Vous voulez retirer Intune de votre smartphone personnel sans perdre vos données ni laisser d’accès à l’entreprise ? Voici une réponse technique claire : ce que l’IT voit, ce qu’elle peut faire, et comment désinscrire proprement iOS/Android en BYOD ou MAM‑WE.
Suppression d’Intune : votre entreprise conserve‑t‑elle un accès ?
Vue d’ensemble de la question
Un utilisateur souhaite retirer Microsoft Intune (application Company Portal et profil MDM) de son téléphone personnel et s’interroge : après la désinstallation, l’entreprise peut‑elle encore collecter des données (fichiers, journaux, contacts, photos), suivre la localisation, connaître les applications installées ou imposer des politiques de sécurité ? La discussion d’origine ne fournit pas de réponse technique ; elle renvoie vers un forum Q&A. Ce guide comble ce manque avec un mode d’emploi détaillé, des scénarios concrets et une explication précise de ce qui reste possible pour l’entreprise… et de ce qui ne l’est plus une fois l’appareil retiré de la gestion.
Réponse & solution (complétée)
| Situation | Mesures à prendre | Que se passe‑t‑il après ? |
|---|---|---|
| Téléphone personnel inscrit en MDM/BYOD (profil de gestion complet ou User Enrollment iOS / Work Profile Android) | 1. Dans l’appli Company Portal : Appareils → sélectionner l’appareil → Retirer de la gestion. 2. Attendre que l’état passe à Retiré (appareil connecté en Wi‑Fi/data). 3. iOS : Réglages → Général → VPN et gestion de l’appareil → supprimer le profil MDM s’il existe. 4. Android : Paramètres → Comptes (ou Sécurité) → supprimer le profil de travail. 5. Désinstaller Company Portal. | Le profil MDM, les certificats, les stratégies et les apps d’entreprise sont effacés. • L’organisation ne peut plus pousser de politiques ni localiser l’appareil. • Les données d’entreprise locales sont supprimées ou rendues illisibles (chiffrement sélectif). • Vos apps/données personnelles restent intactes. |
| Gestion d’applications uniquement (MAM‑WE) — aucune inscription MDM | 1. Dans Company Portal : Retirer l’appareil (s’il apparaît). 2. Désinstaller Company Portal (optionnel si aucune app pro restante). 3. Ouvrir chaque app protégée (Outlook, Teams, OneDrive…) pour laisser exécuter l’effacement sélectif si l’IT l’a déclenché. | Seules les applications protégées appliquent encore des règles (PIN applicatif, blocage copie/coller, effacement de leur contenu pro). L’IT n’a jamais eu accès à vos autres données, ni à la localisation de l’appareil. |
| Compte Exchange/Outlook configuré hors Intune (EAS/Modern Auth) | 1. Supprimer le compte de messagerie dans iOS/Android (Mail ou Outlook) s’il impose encore un code complexe ou des restrictions. 2. Recréer le compte après la désinscription si nécessaire. | Les politiques Exchange ActiveSync restent actives tant que le compte est présent. Les retirer supprime aussi ces contraintes (mot de passe, délai d’inactivité, etc.). |
Points clés de sécurité
- Clé de voûte : le profil MDM. Une fois retiré, l’organisation perd tout contrôle administratif.
- Aucun accès furtif : Intune n’installe pas de logiciel « caché » qui subsisterait après la désinscription.
- Sauvegardes & captures : les sauvegardes iCloud/Google n’embarquent pas les anciens profils MDM ; aucune restauration ne réactivera la gestion.
- Apps d’entreprise : si des apps internes ont été installées hors canal MDM (APK/TestFlight), supprimez‑les manuellement pour éviter des mises à jour fantômes.
- Conformité légale : en BYOD, Intune sépare donnée pro/perso (espace de travail Android, conteneur applicatif iOS). Après désinscription, les journaux pro sont effacés.
Procédure détaillée iOS (BYOD)
Selon la méthode d’inscription initiale, vous verrez soit un profil MDM classique (Device Enrollment), soit une inscription User Enrollment (iOS 13+), plus respectueuse de la vie privée. Dans les deux cas, la marche à suivre est proche :
- Ouvrez Company Portal → Appareils → sélectionnez votre iPhone/iPad → Retirer de la gestion.
- Allez dans Réglages → Général → VPN et gestion de l’appareil :
- Si un profil MDM est présent : touchez‑le → Supprimer la gestion (entrez le code si demandé).
- Si vous voyez un compte géré (Calendrier/Mail/Contacts) lié à l’entreprise, supprimez‑le.
- Vérifiez les certificats installés : Réglages → Général → Informations → Réglages des certificats de confiance. Retirez tout certificat d’entreprise restant.
- Désinstallez Company Portal.
Après : l’organisation ne peut plus ni verrouiller à distance, ni réinitialiser le code de déverrouillage, ni imposer de code complexe, ni distribuer des apps ou des profils Wi‑Fi/VPN. En User Enrollment, elle n’avait déjà pas accès à vos apps perso, à vos photos, à vos SMS ni à votre localisation.
Procédure détaillée Android (BYOD – Work Profile)
Sur Android Enterprise, Intune crée un profil de travail isolé : les icônes « briquées » (mallette) indiquent les apps professionnelles. Le retrait se fait en supprimant ce profil :
- Dans Company Portal : Retirer l’appareil.
- Ouvrez Paramètres → selon le constructeur :
- Comptes → Supprimer le profil de travail, ou
- Sécurité / Gestion de l’appareil → Profil professionnel → Supprimer.
- Vérifiez Paramètres → Réseau et Internet → Wi‑Fi : supprimez les réseaux « gérés » ajoutés par l’entreprise, si encore présents.
- Dans Paramètres → Sécurité et confidentialité → Chiffrement & identifiants → Certificats utilisateur : supprimez tout certificat d’entreprise résiduel.
- Désinstallez Company Portal.
Après : l’entreprise ne voit plus que l’état historique avant désinscription (dans sa console). Elle ne peut plus pousser de politiques, ni exiger un code, ni inventorier vos apps personnelles. Le profil de travail ayant disparu, l’inventaire applicatif et les données d’apps professionnelles sont supprimés.
Ce que l’IT pouvait voir/faire avant/après
| Capacité IT | Avant (MDM BYOD) | Après retrait MDM | MAM‑WE (jamais inscrit MDM) |
|---|---|---|---|
| Politiques de sécurité (code, chiffrement…) | Oui, au niveau appareil (Device Enrollment) ou espace pro (User Enrollment/Work Profile). | Non. | Au niveau application uniquement (PIN applicatif, ouverture conditionnelle). |
| Localisation de l’appareil | BYOD : Non. Appareil d’entreprise (supervisé/COBO/COSU) : possible. | Non. | Non. |
| Inventaire des applications | iOS User Enrollment : apps gérées seulement. Android Work Profile : apps du profil de travail seulement. | Non. | Non, hors apps protégées. |
| Wipe/Reset à distance | BYOD : effacement sélectif des données pro. Appareil d’entreprise : effacement complet possible. | Non (commande inopérante après retrait). | Effacement applicatif uniquement (contenu des apps protégées). |
| Accès aux fichiers, SMS, photos, contacts perso | Non. | Non. | Non. |
| Réseaux Wi‑Fi/VPN gérés | Oui (profils). | Supprimés avec le profil MDM. | Non (sauf VPN par app). |
Cas particuliers et nuances importantes
- Appareil d’entreprise (supervisé iOS / COBO‑COU‑COSU Android) : la suppression peut être interdite ou annulée au redémarrage si l’appareil est inscrit via un programme d’inscription automatique (ex‑DEP/ABM/ASM côté Apple, zéro‑touch/QR côté Android). Sur ces appareils, l’IT peut activer un mode Perdu (iOS) ou une localisation de l’équipement, mais pas sur un BYOD.
- iOS User Enrollment (BYOD) : l’IT ne connaît pas le numéro de série complet, ne voit pas le trousseau perso ni l’inventaire d’apps perso, et ne peut pas effacer l’appareil. Le retrait supprime l’ensemble des données pro du Volume géré.
- Android Work Profile (BYOD) : l’IT ne voit ni vos apps perso ni votre localisation ni vos photos/SMS. La suppression du profil de travail retire toutes les politiques et les apps pro d’un coup.
- Exchange ActiveSync/Modern Auth hors Intune : tant que le compte reste configuré, certaines politiques mail (code complexe, délai d’expiration) peuvent subsister. Supprimez le compte, puis recréez‑le au besoin.
- Apps internes sideloadées (APK/TestFlight) : supprimez‑les manuellement ; elles ne seront plus mises à jour via l’IT.
Mythes vs réalités
| Mythe | Réalité |
|---|---|
| « Même désinscrit, Intune peut voir ma localisation. » | Faux. Sans profil MDM actif (et hors appareil d’entreprise), aucune localisation n’est possible via Intune. |
| « Intune lit mes messages, photos et fichiers perso. » | Faux. Intune ne donne pas cet accès, y compris avant la désinscription en BYOD. |
| « Restaurer une sauvegarde iCloud/Google réinstalle la gestion. » | Faux. Les profils MDM et l’inscription ne sont pas restaurés depuis les sauvegardes utilisateur. |
| « Désinstaller Company Portal suffit toujours. » | Pas toujours : il faut retirer l’appareil dans l’app et supprimer le profil MDM (iOS) ou le profil de travail (Android). |
| « L’IT peut réinstaller la gestion à mon insu. » | Faux pour BYOD : une action explicite de votre part est requise (connexion à l’app, code QR, lien d’inscription). |
Checklist « zéro‑doute » après désinscription
- Dans Company Portal (si encore installé) : l’appareil s’affiche‑t‑il comme Retiré ? Sinon, répétez l’opération avec l’appareil en ligne.
- iOS : Réglages → Général → VPN et gestion de l’appareil → Aucun profil listé.
Android : Paramètres → Comptes/Sécurité → Aucun profil de travail. - Certificats : supprimez tout certificat d’entreprise résiduel (SCEP/PKCS) côté iOS/Android.
- Réseaux Wi‑Fi/VPN : supprimez les profils gérés restants, si visibles.
- Messagerie : retirez et recréez le compte s’il continue d’imposer des règles.
- Preuve : faites une capture d’écran de l’absence de profil MDM/profil de travail.
Preuve de retrait et délais de propagation
- Propagation : la suppression complète prend de quelques minutes à ~30 min. Laissez l’appareil connecté pour que les services valident l’action.
- Portail de compte : dans la page de vos appareils liés au compte professionnel, l’appareil disparaît ou passe à l’état Retiré après synchronisation.
- Demande de l’employeur : fournissez la capture d’écran montrant l’absence de profil MDM/profil de travail et le statut Retiré dans l’app (si présente).
Comprendre les « actions » côté Intune
| Action IT | Portée | Effet sur BYOD | Effet après retrait |
|---|---|---|---|
| Retirer de la gestion | MDM | Supprime apps/profils/clé MDM, garde les données perso. | Déjà inopérant (plus de canal de gestion). |
| Effacement sélectif | MAM (apps protégées) | Supprime données dans les apps pro (Outlook/Teams…) | Peut s’exécuter au prochain lancement de l’app si jeton encore valide. |
| Wipe/Reset complet | MDM (appareil d’entreprise) | Non utilisé en BYOD. | Impossible (plus de gestion). |
| Réinitialiser le code de déverrouillage | MDM | Possible selon plateforme/ownership avant retrait. | Impossible après retrait. |
Dépannage — que faire si le retrait échoue ?
- Impossible de supprimer le profil MDM iOS : votre appareil est peut‑être supervisé via un programme d’inscription automatique. Dans ce cas, seul le service IT peut lever la supervision, souvent en procédant à un effacement d’usine.
- Le bouton « Retirer » n’apparaît pas dans Company Portal : vérifiez que vous êtes connecté avec le compte professionnel initialement utilisé. Déconnectez‑vous/reconnectez‑vous.
- Android : le profil de travail réapparaît : assurez‑vous de ne pas relancer une URL/lien d’inscription enregistré dans votre navigateur ou votre e‑mail professionnel.
- Apps pro toujours visibles : il s’agit souvent d’icônes « fantômes » du profil de travail ; redémarrez l’appareil. Sur iOS, supprimez tout raccourci WebClip laissé par l’IT.
- Messagerie impose encore un code : supprimez puis recréez le compte de messagerie. Les politiques EAS sont liées au compte.
Bonnes pratiques avant de réinscrire l’appareil chez un nouvel employeur
- Mettez à jour iOS/Android à la dernière version stable.
- Vérifiez qu’aucun certificat MDM ou profil résiduel ne subsiste.
- Réinstallez une version fraîche de Company Portal.
- Sur iOS, préférez l’User Enrollment si l’employeur le permet (plus protecteur pour la vie privée). Sur Android, le Work Profile reste la meilleure option BYOD.
FAQ
Après retrait, l’entreprise peut‑elle encore voir mes applications personnelles ?
Non. En BYOD, l’inventaire applicatif est limité au périmètre géré (apps gérées iOS, apps du profil de travail Android). Après retrait, il n’y a plus d’inventaire.
Peut‑elle toujours me géolocaliser ?
Non. La localisation via Intune est réservée à certains appareils d’entreprise. Un BYOD retiré n’est plus localisable via la solution MDM/MAM.
Mes photos, SMS, historiques d’appels ont‑ils été accessibles ?
Non. Intune ne fournit pas d’accès à ce contenu personnel, ni avant ni après désinscription.
Que devient OneDrive/Outlook après retrait ?
Si l’IT déclenche un effacement sélectif MAM, le contenu professionnel local dans ces apps est supprimé au prochain lancement. Vos données personnelles dans d’autres apps ne sont pas affectées.
Un administrateur peut‑il encore lancer un « wipe » après mon retrait ?
La commande serait envoyée côté serveur, mais l’appareil ne la recevra plus : le canal de gestion n’existe plus. Elle restera en échec ou sans effet.
Récapitulatif stratégique
- BYOD + MDM : retirer depuis Company Portal puis supprimer le profil MDM/profil de travail. Aucun accès IT ensuite.
- MAM‑WE : seules les apps protégées peuvent effacer leur contenu. Aucune visibilité globale sur l’appareil.
- EAS/Comptes mail : supprimer le compte pour disparaître des politiques liées à la messagerie.
- Appareils d’entreprise : la suppression peut être verrouillée. Se rapprocher de l’IT.
Informations utiles supplémentaires
- Temps de propagation : de quelques minutes à ~30 min. Gardez l’appareil en ligne.
- Preuve de retrait : l’appareil disparaît (ou passe à Retiré) dans votre portail de compte. Conservez des captures.
- Réinscription : mettez à jour l’OS, vérifiez l’absence de certificats MDM, réinstallez une app Company Portal neuve.
Glossaire express
- MDM : gestion au niveau de l’appareil (profils, certificats, Wi‑Fi, VPN, politiques).
- MAM‑WE : gestion au niveau de l’application sans inscription (effacement sélectif, protection des apps).
- BYOD : Bring Your Own Device — appareil personnel utilisé au travail.
- User Enrollment (iOS) : inscription Apple orientée vie privée (conteneur séparé).
- Work Profile (Android) : espace pro isolé sur un appareil personnel.
Conclusion
Sur un téléphone personnel (BYOD), le retrait du profil MDM et/ou du profil de travail met fin aux capacités de gestion d’Intune : plus de politiques au niveau appareil, plus de localisation, plus d’inventaire applicatif personnel. En MAM‑WE, l’entreprise n’a jamais eu d’accès à vos données personnelles de toute façon ; au plus, elle peut effacer le contenu dans les apps professionnelles. Suivez la procédure pas à pas ci‑dessus, gardez l’appareil en ligne jusqu’à la confirmation, et conservez une preuve (captures) : vous serez serein tant sur le plan technique que juridique.