Export de campagne : sécuriser le lien de partage

Un fichier de campagne partagé « avec toute personne disposant du lien » peut circuler au-delà du destinataire prévu. Pour l’envoyer à une agence ou un prestataire, préparez d’abord un fichier limité à sa mission, choisissez des accès identifiés, fixez leur fin et contrôlez ce qui restera après téléchargement. La longueur de l’adresse de partage ne remplace pas ces décisions.

Un transfert sûr ne rend pas licite une campagne qui ne le serait pas. Les conditions d’utilisation des contacts, les oppositions et le rôle du destinataire doivent déjà être examinés. Ce guide traite de l’opération de remise : quel fichier envoyer, comment en maîtriser l’accès et quelle preuve conserver.

Réduire le fichier avant le dépôt

Le destinataire a-t-il besoin des commentaires, de l’historique d’achat et des oppositions détaillées, ou seulement d’une liste limitée de champs ? Produisez l’export depuis une vue adaptée à la tâche. Ne comptez pas sur le destinataire pour supprimer ensuite les colonnes inutiles.

L’Art. 5(1)(c) du RGPD impose la minimisation. Une feuille masquée ou une colonne cachée reste présente dans le document transmis. Examinez donc le fichier produit, pas seulement ce que l’interface affiche à l’ouverture.

Un classeur peut aussi contenir un ancien onglet, une feuille de préparation ou des commentaires qui n’ont aucune utilité pour la prestation. Préparez une copie autonome contenant seulement les données autorisées, puis contrôlez-la. La méthode dépend du format ; il ne suffit pas de renommer le document « export sécurisé ».

L’exclusion des contacts opposés se fait avant la génération du fichier concerné. Le prestataire peut avoir besoin d’une instruction d’exclusion mise à jour ; il n’a pas nécessairement besoin du texte intégral de la demande du client et de son historique. Séparez le résultat opérationnel du dossier qui le justifie.

Une remise préparée pour une campagne postale

Considérons une opération entièrement hypothétique. Une PME confie l’adressage et l’expédition d’un catalogue à un prestataire. La sélection des contacts et la licéité de la campagne sont supposées déjà validées ; le dossier réel devrait en conserver les éléments. Le fichier doit servir uniquement à préparer cet envoi.

La responsable marketing décrit ainsi le périmètre à remettre :

Le fichier n’est pas anonyme : les adresses sont précisément destinées à identifier les destinataires du courrier. L’objectif est de limiter ce que le prestataire reçoit. La présence d’un identifiant interne n’autorise pas à joindre la table complète du CRM « au cas où ».

La remise porte une référence de campagne et une date d’extraction. Le responsable définit comment une correction reçue avant l’expédition sera transmise au prestataire. Sans ce mécanisme, un fichier techniquement bien protégé peut tout de même provoquer un envoi qui ne respecte plus la situation connue dans le CRM.

Définir les paramètres du partage

La CNIL sur les échanges externes recommande notamment une durée limitée, des destinataires autorisés et la protection des fichiers. Elle préconise de transmettre les secrets de déchiffrement par un canal distinct de celui du fichier. Ces mesures s’inscrivent dans une sécurité adaptée au risque, conformément à l’Art. 32(1). Source : RGPD, sécurité.

Dans notre exemple, la PME peut prévoir un compte nominatif de production chez le prestataire, un téléchargement autorisé pour préparer l’adressage et une expiration après la remise convenue. Une durée choisie de trois jours serait un réglage propre à cette opération, pas un délai légal universel. Si le travail exige davantage de temps, la prolongation doit être décidée et tracée, sans ouvrir un accès permanent par défaut.

Un groupe d’accès demande une attention particulière : son nom peut rester identique alors que ses membres changent. Demandez qui en fait partie et qui peut en ajouter. De même, un fichier placé dans un dossier partagé peut bénéficier de droits plus larges que ceux prévus pour le seul lien envoyé.

Un lien avec jeton reste un moyen d’accès

Un jeton dans une URL peut autoriser l’accès à une ressource sans nouvelle saisie d’identifiants. Celui qui obtient ce lien peut alors bénéficier de ses possibilités tant qu’il reste valable. Il faut donc examiner sa portée, sa durée et sa révocation, plutôt que le traiter comme une simple adresse documentaire.

La fiche CNIL sur les jetons d’accès recommande notamment de limiter leur validité et leurs usages, d’éviter les données personnelles dans le lien et de permettre la révocation. Elle traite aussi de protections complémentaires selon les données accessibles. Un lien transférable donnant seul accès au fichier doit être évalué dans ce contexte ; son aspect complexe ne démontre pas une authentification du destinataire.

Ne placez pas d’email dans le nom du lien ou ses paramètres de suivi ; voir les paramètres UTM. Évitez également un titre révélant un dossier individuel. L’objet d’un message ou le nom visible du document peuvent circuler indépendamment de son contenu.

Vérifier le comportement réel du partage

Préparez un fichier d’essai avec des données fictives. Le contrôle doit répondre à des questions observables : le destinataire autorisé peut-il accomplir la tâche prévue ; un compte non autorisé peut-il lire le contenu ; un lien transféré conserve-t-il les mêmes pouvoirs ; l’accès cesse-t-il après révocation et expiration ?

Ne réalisez pas ce contrôle uniquement depuis le compte qui possède le fichier. Ce compte peut disposer de droits indépendants du lien et masquer le problème. Utilisez les parcours correspondant aux acteurs attendus, puis conservez les observations nécessaires sans enregistrer leurs secrets d’accès en clair dans le compte rendu.

Pour la campagne postale, la réception recherchée est précise : le compte de production autorisé télécharge seulement le fichier de la campagne ; un autre compte n’y accède pas ; l’ancienne adresse ne permet plus d’obtenir le fichier après fermeture. Il s’agit de critères proposés pour le projet, pas d’un test réalisé sur un fournisseur particulier.

Si le compte extérieur obtient le document, maintenez la remise réelle suspendue. Recherchez notamment les droits hérités, les autres liens actifs et les accès directs. Refaire un lien ou changer le nom du fichier ne suffit pas si l’ancienne autorisation fonctionne encore. Le contrôle doit être repris après la correction, sur les voies effectivement ouvertes.

Fermer le partage et traiter les copies

L’expiration peut empêcher de nouveaux téléchargements par ce lien ; elle n’efface pas une copie déjà reçue et ne ferme pas nécessairement un autre accès au même fichier. La clôture recense donc les autorisations retirées et les copies détenues par le destinataire.

Si celui-ci agit comme sous-traitant, le contrat doit notamment encadrer ses instructions, ses garanties et le sort des données au terme de la prestation selon l’Art. 28(3). La restitution ou la suppression et la destruction des copies suivent ce cadre, sous réserve des conservations légalement exigées. Source : RGPD, Art. 28(3)(a)/(g).

Dans notre exemple, demandez ce qui devient le fichier téléchargé après l’expédition, y compris dans l’espace de travail utilisé pour préparer les adresses. La fermeture du lien côté PME et la suppression des copies de production côté prestataire sont deux lignes distinctes du dossier. Une preuve peut mentionner la référence du fichier, l’action, la date et l’auteur de l’opération ; elle n’a pas besoin de reproduire toute la liste des destinataires.

Si une agence intervient, rattachez le partage à sa carte des accès. Le CRM doit rester la référence pour les statuts et les droits. Un fichier partagé longtemps après extraction ne doit pas devenir une base parallèle de futures campagnes.

Si le lien a déjà circulé au mauvais destinataire

Révoquez l’accès concerné et identifiez ce qui a réellement pu être consulté ou téléchargé. Gardez les éléments utiles à la qualification de l’incident sans diffuser davantage le fichier. Une absence de téléchargement dans un journal incomplet ne démontre pas, à elle seule, l’absence d’accès.

Le responsable du traitement examine si une violation de données personnelles est caractérisée, la documente et évalue les obligations de notification et d’information selon les Art. 33 et 34. La fermeture du lien réduit l’exposition future ; elle ne prouve pas qu’aucune copie n’a été conservée. La demande adressée au destinataire accidentel et sa réponse font partie des éléments à apprécier, sans garantie automatique d’effacement effectif.

Ce qu’il faut retenir

• Limitez les données avant de créer le lien.
• Contrôlez les droits réels, les autres accès et la révocation.
• Distinguez fermeture du partage et suppression des copies téléchargées.
• Conservez une preuve utile de la remise et de sa clôture.

FAQ

Un mot de passe rend-il tout partage acceptable ?

Non. Il complète des mesures sur les données, destinataires et durées. Sa transmission doit être protégée ; le joindre au même message que le fichier chiffré réduit l’intérêt de cette séparation.

Faut-il supprimer le fichier dès le téléchargement ?

Fixez une échéance adaptée à la mission. Un téléchargement peut être nécessaire au travail convenu ; il faut surtout organiser la fin de l’accès et le sort des copies, sans durée arbitraire pour tous les échanges.

La mention « lecture seule » empêche-t-elle toute copie ?

Ne le présumez pas. Vérifiez les fonctions effectivement disponibles et les usages permis. Un contrôle d’accès ne remplace pas l’encadrement de ce que le destinataire peut faire des informations qu’il a consultées.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.