Confidentialité : encadrer l'accès de son prestataire

Un développeur qui corrige une anomalie, un technicien qui prend la main sur un poste, un hébergeur qui restaure une base : chacun accède à des informations qui ne lui appartiennent pas. La confidentialité ne repose pas sur la confiance seule, mais sur quelques règles écrites et vérifiables.

Ce que doit dire la clause de confidentialité

• Ce qui est couvert : données des clients, fichiers du personnel, documents commerciaux, code, mots de passe, schémas techniques.
• Qui est tenu : le prestataire, ses salariés, et ses éventuels sous-traitants, par un engagement équivalent.
• La durée : l'obligation doit survivre à la fin du contrat, pour une période précisée.
• Les exceptions : informations déjà publiques, ou dont la communication est imposée par une autorité.
• Le sort des copies détenues à la fin : restitution, puis effacement attesté.

Une clause générale de quelques lignes vaut mieux que rien, mais une énumération de ce qui est couvert évite les interprétations le jour où un problème survient.

Limiter l'accès à ce qui est nécessaire

Le principe est simple : chacun accède à ce dont il a besoin pour sa mission, et rien de plus. En pratique :

• des comptes nominatifs, jamais un compte partagé entre plusieurs intervenants ;
• des droits adaptés au rôle, revus quand la mission change ;
• un accès ouvert pour la durée de l'intervention plutôt qu'en permanence, quand c'est possible ;
• une liste des personnes autorisées, tenue à jour par le prestataire et communiquée sur demande ;
• la fermeture des accès dès qu'une personne quitte le projet.

La logique des droits par rôle est détaillée dans l'article comment gérer les droits d'accès dans une application.

Les données utilisées pour les tests

C'est le point le plus souvent négligé. Pour tester une correction, un prestataire copie fréquemment la base réelle sur un environnement de travail moins protégé. Cette copie contient alors de vraies données, parfois personnelles, hors de tout contrôle.

• Exigez des jeux de test dépersonnalisés : noms, adresses et coordonnées remplacés.
• Si une copie réelle est indispensable, limitez sa durée de vie et exigez son effacement écrit.
• Vérifiez que les environnements de test ne sont pas accessibles publiquement.
• Interdisez l'envoi de fichiers de données par messagerie ordinaire.

Garder une trace

Fixez un rendez-vous régulier pour relire cette liste. Les accès oubliés sont la trace la plus fréquente d'une relation ancienne.

Quand des données personnelles sont en jeu

Dès que le prestataire traite pour votre compte des données concernant des personnes, un contrat écrit comportant des mentions précises est attendu, et vous restez responsable de ce choix. Les obligations correspondantes sont décrites dans l'article qu'est-ce qu'un sous-traitant au sens du RGPD.

Ce qu'il faut demander avant de signer

• Qui aura accès, avec quels droits, et comment cette liste est tenue.
• Depuis quels équipements et quels réseaux les interventions ont lieu.
• Ce qui est fait des copies de données après une intervention.
• Comment un incident de sécurité chez le prestataire vous serait signalé, et sous quel délai.
• Quels sous-traitants interviennent, et sous quel engagement.

NexSecure travaille avec des comptes nominatifs, des accès limités à la mission et des engagements de confidentialité écrits, notamment dans le cadre d'un accompagnement de conformité RGPD.