Audit client d'un SaaS : protéger les autres clients

Un client de votre SaaS demande les journaux de production pour vérifier les accès à ses dossiers. Ils contiennent aussi les utilisateurs et les opérations d’autres organisations. Vous devez rendre l’audit possible, mais vous n’avez pas à remettre sans distinction la totalité du journal. La réponse consiste à définir le contrôle recherché, à construire une preuve limitée au bon périmètre et à permettre à l’auditeur d’en apprécier la fiabilité.

Le simple refus « plateforme mutualisée » ne répond pas à l’obligation. À l’inverse, un engagement de confidentialité signé par l’auditeur ne rend pas nécessaire toute communication de données. Voici comment organiser un audit qui permette de conclure, y compris lorsque certaines preuves restent insuffisantes.

Ce que le client peut vérifier

Dans la relation envisagée ici, l’éditeur est sous-traitant pour les dossiers que son client lui confie. L’Art. 28(3)(h) du RGPD prévoit la fourniture des informations nécessaires à la démonstration du respect des obligations de cet article et la possibilité d’audits, inspections comprises, réalisés par le responsable ou son auditeur mandaté. Le contrat ne peut donc remplacer toute vérification par une simple déclaration de conformité. RGPD, Art. 28(3)(h).

Ce droit concerne les traitements et les obligations pertinents. Il ne donne pas au client un accès général aux données commerciales de l’éditeur ni aux dossiers personnels confiés par d’autres clients. Les obligations de confidentialité et de sécurité continuent pendant l’audit : personnes autorisées, instructions et mesures appropriées au risque. RGPD, Art. 28(3)(a)–(c) et 32(1)–(4).

Le premier échange doit donc porter sur une proposition vérifiable : « contrôler les accès administrateurs à notre espace pendant septembre » est exploitable. « Obtenir tous vos journaux » décrit un moyen sans délimiter la question. L’éditeur fait préciser le besoin, puis propose une méthode ; cette clarification ne doit pas devenir une succession de formalités destinées à épuiser la demande.

Le guide des obligations de l’éditeur SaaS replace ce contrôle dans la relation complète : sécurité, assistance, incidents et fin de prestation.

Trois clauses qui n’ont pas le même effet

« Notre certification remplace tout audit client. » Cette rédaction ferme par avance la voie à des vérifications nécessaires. Un rapport peut être utile, mais il faut examiner le service, les mesures, la période et les exclusions couverts. Un contrôle de l’infrastructure de l’année précédente ne répond pas forcément à une question sur les accès exceptionnels du mois dernier.

« Tout audit est limité à une visite annuelle avec soixante jours de préavis. » Ces conditions doivent être confrontées à l’effectivité du droit et au contexte. Une organisation normale des visites n’épuise pas les besoins après un incident ou face à un indice sérieux de non-conformité. Soixante jours n’est pas un délai prévu par l’Art. 28.

« Les parties déterminent des modalités protégeant les tiers tout en permettant les vérifications nécessaires ; toute restriction est accompagnée d’une justification et d’une proposition de preuve adaptée. » Cette formulation est une proposition pratique à intégrer dans un ensemble contractuel cohérent. Elle organise la discussion sans présumer que la solution alternative suffira toujours.

Les clauses types de la décision 2021/915 constituent un point de comparaison précis, lorsqu’elles sont choisies par les parties. Leur clause 7.6 prévoit des audits à intervalles raisonnables ou en présence d’indices de non-conformité, la prise en compte des certifications et, lorsque cela convient, un préavis raisonnable pour les inspections. Elle ne fixe pas de quota annuel absolu. Les ajouts ne doivent pas contredire ces clauses. Décision 2021/915, clauses 2 et 7.6.

Relisez donc le contrat de sous-traitance réellement signé. Distinguez une modalité convenue, une proposition pour cet audit et une obligation légale ; aucune ne doit être présentée sous le nom d’une autre.

Dossier S-32 : une demande d’audit renseignée

Exemple entièrement fictif. La société Sélène utilise un logiciel de suivi d’interventions. Elle veut vérifier les consultations effectuées par le support de son éditeur durant septembre. Son auditrice est expressément mandatée. La plateforme dessert plusieurs clients, mais l’audit porte sur l’espace S-32 et sur le mécanisme commun qui autorise les accès du support.

Le dossier de préparation retient les décisions suivantes :

Cette fiche constitue le périmètre accepté de l’exercice fictif, pas une liste réglementaire universelle. Elle évite aussi un masquage excessif : remplacer tous les agents par le mot « support » empêcherait de vérifier si le même compte a réalisé des opérations incompatibles avec son rôle.

Un identifiant de remplacement conserve donc sa stabilité pendant l’analyse. La table permettant de retrouver le nom n’est pas remise systématiquement avec l’extrait. Si l’identité devient nécessaire pour résoudre un écart, sa consultation est organisée et justifiée. Le document ainsi préparé reste potentiellement personnel ; il n’est pas annoncé comme anonyme.

Prouver le filtrage sans remettre le journal global

Dans S-32, une requête fondée seulement sur la colonne « client » retourne dix-huit événements. L’examen du circuit de journalisation montre pourtant que deux accès exceptionnels utilisent une autre référence technique. Ces deux événements concernent aussi Sélène. Une recherche limitée à la première colonne aurait donné un extrait propre, mais incomplet.

La méthode retenue rapproche les deux chemins de journalisation, élimine les doublons par identifiant d’événement et produit vingt événements distincts. Les dix-huit et les deux ne représentent pas vingt personnes. L’auditrice peut examiner la logique de correspondance et les bornes temporelles sans recevoir les opérations des autres organisations.

Ce résultat fictif ne prouve pas à lui seul que tous les accès ont été journalisés. Le rapport sépare deux questions : l’extraction couvre-t-elle les traces disponibles pour S-32 ? Le mécanisme de collecte enregistre-t-il effectivement les opérations pertinentes ? La seconde demande d’autres éléments, tels que la configuration, les types d’événements couverts et les interruptions connues.

Une démonstration sur des données inventées aide à comprendre un mécanisme. Elle ne remplace pas les preuves historiques de septembre. De même, montrer une requête à l’écran n’établit pas que le fichier remis en provient. Le bordereau rapproche la version de la requête, sa date d’exécution, la période, le nombre de lignes et l’identité du fichier livré. Ce sont des moyens proposés pour rendre la preuve traçable, sans imposer une technologie particulière.

Choisir le bon mode de consultation

L’extrait propre à Sélène peut être copié dans un espace sécurisé. La console centrale, elle, est consultée pendant une séance encadrée : l’opérateur ouvre uniquement les vues nécessaires et masque les informations étrangères au contrôle. L’auditrice garde ses observations et les pièces autorisées, avec leurs limites.

Un partage d’écran n’est pas automatiquement protecteur. Notifications, onglets, suggestions de recherche et téléchargements peuvent révéler des données hors périmètre. Préparez l’environnement et prévoyez comment interrompre la consultation si une information inattendue apparaît.

Un rapport indépendant peut compléter l’ensemble. La CNIL recommande de prévoir les moyens de vérifier l’effectivité des garanties du sous-traitant et de vérifier le périmètre des certifications. Il faut donc rattacher chaque pièce à la question qu’elle permet réellement de traiter. CNIL, gérer la sous-traitance.

Pour un contrôle dépassant le seul journal, la méthode d’audit RGPD aide à séparer obligation, preuve d’exécution et écart constaté.

Traiter le désaccord sans fabriquer une conclusion

Supposons que l’éditeur refuse d’expliquer le second circuit, en invoquant son architecture confidentielle. L’auditrice décrit alors précisément ce qui manque : elle ne peut pas apprécier la complétude des accès exceptionnels. Elle peut proposer une vérification par un tiers indépendant, sous confidentialité, avec un compte rendu ciblé sur ce point.

Si aucune modalité ne permet de résoudre la question, la réserve demeure. Elle ne devient ni « conforme » faute d’incident connu, ni preuve automatique d’un accès illicite. Le client apprécie les garanties disponibles et les suites contractuelles nécessaires ; le fournisseur traite le défaut de démonstration. L’Art. 28(1) impose au responsable de faire appel à des sous-traitants présentant des garanties suffisantes. RGPD, Art. 28(1).

Si l’audit révèle une divulgation effective à un autre client, la gestion de l’incident suit son propre circuit. Elle ne doit pas attendre la réunion de clôture : information du responsable par le sous-traitant dans les meilleurs délais, puis appréciation documentée des obligations de notification et de communication selon les risques. RGPD, Art. 33(1)–(5) et 34(1).

Clôturer les accès et conserver une preuve proportionnée

Le dossier final S-32 contient le périmètre, l’extrait identifié, la méthode, les contrôles réalisés et les réserves. Il ne contient pas une copie de la base complète « au cas où ». Chaque action corrective a un responsable et un résultat attendu ; une promesse de correction n’est pas une preuve de réalisation.

L’accès temporaire de l’auditrice est fermé selon le calendrier convenu. Le sort des téléchargements et des espaces intermédiaires est vérifié. Les pièces nécessaires au suivi sont conservées pour une durée justifiée et avec des accès adaptés ; aucune durée universelle d’archive d’audit n’est déduite de l’Art. 28.

Intégrez ces espaces à la sécurité des données. La confidentialité annoncée dans le protocole doit aussi exister dans le dossier de travail créé pour l’appliquer.

Ce qu’il faut retenir

• Reliez chaque demande d’audit à une obligation et à une preuve utile.
• Protégez les autres clients sans neutraliser les vérifications nécessaires.
• Expliquez le filtrage, ses limites et la différence entre traces disponibles et collecte complète.
• Conservez les réserves non résolues et fermez les accès temporaires.

FAQ

Un accord de confidentialité autorise-t-il la copie de tous les journaux ?

Non. Il encadre le comportement du destinataire, mais ne rend pas nécessaires des données étrangères au contrôle. Le périmètre et la sécurité de leur communication doivent rester justifiés.

Peut-on remplacer les noms par des numéros ?

Oui lorsque cela conserve l’utilité de la preuve. Les numéros doivent permettre les rapprochements nécessaires ; leur remplacement ne suffit pas à rendre l’ensemble anonyme.

L’audit doit-il conclure à la conformité de tout le service ?

Non. La conclusion est limitée aux contrôles réalisés, à la période et aux preuves disponibles. Les éléments non vérifiés restent explicitement hors conclusion ou sous réserve.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.