La journalisation des accès (log management) est une mesure de sécurité essentielle exigée par le RGPD. Elle permet de tracer qui accède aux données personnelles, quand et dans quel but. Mais en 2025, cette traçabilité doit être conciliée avec le respect de la vie privée des collaborateurs. Comment mettre en place un système de logs conforme sans basculer dans la surveillance ? Ce guide vous donne les clés.
L’obligation de traçabilité du RGPD
L’article 32 du RGPD impose des mesures techniques appropriées pour assurer la sécurité des traitements. La journalisation en fait partie : elle permet de détecter les accès anormaux, de reconstituer les événements en cas d’incident, et de démontrer la conformité. La CNIL considère la journalisation des accès aux données personnelles comme une mesure de sécurité élémentaire dont l’absence constitue un manquement.
Que faut-il journaliser ?
Les événements à tracer
Un système de journalisation conforme doit enregistrer au minimum : les connexions et déconnexions (réussies et échouées), les accès aux données personnelles (consultation, modification, suppression), les exports et impressions de données, les opérations d’administration (création de comptes, modification des droits), les tentatives d’accès non autorisées, et les modifications de configuration des systèmes.
Les informations à enregistrer
Chaque entrée de journal doit contenir : l’identifiant de l’utilisateur, la date et l’heure de l’action (horodatage précis), le type d’action effectuée, l’adresse IP source, l’objet de l’action (quelle donnée, quel enregistrement), et le résultat de l’action (succès ou échec).
Tracer sans surveiller : l’équilibre à trouver
La journalisation est un traitement de données personnelles en soi (elle traite les données d’identification des collaborateurs). Elle doit donc respecter les principes du RGPD, notamment la proportionnalité et la transparence.
Ce qui est autorisé
Tracer les accès aux applications métier contenant des données personnelles, enregistrer les tentatives de connexion échouées, journaliser les actions d’administration système, surveiller les accès aux bases de données sensibles, et tracer les exports de données massifs.
Ce qui est interdit ou excessif
Enregistrer le contenu des emails personnels des collaborateurs, tracer la navigation internet de manière individuelle et permanente, keystroke logging (enregistrement des frappes clavier), capture d’écran systématique des postes de travail, et géolocalisation permanente sans justification. La CNIL a sanctionné plusieurs entreprises pour des dispositifs de surveillance disproportionnés déguisés en mesures de sécurité.
Informer les collaborateurs
La transparence est essentielle. Les collaborateurs doivent être informés de l’existence du système de journalisation, des catégories de données tracées, de la finalité de la journalisation (sécurité, conformité), de la durée de conservation des logs, des personnes ayant accès aux journaux, et de leurs droits sur ces données. Cette information doit figurer dans la charte informatique et la politique de confidentialité interne.
Durée de conservation des logs
La CNIL recommande les durées suivantes : 6 mois pour les journaux d’accès courants, 1 an pour les journaux de sécurité (tentatives d’intrusion, anomalies), 1 an pour les journaux d’accès aux données de santé, et jusqu’à 3 ans pour les journaux nécessaires à la détection de fraudes. Au-delà de ces durées, les logs doivent être supprimés ou anonymises. La conservation illimitée des journaux est contraire au principe de limitation de conservation.
Mise en oeuvre technique
Centraliser les journaux
Un système centralisé de gestion des logs (SIEM) permet de collecter, stocker et analyser les journaux de l’ensemble des systèmes. En 2025, les solutions SIEM permettent de corréler les événements provenant de sources multiples (serveurs, applications, pare-feu, bases de données) et de détecter automatiquement les comportements anormaux.
Protéger l’intégrité des journaux
Les journaux doivent être protégés contre la modification et la suppression. Les bonnes pratiques incluent : le stockage sur un serveur dédié avec accès restreint, la signature numérique des entrées de journal, l’archivage régulier sur un support non modifiable, et la ségrégation des rôles (les administrateurs système ne doivent pas pouvoir modifier les logs qui les concernent).
Analyser et alerter
La journalisation n’à de valeur que si les logs sont analysés. Mettez en place des alertes automatiques pour les connexions échouées répétées (tentatives de brute force), les accès en dehors des horaires habituels, les exports massifs de données, les modifications de droits d’administration, et les accès depuis des localisations inhabituelles.
FAQ
Le CSE doit-il être consulté avant la mise en place des logs ?
Oui, tout dispositif permettant un contrôle de l’activité des salariés doit faire l’objet d’une consultation préalable du CSE (article L2312-38 du Code du travail). Même si la finalité est la sécurité et non la surveillance, la journalisation permet potentiellement de tracer l’activité des collaborateurs.
Un salarié peut-il demander accès à ses logs ?
Oui, le droit d’accès du RGPD s’applique aux données de journalisation. Un salarié peut demander à consulter les logs le concernant. L’organisme doit répondre dans un délai d’un mois, en veillant à ne pas communiquer des informations relatives à d’autres utilisateurs.
