Accès d'urgence : autoriser puis réexaminer les données
Accès d'urgence aux données : limitez le périmètre, attribuez une expiration et vérifiez les actions réalisées après l'intervention.
Une panne exige l’intervention rapide d’une personne qui ne possède pas les droits habituels. Ouvrir un accès temporaire peut être nécessaire, mais l’urgence doit être décrite et l’autorisation bornée. Sinon, un privilège exceptionnel risque de devenir un accès permanent sans responsable.
Définir l’intervention avant l’ouverture
Précisez le service à rétablir, les opérations attendues, les données accessibles et la personne qui intervient. Une urgence technique ne constitue pas, à elle seule, une base légale permettant de réutiliser les données pour une autre finalité.
Les Art. 25(2) et 32(1) imposent de limiter l’accessibilité et d’adapter la sécurité au risque. La CNIL recommande des profils limités, une validation des habilitations et le retrait des autorisations temporaires.
Utiliser un bon d’accès bref
| Champ | Décision à renseigner |
|---|---|
| Motif | Incident ou opération exigeant cet accès |
| Intervenant | Identité et rôle vérifiés |
| Périmètre | Systèmes, dossiers et actions nécessaires |
| Durée | Début et expiration prévue |
| Autorisation | Responsable ou mécanisme d’urgence prévu |
| Contrôle | Traces et personne chargée de la revue |
| Sortie | Révocation, copies et secrets à renouveler |
Ce bon est une proposition d’organisation. Il peut être intégré à l’outil d’incident, sans créer un document lourd qui retarderait une action nécessaire.
Prévoir une procédure lorsque l’approbateur est indisponible
Définissez à l’avance les conditions d’une activation exceptionnelle, les personnes habilitées à la déclencher et l’alerte immédiate aux responsables. La revue après intervention ne doit pas servir à régulariser systématiquement des accès ouverts sans cadre.
Exemple hypothétique. Une application critique est indisponible en dehors des heures habituelles. Un intervenant d’astreinte reçoit un droit limité à la restauration, avec expiration et traçabilité. Un accès aux exports clients n’est pas ajouté s’il ne contribue pas à cette opération.
Pour un intervenant externe, le guide sur la télémaintenance aide à examiner les sessions, les instructions et les éventuels accès depuis un autre pays.
Tracer l’usage sans enregistrer inutilement les données
Les traces utiles comprennent notamment l’identité de l’intervenant, les horaires, les opérations et les références des objets concernés. Évitez de copier les contenus personnels dans le journal lorsqu’une référence suffit. La CNIL détaille les mesures de journalisation.
Un enregistrement vidéo intégral de la session n’est pas une obligation universelle. S’il est envisagé, examinez sa nécessité, son contenu, l’information des personnes concernées, ses lecteurs et sa durée. La traçabilité elle-même doit rester proportionnée.
Révoquer et revoir l’intervention
À la fin, retirez les droits, fermez les sessions persistantes et traitez les clés ou secrets temporaires. Vérifiez les copies créées et les changements effectués. L’expiration du compte n’efface pas les données téléchargées.
Comparez ensuite les actions au motif autorisé. Une erreur ou un accès au-delà du périmètre peut nécessiter l’analyse d’une violation de données. Le guide des erreurs d’habilitation permet de reconstituer les comptes et données concernés.
Si la même urgence se répète, examinez la procédure normale : droits insuffisants, absence de relais, restauration mal préparée ou outil inadapté. Le dispositif exceptionnel ne doit pas devenir le fonctionnement habituel.
Conserver une preuve ciblée
Gardez la demande, l’autorisation, les traces pertinentes, la révocation et les suites décidées. Fixez une durée justifiée pour ce dossier, avec les éventuelles exceptions probatoires. Les copies d’investigation doivent également être clôturées si l’intervention en a produit.
Ce qu’il faut retenir
- L’urgence doit être associée à une mission et un périmètre précis.
- L’accès temporaire a une expiration et un responsable de contrôle.
- La revue porte sur les actions, les copies et la révocation effective.
FAQ
Peut-on utiliser un compte partagé d’urgence ?
Il faut privilégier l’attribution individuelle lorsque possible. Toute exception doit permettre d’identifier l’intervenant, être protégée, validée et réexaminée selon le risque.
La sauvegarde des intérêts vitaux couvre-t-elle toute urgence ?
Non. L’Art. 6(1)(d) vise les intérêts vitaux d’une personne physique, pas toute difficulté opérationnelle. Le traitement doit disposer du fondement réellement applicable.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.