Calipia : le blog

Microsoft vient de confirmer le déploiement d’une fonctionnalité qui avait déjà suscité des remous en début d’année avant d’être temporairement mise en pause suite aux retours des clients. La voilà de retour, quasi inchangée : le Workplace Check-In via Wi-Fi, disponible dans Microsoft Teams et Microsoft Places.

Le principe est aussi simple qu’il peut paraître anodin : lorsqu’un collaborateur arrive au bureau et connecte son appareil au réseau Wi-Fi de l’entreprise, son statut dans Teams est automatiquement mis à jour pour indiquer sa présence physique dans l’espace correspondant. Si vous rejoignez le réseau « Studio B », votre profil Teams affiche que vous êtes bien dans « Studio B », en temps réel, visible de vos collègues et de votre hiérarchie.

Microsoft présente cette fonctionnalité comme une évolution naturelle : elle remplacerait les bornes de pointage physiques, éviterait la mise à jour manuelle du statut et faciliterait la coordination des réunions en présentiel. De ce point de vue, l’intention est louable. Dans un monde hybride où la moitié des collaborateurs ignore si l’autre moitié est au bureau ou en télétravail, disposer d’une visibilité automatique peut effectivement simplifier la planification.

Mais voilà où le bât blesse.

Transparence affichée, porosité réelle

Microsoft a bien tenté d’atténuer les inquiétudes légitimes qui ont accompagné l’annonce initiale. Trois points sont mis en avant :

1. Premièrement, l’utilisateur peut modifier manuellement son emplacement à tout moment, ce qui, techniquement, lui permet de désactiver ou de contourner le signalement automatique.
2. Deuxièmement, la fonctionnalité ne conserve aucun historique : il s’agit uniquement d’un indicateur de présence en temps réel, sans journalisation des horaires d’arrivée ou de départ.
3. Troisièmement, le déclenchement n’intervient que sur un réseau Wi-Fi d’entreprise configuré par l’administrateur, ce qui signifie que le collaborateur en télétravail sur son réseau personnel n’est pas concerné et apparaît simplement comme « Remote ».

L’administrateur peut activer cette capacité de check-in au niveau du tenant, et les utilisateurs conservent la possibilité de contrôler s’ils souhaitent l’activer ou non. Ces garanties sont réelles. Mais elles sont insuffisantes pour dissiper le malaise.

Car le problème central n’est pas technique, il est organisationnel. Cette fonctionnalité permet à un responsable hiérarchique et aux membres de l’organisation de savoir si un collaborateur est au bureau, à quelle heure il y arrive, et où il se trouve à un instant donné. Dans les environnements qui se revendiquent flexibles ou en mode hybride avancé, cette visibilité imposée peut être perçue comme une régression vers des pratiques de surveillance que beaucoup pensaient révolues avec la crise sanitaire. 

Et surtout : la possibilité de modifier manuellement sa localisation ne résout pas réellement le problème, car une organisation pourrait imposer une politique interne qui rende obligatoire l’activation de cette fonctionnalité. Autrement dit, la case à cocher « opt-out » peut très bien disparaître sous la pression d’une charte RH ou d’une directive managériale…

Le précédent des outils de surveillance de productivité

Cette annonce s’inscrit dans une tendance plus large que les DSI et les RSSI doivent prendre en compte avec sérieux. Depuis quelques années, Microsoft a progressivement enrichi son écosystème M365 de capacités analytiques touchant au comportement des employés : Viva Insights mesure les habitudes de communication, Microsoft Purview trace les activités documentaires, et Teams lui-même collecte déjà des métadonnées de réunion. Le check-in Wi-Fi constitue un nouveau jalon dans cette collecte de données comportementales, avec une dimension spatiale cette fois.

Ce n’est pas une mauvaise foi de la part de Microsoft. Il y a une demande réelle des organisations qui pilotent leur stratégie immobilière sur la base de données de présence, cherchent à optimiser leurs mètres carrés de bureaux, ou souhaitent favoriser les interactions en face-à-face. Pour un directeur des services généraux ou un responsable RH, cette donnée est précieuse. Pour le collaborateur, c’est une autre affaire 🙂

Ce que les DSI doivent anticiper

Si vous êtes en charge d’un tenant M365, plusieurs points méritent votre attention avant que ce déploiement ne s’opère de manière silencieuse dans votre environnement.

La gouvernance de la fonctionnalité est entre les mains des administrateurs. Il vous appartient de définir, en lien avec vos équipes RH et juridiques, si et comment vous l’activez, pour quels bâtiments ou réseaux, et selon quelles règles de transparence envers les collaborateurs. Microsoft encourage les administrateurs à préparer ce changement et à commencer à informer les utilisateurs afin qu’ils sachent à quoi s’attendre lors du déploiement. 

En France, le cadre légal est clair : toute collecte de données de localisation des salariés relève du RGPD et nécessite une information préalable, voire une consultation des représentants du personnel. Même si Microsoft assure l’absence de persistance historique, le traitement en temps réel reste un traitement de données personnelles. La CNIL a déjà eu l’occasion de se prononcer sur des dispositifs similaires, et les organisations qui déploient cette fonctionnalité sans démarche de conformité s’exposent à des risques réglementaires non négligeables.

Par ailleurs, l’absence de journalisation déclarée par Microsoft est une garantie contractuelle, pas une impossibilité technique. Les équipes sécurité gagneront à documenter cette contrainte et à l’inclure dans leurs politiques de contrôle des accès.

Une fonctionnalité qui aurait mérité plus de recul

Le report initial de la fonctionnalité, décidé après les premières réactions des clients, était un signal positif : Microsoft semblait prêt à tenir compte des préoccupations légitimes du terrain. Le fait de la relancer dans une version pratiquement identique, en suggérant simplement aux admins de « bien communiquer », est en revanche décevant. Une approche opt-in par défaut, qui aurait requis une démarche active de l’utilisateur pour activer le check-in plutôt que pour le désactiver, aurait été nettement plus respectueuse de l’autonomie des collaborateurs.

Microsoft Places ambitionne de devenir la plateforme de référence pour la gestion de l’espace de travail dans les organisations. Cette vision est cohérente avec la réalité du travail hybride. Mais la confiance des utilisateurs est un capital fragile, et il serait dommage de le gaspiller en déployant une fonctionnalité de traçage, même bienveillante, sans avoir pris soin d’en faire une fonctionnalité réellement choisie plutôt que subie.