Par quel véhicule d'achat passer ?
C'est la question qui bloque le plus souvent un projet, avant même la technique. Une collectivité ne signe pas un devis parce qu'il lui convient : elle doit justifier du respect de la commande publique, avant l'engagement.
Trois situations reviennent. Sous le seuil de dispense de publicité, l'achat direct est possible mais reste soumis aux principes de bonne utilisation des deniers publics — les seuils évoluent et sont à vérifier à date. Au-dessus, une procédure adaptée s'impose. Enfin, une centrale d'achat permet de s'appuyer sur une mise en concurrence déjà réalisée.
Un conseil pratique : séparez l'audit du déploiement. Un audit court se commande facilement et produit le document qui permet d'écrire un cahier des charges réaliste.
Le choix du véhicule d'achat relève de votre service marchés, pas du prestataire. De notre côté, nous répondons dans le cadre de la procédure que vous fixez et nous décrivons par écrit le périmètre exact de la prestation — livrables, durées, exclusions — pour que vous puissiez le rattacher sans ambiguïté à la procédure retenue.
Que faire des données des administrés ?
Une collectivité traite des données qu'aucune entreprise ne détient : état civil, listes électorales, aides sociales du CCAS, scolarité, urbanisme, parfois police municipale. Certaines relèvent de catégories particulières au sens du RGPD, notamment ce qui touche à la situation sociale des personnes.
Trois obligations structurent le projet. La désignation d'un délégué à la protection des données est obligatoire pour les organismes publics, souvent mutualisée à l'échelle intercommunale. Le registre des traitements doit refléter la réalité, y compris les usages créés par le nouvel outil. Et une analyse d'impact s'impose dès qu'un traitement présente un risque élevé.
Concrètement, un service qui déplace ses fichiers d'aide sociale dans SharePoint passe par le DPD avant, pas après. Le tableau résume l'arbitrage que nous appliquons.
| Nature des données | Emplacement défendable | Conditions minimales |
|---|---|---|
| Bureautique interne, notes, comptes rendus | SharePoint, Teams | Droits par groupe, rétention définie |
| Ressources humaines des agents | SharePoint restreint | Accès nominatif limité, journalisation |
| Aide sociale, CCAS, situations individuelles | Logiciel métier dédié, accès très restreint | Analyse d'impact, cloisonnement strict |
| État civil, listes électorales, urbanisme | Applications métier réglementées | Circuits d'archivage publics respectés |
| Vidéoprotection, police municipale | Hors Microsoft 365 | Régime juridique propre |
Comment distinguer les comptes des élus de ceux des agents ?
Les élus et les agents ne relèvent pas du même statut et n'ont pas les mêmes besoins. Les mélanger sans distinction produit deux effets indésirables : des élus qui accèdent à des dossiers de gestion, et des agents qui reçoivent des communications relevant du débat politique.
Le montage propre repose sur une séparation par groupes et par unités administratives. Les élus disposent d'une adresse rattachée à la collectivité, d'un espace de travail dédié aux commissions et au conseil, et d'un accès à la convocation dématérialisée. Ils n'accèdent pas aux répertoires des services.
Deux points appellent une attention particulière. La date de fin : un compte d'élu porte une échéance liée au mandat, et le renouvellement du conseil déclenche une revue des comptes, des délégations et des boîtes partagées. Et l'usage personnel : un élu qui utilise sa messagerie privée pour son mandat crée un problème de communicabilité autant que de sécurité.
Archivage légal : que couvre Microsoft 365, et que ne couvre-t-il pas ?
C'est le point sur lequel nous voyons le plus de malentendus. Les documents produits par une collectivité sont des archives publiques : leur conservation et leur versement obéissent au code du patrimoine et aux tableaux de gestion validés avec les archives départementales.
Microsoft 365 apporte de vraies briques : gestion de versions, étiquettes de rétention Purview, blocage de suppression, journalisation. Elles suffisent pour la gestion documentaire courante. Elles ne constituent pas un système d'archivage électronique à valeur probante et ne remplacent ni le tableau de gestion, ni le versement, ni l'élimination réglementaire avec visa.
La conséquence est simple : le projet doit être présenté au service d'archives avant sa généralisation, et le circuit d'archivage définitif identifié. Une collectivité qui découvre ce point trois ans après la migration se retrouve avec un stock qu'elle ne sait ni verser ni détruire.
Faut-il un tenant par commune ou un tenant mutualisé ?
La question se pose dès qu'un EPCI, un service commun ou un secrétariat de mairie partagé entre en jeu. Le choix engage : fusionner ou scinder des tenants après coup est un chantier lourd.
Un tenant par commune préserve l'autonomie juridique de chaque personne publique et évite les débats sur qui voit quoi. Il multiplie en revanche les coûts fixes et les configurations divergentes.
Un tenant mutualisé porté par l'EPCI simplifie l'exploitation, permet un niveau de sécurité homogène et rend possible un vrai support. Il suppose une convention claire sur la responsabilité de traitement et un cloisonnement strict entre entités. Le secrétaire de mairie intervenant sur trois communes est le cas à traiter explicitement.
Notre position : la mutualisation l'emporte presque toujours sur le plan de la sécurité, à condition que la convention soit écrite avant la technique. L'exploitation d'un tel ensemble est décrite dans notre page infogérance Microsoft 365.
Souveraineté et NIS2 : où en est-on vraiment ?
Il faut être factuel. Microsoft propose un stockage des données dans l'Union européenne pour un large périmètre de services, ce qui répond à une partie des inquiétudes sur la localisation. Cela ne règle ni la question de l'accès potentiel par une autorité étrangère, ni celle de la qualification SecNumCloud délivrée par l'ANSSI, dont Microsoft 365 ne relève pas à notre connaissance à date — point à vérifier auprès de l'ANSSI avant de l'inscrire dans un document de marché.
La doctrine « cloud au centre » vise en premier lieu les administrations de l'État. Les collectivités territoriales ne sont pas soumises au même régime, mais les recommandations publiques les invitent à la prudence pour leurs données les plus sensibles, pour lesquelles des offres qualifiées existent. Toute affirmation chiffrée ou calendaire sur ce sujet est à vérifier à date.
Sur NIS2, le champ inclut l'administration publique, mais la transposition française n'est pas entièrement publiée et la directive ne vise que les entités atteignant certains seuils, à partir de 50 agents ou 10 millions d'euros. Une commune de 3 000 habitants avec douze agents n'est vraisemblablement pas concernée, sauf désignation spécifique. Reste vrai dans tous les cas : sauvegarde testée, authentification multifacteur, revue des comptes à privilèges. Le détail est dans notre page me mettre en conformité NIS2.
Comment nous travaillons avec une collectivité
Le déroulé tient compte du calendrier des instances : rien ne se décide entre deux conseils.
- Audit de 30 minutes puis cadrage écrit, utilisable tel quel pour préparer une délibération ou un cahier des charges.
- Réunion avec le DPD et le service archives avant toute décision d'architecture, ce qui évite les reprises coûteuses.
- Déploiement par service, en commençant par un service volontaire et non par la direction générale.
- Transfert de compétences vers l'agent référent, documentation écrite à l'appui : une collectivité doit pouvoir continuer sans son prestataire.
La difficulté que nous rencontrons le plus souvent en collectivité tient à l'hétérogénéité des usages des agents. Les sessions courtes et répétées fonctionnent mieux qu'une journée unique, comme expliqué dans notre page adoption et formation.
Sur le calendrier, un avertissement utile : ce ne sont pas les journées d'intervention qui l'allongent, mais les échanges avec le délégué à la protection des données, le service archives et les instances. Ce temps de validation est régulièrement sous-estimé. Nous l'inscrivons au planning dès le cadrage, au même titre que le périmètre technique.
