Une boîte aux lettres n'est pas une finalité et sa capacité de stockage n'est pas une durée de conservation. Elle peut contenir un rendez-vous devenu inutile, une pièce nécessaire à un contrat, une candidature, un message privé et la trace d'une attaque. Les conserver tous selon une règle unique, ou les effacer tous le jour du départ d'un utilisateur, ne répond pas à cette diversité.
DPO FRANCE • Une méthode champ par champ pour DPO SUITE
Ce chapitre accompagne la construction du registre d'une messagerie professionnelle utilisée par une PME privée fictive en France, sans secteur particulier. Les exemples ne décrivent aucune organisation réelle. Les variantes concernant un employeur public, des données sensibles ou une surveillance renforcée doivent être examinées séparément. Il s'agit d'un guide indépendant DPO FRANCE, non d'un référentiel CNIL ni d'une certification.
1. Délimiter le traitement avant de choisir les champs
Ce que couvre la fiche
La fiche décrit la fourniture et l'administration des comptes, l'acheminement et la consultation des courriels professionnels, les boîtes partagées, les délégations, les fonctions nécessaires à la continuité des échanges et les mécanismes de sécurité effectivement activés. Elle décrit aussi la suppression des comptes et des messages, sans confondre ces deux opérations.
Une suite collaborative peut intégrer annuaire, calendrier, visioconférence, stockage partagé, conversation instantanée et assistant d'intelligence artificielle. Vérifier lesquels entrent réellement dans la fiche : le fait qu'ils soient facturés ensemble ne les rend pas interchangeables. Une option non activée n'est pas un traitement effectif ; une option activée à l'insu du pilote doit rester une anomalie à examiner.
Ce qui demande une fiche liée ou une analyse distincte
Le suivi commercial dans un CRM, le recrutement, la paie, les achats et les dossiers contentieux gardent leurs finalités propres, même si les pièces transitent par courriel. La messagerie décrit le canal et son fonctionnement ; la fiche métier décrit l'utilisation du contenu. Éviter de copier toute la fiche recrutement dans la fiche messagerie ou de considérer que le mot "messagerie" autorise n'importe quelle réutilisation.
Le contrôle de productivité, l'analyse individuelle des communications, la prospection de masse, les campagnes de simulation d'hameçonnage et l'exploitation des messages par une IA méritent une qualification propre. Le présent scénario ne suppose aucune de ces fonctions. Les pixels de suivi d'ouverture demandent également une analyse distincte : la recommandation CNIL vise aussi les courriels adressés aux salariés, pas seulement la publicité. Vérifier les finalités et les conditions de consentement ou d'exemption ; ne pas assimiler l'autorisation d'envoyer un message à celle de tracer sa lecture. CNIL, FAQ pixels, 22 juillet 2026, question 3.
Premier entretien : faire suivre un message fictif
Demander à un utilisateur d'envoyer une pièce de démonstration à une boîte partagée. Faire montrer sa réception, une délégation, la quarantaine, l'export, la suppression, la corbeille et les possibilités de récupération. Demander à l'informatique si le même message existe sur un téléphone, un poste synchronisé, une passerelle de sécurité, une archive automatique ou une sauvegarde. Un schéma qui ne comporte que "utilisateur → serveur" omet souvent l'essentiel des copies.
Livrable proposé : une carte des composants et des flux, avec un propriétaire opérationnel pour chaque copie. Le DPO ne demande pas de parcourir les vraies correspondances pour comprendre l'architecture.
2. Identification, responsabilité et pilotage
Le responsable du traitement est l'entité qui décide pourquoi et comment l'outil est utilisé, non le service informatique par défaut. Le pilote métier définit les besoins ; l'administrateur exécute des opérations techniques ; le DPO conseille et contrôle. Nommer ces rôles évite qu'un technicien soit laissé seul pour décider de l'ouverture d'une boîte ou de sa conservation.
Exemple de remplissage adaptable :
Intitulé : Mise à disposition et administration de la messagerie professionnelle. Responsable : organisme employeur à identifier dans le registre interne. Périmètre : comptes individuels et boîtes fonctionnelles attribués aux personnes habilitées ; communication professionnelle et sécurité du service. Pilotage : fonction responsable informatique, avec responsables métiers pour les boîtes partagées. Décisions d'accès exceptionnel : fonction habilitée selon procédure écrite, après analyse du besoin et des garanties.
Pour un groupe ou une messagerie mutualisée, demander qui fixe les règles de conservation, qui décide des recherches et qui peut ouvrir les comptes. Un fournisseur n'est pas nécessairement sous-traitant pour toutes ses activités : examiner séparément les traitements exécutés sur instruction et ceux dont il détermine les finalités propres.
Preuves : contrat du service, répartition des responsabilités, liste des administrateurs, procédure de demande d'accès et schéma des entités. Une facture ne suffit pas à qualifier les rôles.
3. Finalités générale et détaillées
Une finalité générale peut être "permettre les échanges professionnels et administrer un service de messagerie sécurisé". La description détaillée doit rendre visibles les opérations qui pourraient surprendre une personne : délégation, accès exceptionnel, filtrage, recherches administratives et traitement après départ.
| Opération | Finalité à expliciter | Limite à écrire |
|---|---|---|
| Création d'un compte | Permettre à une personne habilitée d'envoyer et recevoir des messages professionnels | Pas de compte actif sans besoin ni responsable |
| Boîte fonctionnelle | Assurer le traitement collectif d'un flux défini | Accès réservé à une équipe identifiée, pas à toute l'organisation |
| Filtrage antispam/antimaliciel | Protéger utilisateurs, données et disponibilité du service | Ne pas transformer les résultats en classement de performance |
| Délégation temporaire | Assurer une continuité précise pendant une absence | Périmètre et fin documentés ; pas de partage du mot de passe |
| Journalisation | Détecter et analyser incidents et opérations d'administration | Pas de calcul des heures de travail à partir des connexions |
| Conservation probatoire d'une pièce | Préserver un élément nécessaire à un dossier métier ou contentieux | Règle du dossier concerné, pas archivage indistinct de la boîte |
Contre-exemple : "sécurité, gestion des salariés et toute autre finalité utile" ne permet pas de vérifier la nécessité d'une lecture ni la durée d'un export.
Question métier : quelle opération ne pourrait plus être réalisée si l'on supprimait cette fonction ? Si la réponse est seulement "elle est incluse dans l'abonnement", le besoin n'est pas établi.
4. Personnes concernées : ne pas s'arrêter aux titulaires des comptes
Cette rubrique décrit des personnes physiques, pas seulement les utilisateurs habilités. Une personne citée dans un message peut être concernée sans jamais disposer d'un compte.
| Catégorie | Inclure si… | Précision utile |
|---|---|---|
| Salariés, dont apprentis | Ils disposent d'un compte ou apparaissent dans les échanges | Toutes catégories professionnelles effectivement couvertes |
| Stagiaires, intervenants ou personnels mis à disposition | L'organisme leur attribue un accès ou traite leurs données dans les échanges | Leur statut n'est pas automatiquement celui d'un salarié de l'organisme |
| Anciens utilisateurs | Leurs comptes, messages ou traces sont encore conservés pour un besoin justifié | Ne pas les décrire comme utilisateurs actifs |
| Correspondants externes | Ils échangent avec l'organisation | Contacts de clients, fournisseurs, candidats ou partenaires selon les flux réels |
| Autres personnes citées | Leur identité ou situation apparaît dans les messages ou pièces | Catégories à préciser selon les usages, pas liste illimitée de populations hypothétiques |
| Administrateurs et techniciens | Leurs opérations sont journalisées | Personnes concernées par la traçabilité, même sans être destinataires métier |
Une société fournisseur n'est pas une personne concernée ; son contact nominatif peut l'être. Une adresse fonctionnelle peut également permettre d'identifier une personne par son usage ou ses échanges. Ne pas déclarer les messages "anonymes" au seul motif que le nom n'apparaît pas dans l'adresse.
Variante mineur : un apprenti mineur reste utilisateur ou correspondant selon le cas ; adapter l'information et les garanties. Sa présence ne rend pas automatiquement le consentement parental nécessaire à l'utilisation professionnelle, ni ses parents destinataires de ses messages.
5. Catégories de données et minimisation
Distinguer les couches plutôt que cocher "identité" et "autres".
| Couche | Exemples de données | Contrôle de minimisation proposé |
|---|---|---|
| Compte | Identité professionnelle, adresse, fonction, identifiant, rattachement, habilitations | Les coordonnées privées sont-elles réellement nécessaires à la récupération ? |
| Enveloppe et acheminement | Expéditeur, destinataires, copie, horodatage, identifiant du message, statut de livraison | Une extraction technique expose-t-elle les destinataires cachés ? |
| Contenu | Objet, texte, pièces jointes, signature | Peut-on utiliser un portail sécurisé pour des pièces particulièrement sensibles ? |
| Connexion | Événements d'authentification, adresse IP, terminal ou session selon outil | Éviter la collecte de détails sans utilité démontrée |
| Sécurité | Alertes, résultats de filtrage, échantillons de messages suspects | Isoler et limiter les contenus envoyés à un laboratoire ou service tiers |
| Administration | Délégations, recherche, export, restauration, suppression, auteur de l'opération | Référencer une pièce plutôt que dupliquer tout son contenu dans un ticket |
La messagerie peut transporter des données de santé, syndicales ou autres catégories particulières. Cela n'autorise pas à écrire que l'organisme traite légalement "toutes les données sensibles possibles". Déterminer les usages attendus, leurs fondements et leurs restrictions. Un contenu reçu accidentellement appelle une procédure de traitement adaptée, pas une nouvelle autorisation générale.
Pour un flux métier comprenant des données de l'article 9, la base de l'article 6 ne suffit pas : il faut aussi une condition applicable de l'article 9. Un message contenant un NIR relève également de son encadrement spécifique ; sa présence dans une pièce jointe n'en fait pas un identifiant à propager dans les journaux. RGPD, articles 5, 6 et 9.
Preuves : dictionnaire technique, politique de pièces jointes, catégories d'alertes, exemple fictif de journal et de ticket. Ne jamais joindre au registre un corpus de courriels réels pour démontrer leur diversité.
6. Bases légales : raisonner par opération et par personne
Pour une entreprise privée, l'intérêt légitime à organiser des échanges et protéger son système peut être examiné pour le fonctionnement courant : préciser l'intérêt, la nécessité et la mise en balance. Ce choix ne se réduit pas à l'affirmation "tout le monde utilise une messagerie". Examiner attentes raisonnables, confidentialité, solutions moins intrusives, étendue des accès et possibilité de contestation.
Le contrat peut fonder certaines opérations nécessaires à son exécution lorsque la personne concernée est partie au contrat. Il ne couvre pas automatiquement les coordonnées du salarié d'un client parce qu'un contrat commercial existe avec sa société. Une obligation légale doit être rattachée à une opération et à un texte précis ; le RGPD n'impose pas à tout organisme d'utiliser le courriel.
Exemple de raisonnement à compléter :
Fonctionnement et sécurité de la messagerie : intérêt légitime envisagé pour l'employeur privé ; analyse de nécessité et de mise en balance à valider. Les échanges métier conservent leur rattachement aux traitements concernés : paie, recrutement, relation commerciale ou gestion des droits. Les accès exceptionnels sont limités au besoin documenté ; aucun consentement global du personnel n'est utilisé pour autoriser toute lecture.
Une autorité publique doit examiner la mission d'intérêt public ou l'obligation qui fonde ses opérations ; elle ne peut recourir à l'intérêt légitime dans l'exercice de ses missions. Son statut ne suffit pas à définir le fondement de chaque usage.
Pièce attendue : tableau opération/base/personnes/justification/garanties. La notice et la configuration doivent raconter la même histoire. Une charte signée prouve une démarche d'information, pas la validité de tous les traitements.
7. Destinataires, accès et confidentialité des correspondances
Séparer les destinataires d'un message des personnes qui disposent d'une capacité technique d'accès. Un administrateur peut réinitialiser un compte sans être autorisé à lire ses échanges. Un manager n'acquiert pas un droit général sur la correspondance de son équipe.
Prévoir une matrice pour le titulaire, les délégués, les membres de boîte partagée, les administrateurs, le support, les fonctions juridiques habilitées et les destinataires externes. Pour chaque rôle : lecture, envoi au nom de, export, recherche, restauration, suppression ; motif et contrôle correspondant.
Les messages d'une messagerie professionnelle sont présumés professionnels, sauf identification comme personnels. Cette présomption ne doit pas être formulée comme une permission de surveillance indiscriminée. Les messages identifiés privés ou personnels bénéficient d'une protection particulière ; une difficulté ou un litige exige une analyse juridique, non une ouverture improvisée. CNIL, accès de l'employeur à la messagerie.
Procédure proposée d'accès exceptionnel : demande motivée ; recherche d'une alternative ; décision par une fonction habilitée ; périmètre minimal ; durée d'accès ; respect des messages personnels ; journal ; clôture et retrait de la délégation. Éviter l'échange du mot de passe du titulaire.
Cas fictif. Une personne absente détient le dernier échange concernant une livraison. Chercher d'abord dans le dossier partagé ou auprès du correspondant autorisé. Si un accès demeure nécessaire, définir les messages et la période recherchés. "Ouvrir toute la boîte au responsable sans échéance" n'est pas une réponse proportionnée.
8. Sous-traitants et transferts : suivre aussi le support et le filtrage
Recenser hébergeur, exploitant, sauvegarde, passerelle de filtrage, outil d'archivage, mainteneur et sous-traitants ultérieurs impliqués. Préciser service exact et accès réel, sans citer un fournisseur comme solution universelle. Relier les contrats à la fiche interne ; les rôles doivent être examinés prestation par prestation. RGPD, article 28.
Le pays de facturation n'est pas celui de tous les traitements. Demander lieux et entités pour données actives, sauvegardes, support, analyses de pièces suspectes et journaux. Un accès par une entité distincte située hors EEE peut constituer un transfert. Le contrat de sous-traitance et l'instrument de transfert répondent à des exigences différentes. CNIL, transferts hors UE.
À saisir si l'information manque : "localisation du support et accès aux contenus non vérifiés ; demande adressée au prestataire ; décision attendue". Ne pas saisir "aucun transfert" faute de réponse. Si une décision d'adéquation ou des clauses sont invoquées, vérifier leur champ et leurs conditions au jour de l'analyse, plutôt que mémoriser une promesse commerciale.
Test : demander au support un dépannage avec un compte de démonstration. Observer qui autorise l'accès et ce qui est journalisé. Une localisation EEE documentée ne prouve pas à elle seule l'absence de tous les accès étrangers.
9. Conservation : construire une règle par objet, pas par application
Ne pas annoncer une durée légale universelle des courriels
La durée dépend de la finalité et de la nécessité. Une pièce reçue par courriel peut relever d'une conservation comptable ou contractuelle, sans justifier la conservation de tous les autres messages. Le délai de prescription d'un litige ne devient pas automatiquement une obligation de garder toute une boîte.
Méthode : identifier le document utile, son dossier de référence, le déclencheur de durée, la phase active puis l'archive justifiée, les accès, les copies et le sort final. Si un message est la preuve, conserver aussi le contexte et les métadonnées nécessaires ; une capture isolée peut perdre une information importante. L'archive métier ne doit pas dépendre du maintien du compte d'une personne partie.
| Objet à paramétrer | Décision nécessaire | Preuve recherchée |
|---|---|---|
| Courriel opérationnel courant | Durée adaptée au besoin de suivi ; événement de clôture ou règle d'ancienneté justifiée | Politique validée et échantillon de messages fictifs arrivés à échéance |
| Pièce rattachée à un dossier métier | Durée du dossier selon texte/besoin applicable ; désigner l'exemplaire de référence | Rattachement, droits d'archive et suppression des copies devenues inutiles |
| Compte et adresse nominative | Cycle de vie depuis attribution jusqu'au départ ; étapes de fermeture définies | Ticket de départ, révocation, sort de l'adresse et test |
| Corbeille et récupération technique | Délai court à arrêter et communiquer ; ne pas la présenter comme effacement immédiat | Réglage et test de disparition de chaque couche |
| Quarantaine antispam | Temps nécessaire à détection et éventuelle restitution ; distinction avec preuve d'incident | Seuil configuré, habilitations et test de purge |
| Journaux de sécurité | Durée propre aux événements ; repère CNIL six mois à un an, exceptions motivées | Configuration, recherche au seuil et intégrité des journaux |
| Sauvegardes | Cycle de rotation et procédure de restauration ; accès hors usage courant | Inventaire, calendrier et test de restauration maîtrisé |
| Gel ciblé d'un contentieux | Périmètre, motif, décideur, durée ou réexamen et levée | Décision datée, accès limités et preuve de sortie du gel |
Le repère CNIL de six mois à un an concerne la journalisation de sécurité, pas le contenu de tous les messages. Ne pas recopier le corps des courriels ou des secrets dans les traces. CNIL, tracer les opérations, 14 mars 2024.
Cinq contenus de courriel : cinq décisions documentaires
Le tableau distingue la pièce de référence de sa copie dans la boîte. Une conservation fiable doit préserver le contenu et, lorsque nécessaire, le contexte, les métadonnées et les garanties d'intégrité ; déplacer une pièce sans vérifier sa lisibilité ou sa valeur probatoire n'est pas suffisant.
| Contenu rencontré | Règle du document ou du dossier | Sort de la copie dans la messagerie | Exemple de vérification |
|---|---|---|---|
| Facture reçue en pièce jointe, constituant pièce justificative comptable | Dans le champ comptable applicable : dix ans depuis clôture de l'exercice, L.123-22 | Après classement fiable dans le dossier comptable et fin du besoin opérationnel, le doublon de boîte n'a pas automatiquement à rester dix ans | Facture de l'exercice clos le 31 décembre 2026 : échéance comptable à dix ans de cette clôture ; contrôler l'exemplaire et les métadonnées nécessaires avant tri du courriel |
| Bon de commande ou de livraison servant de justificatif comptable | Dix ans depuis clôture de l'exercice lorsqu'il relève effectivement de cette catégorie | Classer la preuve utile avec la transaction ; ne pas conserver toute la conversation si seuls certains éléments sont nécessaires | Vérifier que l'accord contenu dans le corps du message, s'il fait partie de la preuve, n'a pas été perdu en ne gardant que la pièce jointe |
| CV reçu pour un vivier de candidatures | Repère CNIL : jusqu'à deux ans depuis dernier contact, sous conditions de finalité, information et base adaptées ; distinguer une éventuelle archive probatoire du recrutement | Transférer dans le vivier habilité puis éliminer les copies devenues inutiles dans les boîtes des managers | Dernier contact pertinent le 3 novembre 2026 : plafond de référence du vivier au 3 novembre 2028 ; pas de remise à zéro par un automatisme artificiel |
| Double employeur d'un bulletin transmis par courriel | Conservation du double cinq ans, L.3243-4 ; référentiel RH : départ depuis transmission. Disponibilité longue du bulletin électronique : autre obligation | Le double de référence doit être conservé ; cela n'impose pas cinq ans dans chaque boîte d'envoi, réception et support | Bulletin transmis le 30 novembre 2026 : période de cinq ans depuis cette date, mois actif inclus ; contrôler le dépôt de référence et les droits avant suppression du doublon |
| Justificatif nécessaire à l'assiette des cotisations reçu par courriel | Au moins six ans depuis établissement ou réception, L.243-16, dans son champ | Conserver la pièce et le contexte nécessaire dans le dossier social, non l'ensemble de la boîte du gestionnaire | Pièce reçue le 3 novembre 2026 : échéance minimale à six ans de cette réception, sous réserve d'autre règle applicable ; l'export temporaire peut être supprimé plus tôt |
Sources : Service Public, documents d'entreprise, Code de commerce, L.123-22, CNIL, référentiel durées RH 2026, pages 3 et 5, Code du travail, L.3243-4, Code de la sécurité sociale, L.243-16.
Ces durées ne sont pas cinq "règles de messagerie". Elles suivent le document et sa finalité, quels que soient son canal d'arrivée et son emplacement. Avant suppression du message, vérifier que celui-ci n'est pas lui-même un élément nécessaire de la preuve. Pour un organisme public, appliquer les règles d'archives et de documents concernés avant toute élimination ; la grille d'une entreprise privée ne se transpose pas automatiquement.
Trois délais internes fictifs, avec leur justification
Les chiffres ci-dessous sont des décisions pédagogiques fictives, ni des durées légales ni des recommandations chiffrées de la CNIL. Ils montrent comment écrire un délai, son déclencheur et sa limite. Le responsable doit les confronter aux usages réels et aux capacités du système avant adoption.
| Objet limité | Exemple de règle interne | Pourquoi ce délai pourrait être retenu | Conditions et preuve |
|---|---|---|---|
| Notification logistique d'un rendez-vous réalisé, sans engagement ni litige | Suppression trente jours après tenue ou annulation du rendez-vous | Courte marge pour corriger une erreur d'organisation puis disparition du besoin | Le compte rendu et les engagements utiles sont classés ailleurs ; test d'échéance sur notification fictive |
| Récupération d'un message supprimé par erreur | Corbeille/récupération utilisateur limitée à trente jours après suppression | Fenêtre explicite de récupération, connue et bornée | Inventorier aussi récupération administrateur et sauvegarde ; trente jours ne promet pas disparition immédiate de toute copie |
| Quarantaine de messages indésirables non signalés comme incident | Suppression quinze jours après mise en quarantaine | Temps laissé pour identifier un faux positif puis limitation de l'exposition | Vérifier fréquence de revue et capacité de restitution ; extrait réellement utile à un incident suit un dossier distinct |
Contre-exemple : appliquer la règle fictive de trente jours à une facture sans archivage fiable ferait perdre une pièce à conserver. À l'inverse, appliquer dix ans à tous les courriels parce qu'une boîte contient une facture conserverait inutilement des échanges sans finalité restante.
Sauvegarde et gel : deux exceptions à encadrer
Une sauvegarde vise la reprise, pas l'accès quotidien à d'anciens messages. Décrire la durée du cycle, la protection, les conditions de restauration et la manière de ne pas réintroduire durablement des données dont la suppression doit être maintenue. Si la suppression unitaire est techniquement impossible, cette limite doit être analysée et documentée avec les mesures de restriction ; elle ne justifie pas une sauvegarde permanente.
Un gel contentieux cible les éléments nécessaires et peut suspendre leur purge ordinaire. Il n'autorise pas à geler indistinctement toutes les boîtes "au cas où". Prévoir un contrôle périodique du besoin et une décision de levée. Une demande d'accès reçue doit également être instruite sans effacement opportuniste destiné à la rendre impossible.
10. Absence et départ : séparer révocation, continuité et destruction
Le départ déclenche plusieurs opérations différentes : retirer l'accès de l'ancien utilisateur, révoquer sessions et délégations devenues inutiles, organiser la continuité licite, traiter les éléments personnels, archiver les seules pièces professionnelles nécessaires et fermer le compte selon la procédure. Conserver un document n'implique pas de maintenir un compte actif.
La CNIL prévoit d'informer le salarié de la fermeture de son compte pour qu'il puisse gérer sa messagerie. Anticiper cette étape dans la charte et le processus de départ, en conciliant continuité, confidentialité et éventuelle mesure de sécurité urgente. CNIL, accès à la messagerie en l'absence du salarié.
Séquence de travail proposée :
- Le métier identifie les dossiers à transmettre, sans aspirer toute la boîte dans un répertoire partagé.
- La personne est informée des modalités et de la date de fermeture ; les messages personnels sont traités selon une procédure respectueuse de leur confidentialité.
- L'informatique retire les accès, vérifie les applications connectées, transferts automatiques et terminaux ; les exceptions sont motivées.
- Une réponse automatique orientant vers une fonction peut être préférée à une redirection intégrale, si le besoin est établi. Fixer sa durée et son responsable ; ne pas révéler de motif confidentiel de départ.
- Le compte et l'adresse suivent leur fin de vie décidée ; les pièces utiles restent dans leurs dossiers de référence avec leurs propres règles.
- Un contrôle vérifie que les anciennes délégations et règles de transfert ne subsistent pas.
Ce déroulement est une méthode, non une durée de fermeture imposée à tous. Une absence temporaire, une rupture conflictuelle et un incident de sécurité ne se traitent pas exactement de la même manière. Ne pas réattribuer sans analyse l'adresse nominative à un successeur qui recevrait des correspondances destinées à l'ancien titulaire.
11. Sécurité : tester les scénarios d'erreur et d'attaque
L'article 32 impose des mesures adaptées au risque. Les contrôles ci-dessous sont des propositions pratiques, à sélectionner et éprouver : authentification multifacteur ; comptes administrateurs distincts ; revue des délégations ; blocage ou contrôle des transferts externes ; chiffrement des communications ; restrictions sur les applications connectées ; protection des postes et mobiles ; sauvegarde restaurée en test ; mécanisme de signalement ; procédure de réponse à un accès frauduleux.
Cas fictif d'hameçonnage : un utilisateur saisit ses identifiants sur un faux portail. Changer son mot de passe ne suffit pas toujours : vérifier les sessions, jetons, délégations et règles de redirection, analyser les accès et évaluer l'éventuelle violation. Un courriel malveillant reçu n'est pas automatiquement une violation de données ; une compromission avérée exige une analyse des données et personnes affectées. CNIL, attaques sur les messageries.
Cas fictif d'erreur de destinataire : une pièce est envoyée à une adresse homonyme. Tester un canal de signalement immédiat, le confinement possible, la qualification et la conservation des éléments nécessaires à l'analyse. Ne pas présenter la fonction "rappeler le message" comme garantie de suppression chez le destinataire.
La sécurité ne doit pas devenir une surveillance cachée. Le contrôle de l'activité exige justification, proportionnalité, information et procédure sociale applicable. Les conditions de consultation des instances dépendent du régime de l'organisme. CNIL, contrôle de l'activité, 9 juillet 2026.
12. Information et droits : préparer une recherche exploitable
Informer les utilisateurs des usages, accès possibles, traces, durées, destinataires, transferts et exercice des droits. Organiser aussi l'information des correspondants dans les parcours pertinents. Un pied de message peut orienter vers une notice ; il ne doit pas être présenté comme une solution universelle à toutes les obligations d'information, notamment pour des tiers mentionnés dans les échanges.
Une demande d'accès ne se réduit pas au dossier RH
La Cour de cassation a confirmé le droit du salarié d'obtenir les courriels professionnels émis ou reçus, avec leur contenu et leurs métadonnées, sous réserve des droits et libertés d'autrui. Fournir seulement les bulletins ou refuser sans motif la recherche des courriels n'est pas une réponse suffisante. Cass. soc., 18 juin 2025, n° 23-19.022, points 14 à 18.
La CNIL distingue notamment la personne émettrice ou destinataire de celle simplement mentionnée. La recherche, la sélection et les protections doivent être adaptées au cas. Les droits des tiers ne justifient pas un refus automatique de tout le corpus ; examiner occultation ou autre modalité appropriée. CNIL, droit d'accès aux courriels professionnels.
Fiche de traitement de demande proposée : date de réception ; identité vérifiée de façon proportionnée ; périmètre compris ; composants recherchés ; critères utilisés ; limites techniques ; examen des tiers ; données remises ; canal sécurisé ; décision et motifs. Si la demande est très large, dialoguer pour faciliter son traitement sans exiger que la personne justifie son intérêt ni considérer le dialogue comme une suspension automatique du délai légal.
L'effacement n'est pas absolu et le droit d'opposition dépend de la base applicable. Un ancien salarié doit pouvoir exercer ses droits sans retrouver son compte actif. Distinguer les données qui n'ont jamais existé, celles régulièrement supprimées et celles conservées mais non communiquées pour un motif à expliquer. RGPD, articles 12 à 22.
13. AIPD : examiner les fonctions, pas le nom du logiciel
La mise à disposition d'une messagerie ne signifie pas automatiquement AIPD obligatoire, ni automatiquement dispense. Vérifier les listes applicables et les risques : données très personnelles, surveillance systématique, profilage, volume, croisement, personnes vulnérables et conséquences. La liste CNIL sans AIPD comprend certains usages d'outils de communication dans le cadre RH d'organismes de moins de 250 personnes, sous conditions ; elle ne dispense pas tout traitement utilisant le courriel. CNIL, liste sans AIPD.
Documenter séparément une fonction d'analyse des comportements, une inspection étendue des contenus ou une utilisation d'IA. Le simple intitulé "cybersécurité" ne résout pas l'analyse. Lorsque l'AIPD est requise, la mener avant la mise en œuvre ; elle ne légalise pas un dispositif disproportionné.
14. Traduire l'analyse dans DPO SUITE
Les champs du registre servent à relier les décisions et leurs preuves, sans remplacer l'administration du service de messagerie. L'article 30 définit le socle du registre ; logiciels, base légale détaillée, sources de collecte, pilote, contrats et décision AIPD sont des compléments utiles de pilotage, même lorsqu'ils ne sont pas expressément énumérés dans cet article. CNIL, registre.
Parcourir les douze sections sans laisser les champs ambigus
L'ordre de saisie peut suivre la notice DPO SUITE "Traitements et données". Cette notice documente des champs, pas le résultat d'un contrôle technique de la messagerie.
- Informations générales. Le "Nom de la fiche" décrit l'usage ; le département et la personne référente désignent le pilote, pas le responsable juridique. Dans "Description", décrire comptes, flux et copies. L'interrupteur relatif à l'IA concerne le traitement réel : l'aide à la rédaction de la fiche n'est pas une IA lisant les courriels. Conserver la référence interne de l'outil sans lui inventer une portée réglementaire.
- Finalités et description. Choisir la finalité principale et expliquer les usages détaillés. Une finalité secondaire n'autorise pas silencieusement la mesure de performance. Pour la base principale, ne pas cocher plusieurs fondements par précaution ; exposer dans la justification les opérations distinctes et les renvois aux dossiers métiers.
- Personnes concernées. Utiliser les catégories correspondant aux faits puis les préciser : utilisateurs salariés, anciens utilisateurs pour données résiduelles, contacts de clients ou fournisseurs, personnes citées. Une catégorie "Enfants (-16 ans)" n'englobe pas les apprentis de 16 ou 17 ans ; ne pas déduire la collecte d'une population de la seule présence d'une case.
- Données traitées. Dans "Nom des données", écrire un type, par exemple "adresse professionnelle", jamais une valeur réelle. Séparer enveloppe, contenu, comptes et traces. Le regroupement produit de certaines données avec le NIR ne change pas leur qualification juridique.
- Destinataires. Séparer services internes, autres destinataires, sous-traitants et logiciels. Une personne recevant un message n'est pas automatiquement un sous-traitant ; une application n'est pas une entité juridique. Relier les prestations connues à leurs fiches, puis laisser une réserve sur les rôles non établis.
- Transferts internationaux. Le libellé "hors Union européenne" doit être interprété avec l'analyse juridique de l'EEE. Renseigner le pays, l'entité, le flux et le mécanisme réellement vérifié. Ne pas sélectionner "clauses" comme si leur signature ou leur efficacité était déjà constatée.
- Conservation. Ajouter plusieurs objets documentaires. Si le déclencheur, les copies ou le sort final n'ont pas de champ dédié dans la version utilisée, les expliquer dans la justification et les modalités de purge. Cocher l'archivage intermédiaire uniquement s'il existe un besoin distinct et des accès adaptés. "Pas de délais" n'est pas la réponse à un inventaire non terminé.
- Sécurité. Distinguer mesures présentes et mesures proposées dans les commentaires. La case "Sauvegarde" appelle la description du cycle et des restrictions ; la case "Journalisation" ne prouve pas que les traces sont consultées ou protégées.
- Exercice des droits. Décrire réception, recherche, protection des tiers et remise ; renseigner un contact suivi et un lien réellement accessible. Le délai RGPD de principe est un mois, non trente jours par équivalence automatique ; l'extension prévue par l'article 12 requiert ses conditions et l'information du demandeur dans le premier mois.
- Habilitations et accès. Associer la matrice décrivant lecture, délégation, export et administration. Cela ne modifie pas les autorisations dans le service de messagerie. Conserver la date de leur dernière revue effective.
- Documentation. Lier charte, notices, procédure départ, mise en balance, contrats et décision AIPD. Ne pas cocher une AIPD inexistante ni déposer de véritables échanges pour illustrer le fonctionnement. Restreindre l'accès aux preuves sensibles.
- Suivi et statut. "Validée" signifie une étape de suivi documentaire, pas une certification. Identifier le validateur réel, les réserves et la prochaine revue. Exemple de commentaire : "Flux et comptes décrits ; règles de redirection contrôlées ; cycle des sauvegardes en attente de preuve prestataire ; test de purge à réaliser par la fonction informatique."
La table suivante permet de rapprocher les champs des contrôles, sans prétendre que chaque preuve dispose d'un bouton ou d'une automatisation spécifique.
| Rubrique | Contenu utile dans le dossier de traitement | Vérification humaine associée |
|---|---|---|
| Identité et périmètre | Comptes individuels, boîtes partagées, composants inclus/exclus | Inventaire concordant avec l'administration |
| Finalités | Communication, administration, sécurité et continuité réellement mises en œuvre | Fonction activée et besoin documenté |
| Personnes et données | Utilisateurs, correspondants, personnes citées ; couches de données | Échantillon fictif et dictionnaire technique |
| Bases et justification | Raisonnement par opération et renvoi aux analyses | Cohérence notice/pratique et limites des usages |
| Destinataires/prestataires | Rôles, services et liens vers contrats internes | Revue des accès et chaînes réelles |
| Conservation | Une ligne par objet, phase, déclencheur, durée, copies, sort final et preuve | Configuration et test des couches de suppression |
| Sécurité/transferts | Mesures observées, entités/pays, garanties, inconnues | Tests et pièces datés |
| Documentation | Notice, charte, procédure départ, AIPD ou analyse de nécessité, plan d'action | Version applicable et responsable de mise à jour |
Ne pas saisir "vérifié" parce que le champ est rempli. L'outil de registre ne purge pas, par cette saisie, le serveur, les téléphones ou les sauvegardes. Les tests doivent être conduits par les personnes habilitées avec des données fictives ou expurgées.
15. Mini-audit à répartir entre métier, informatique et prestataire
| Contrôle | Répondant principal | Preuve attendue | Conclusion limitée |
|---|---|---|---|
| Quels composants gardent une copie ? | Informatique et prestataire | Schéma, paramètres de synchronisation/archivage/sauvegarde | Une carte déclarée ne prouve pas la purge |
| Qui ouvre une boîte partagée ? | Métier et informatique | Liste des membres et justification des rôles | Vérifier aussi délégations et applications |
| Une délégation expire-t-elle ? | Informatique | Test fictif de fin d'accès et journal | Ne couvre pas les exports déjà réalisés |
| Le départ est-il traité de bout en bout ? | RH, métier, informatique | Ticket complet, compte test, contrôle redirections | Désactivation du compte seule insuffisante |
| Les messages utiles ont-ils un dossier de référence ? | Métier | Exemple fictif classé, règle de conservation | Ne prouve pas la nécessité des autres messages |
| La purge atteint-elle les couches prévues ? | Prestataire et informatique | Test à échéance, corbeille, récupération et cycle sauvegarde | Limites techniques explicites |
| Une alerte de compromission déclenche-t-elle une réaction ? | Sécurité | Exercice, revue sessions/règles, décision documentée | Pas simple existence d'une procédure |
| Une demande d'accès peut-elle être exécutée ? | DPO, informatique, fonction compétente | Recherche test, sélection, protection tiers, remise | Pas une exportation aveugle de toute la boîte |
| Un gel peut-il être levé ? | Fonction juridique et informatique | Échéance de revue, décision, retrait effectif | Pas de gel permanent par défaut |
Pour chaque ligne, conserver date, périmètre, résultat, limite, responsable de correction et preuve de clôture. Employer des statuts comme "étayé dans ce périmètre", "écart", "non vérifié" ou "non applicable justifié", sans présumer des libellés exacts de l'interface. Le rapprochement des réponses métier et techniques est souvent plus instructif qu'un score global.
Prolonger la démonstration dans DPO SUITE
Le parcours guidé de création du registre peut servir à préparer une fiche à partir des usages déclarés. Utiliser un scénario fictif ; confronter toute proposition aux composants, contrats, décisions de conservation et preuves réelles avant de la retenir. Aucun courriel réel n'est nécessaire à une démonstration publique.
Sources, version et révision
L'arrêt cité date du 18 juin 2025 ; la fiche CNIL de journalisation du 14 mars 2024 ; celle du contrôle de l'activité du 9 juillet 2026.
Réexaminer le dossier lors d'un changement de fournisseur, de pays, de fonction de recherche ou d'IA, de règle d'archivage, d'outil de filtrage ou de procédure de départ. Une règle interne documentée complète l'analyse ; elle ne se substitue pas aux textes applicables. Les méthodes, tableaux et cas fictifs de ce chapitre sont des propositions adaptables, non une attestation générale de conformité.
