SaaS ou serveur interne : TCO sur 3 ans et conformité RGPD

Option A - Microsoft 365 Business Standard 60 utilisateurs × 10,60 € = 636 € HT/mois. 636 × 12 = 7 632 € HT/an. 7 632 × 3 = 22 896 € HT sur 3 ans.

Option B - serveur interne

• Serveur : 9 000 € HT (amorti sur 3 ans, donc coût complet intégré une fois).
• CAL : 60 × 35 € = 2 100 € HT.
• Sauvegarde : 1 800 × 3 = 5 400 € HT.
• Administration : 0,15 × 48 000 = 7 200 € HT/an, soit 21 600 € HT sur 3 ans. Total : 9 000 + 2 100 + 5 400 + 21 600 = 38 100 € HT sur 3 ans.

Écart : 38 100 − 22 896 = 15 204 € HT en faveur du SaaS, soit environ 84 € HT par utilisateur et par an, ou 5 068 € par an.

Conclusion Sur le seul critère du coût direct à périmètre constant, l'option A est nettement moins chère, et elle supprime le risque d'exploiter une messagerie sans correctifs de sécurité.

Limites à annoncer

• Périmètre identique ? Microsoft 365 Business Standard inclut la suite Office ; l'option B suppose des licences Office déjà détenues. Sinon, ajouter 60 × 150 € environ et l'écart se resserre fortement.
• Le 0,15 ETP ne disparaît pas : avec le SaaS, il reste de l'administration de comptes, de postes et de sécurité, disons 0,05 ETP. Le coût caché est plus faible, pas nul.
• Amortissement sur 3 ans vs durée de vie réelle : un serveur tient souvent 5 à 6 ans ; sur 5 ans, l'option B devient moins défavorable.
• Non comptés : électricité et climatisation, licences Windows Server, coût de la migration initiale (identique dans les deux cas), coût de sortie et d'egress si l'on quitte le SaaS, et hausse tarifaire possible du fournisseur.
• Coût du risque : Exchange 2013 non corrigé expose à un incident dont le coût dépasse largement 15 000 €.

Un TCO n'est pas une vérité comptable : c'est une hypothèse explicite à valider avec le dirigeant.

Qualification La société Clerval reste responsable du traitement : elle détermine les finalités (communication interne et externe, gestion de la relation client, gestion du personnel). Le fournisseur de messagerie agit comme sous-traitant au sens de l'article 28 du RGPD : il traite des données pour le compte d'autrui, sur instruction.

Obligations à remplir

• Contrat de sous-traitance (DPA) : objet et durée du traitement, nature et finalité, catégories de données et de personnes, obligations et droits du responsable, instructions documentées, confidentialité, sécurité, recours à des sous-traitants ultérieurs (autorisation et information), assistance pour les demandes d'exercice de droits et les analyses d'impact, suppression ou restitution en fin de contrat, droit d'audit.
• Registre des activités de traitement (article 30) : ajouter ou mettre à jour la fiche messagerie (finalité, base légale, catégories, destinataires, durée de conservation, mesures de sécurité).
• Base légale et information : intérêt légitime de l'entreprise pour la messagerie professionnelle, information individuelle des salariés (article 13) et consultation du CSE, charte informatique annexée au règlement intérieur.
• Minimisation et durée de conservation : définir une politique de rétention (par exemple archivage des messages de plus de 3 ans, purge des comptes inactifs) plutôt que « conserver tout indéfiniment ».
• Transferts hors UE : localisation UE annoncée, mais vérifier les accès de support technique et les sous-traitants ultérieurs ; si un transfert vers les États-Unis subsiste, clauses contractuelles types et mesures supplémentaires, avec mention dans la documentation.
• Sécurité (article 32) : authentification multifacteur généralisée, chiffrement en transit et au repos, journalisation, procédure de notification des violations.
• Analyse d'impact : à évaluer, notamment si une surveillance des messageries est envisagée.

Point de vigilance pour la direction Le choix SaaS ne dispense d'aucune obligation : il déplace la charge technique vers le fournisseur, pas la responsabilité juridique. Un DPA signé sans vérification réelle des engagements ne protège de rien.

Principe : pas de surveillance généralisée et clandestine L'employeur peut contrôler l'usage des outils professionnels pendant le temps de travail, mais ce contrôle doit respecter trois conditions cumulatives : une finalité légitime (sécurité du système, protection du secret des affaires, continuité de service), une proportionnalité des moyens (pas de lecture systématique et permanente de toutes les boîtes), et une information préalable des salariés - individuelle et collective, avec consultation du CSE et inscription dans la charte informatique annexée au règlement intérieur.

Réponses concrètes à apporter au CSE

• Aucune lecture de contenu sans motif documenté et sans en informer le salarié ; les messages identifiés comme personnels ne sont pas consultés.
• Les journaux de connexion et les métadonnées peuvent être exploités à des fins de sécurité, avec une durée de conservation limitée et connue.
• Toute investigation pour faute passe par une procédure contradictoire, en présence éventuelle d'un représentant du personnel, et les preuves doivent être obtenues loyalement.
• L'authentification multifacteur et la journalisation sont paramétrées côté fournisseur, avec un accès administrateur restreint et tracé.

Départ d'un salarié

• Fermeture du compte à la date de fin de contrat, activation d'une réponse automatique renvoyant vers un contact de l'entreprise.
• Récupération et archivage des messages strictement professionnels nécessaires à la continuité (dossiers clients en cours), dans une zone dédiée et pour une durée définie, sous la responsabilité de la direction.
• Suppression ou anonymisation des messages personnels, information du salarié sur les modalités et sur le sort de sa boîte.
• Aucune redirection automatique et silencieuse de la boîte vers le manager : c'est le point le plus contentieux et il doit être explicitement encadré.

Conservation Fixer une politique écrite : durée par catégorie de messages, purge automatique, sort des archives en cas de litige (suspension de la purge pendant la procédure). Cette politique doit figurer dans le registre et être opposable en cas de contrôle.

La réponse au CSE doit être écrite, chiffrée et vérifiable : c'est elle qui transforme une intention en garantie.