pour son attitude cavalière vis-à-vis de la protection des données. En effet, il s’est déjà vu décerner le prix Big Brother Award à deux reprises pour ses manquements en la matière. La Conférence des autorités de protection des données de l’État et des Länder d’Allemagne a quant à elle déclaré fin 2022 que l’utilisation de Microsoft 365 ne pouvait être considérée sûre. Le pompon ? Une attaque de pirates informatiques chinois qui ont réussi à dérober la clé principale du cloud Azure, obtenant ainsi accès aux comptes utilisateurs de presque tous les services Microsoft Cloud.

Sortir de la dépendance vis-à-vis de Microsoft
Dans ce contexte, les entreprises comme les administrations feraient bien de se demander si elles veulent vraiment renforcer une dépendance déjà bien avancée vis-à-vis de Microsoft. C’est qu’il en va non seulement de la sécurité et de la protection des données, mais aussi de la souveraineté numérique. Avec l’omniprésence des modèles basés sur des abonnements sur le cloud, la dépendance économique devient de plus en plus risquée. Bon nombre de clients ont déjà pris conscience du danger et se détournent à présent des solutions sur le nuage uniquement proposées par Microsoft. Elles privilégient désormais un modèle hybride composé de licences sur site et d’infrastructures sur le cloud proposées par d’autres prestataires. Et si l’on est futé, on peut même se procurer des licences perpétuelles sur le marché de la seconde main avec d’importantes économies à la clé. On y trouve aussi des licences Windows 10 Enterprise Edition en version d’occasion, qui permettent actuellement de passer gratuitement à Window 11 Enterprise.