Exports Excel : retrouver et limiter les copies

Un export Excel contenant des données personnelles reste soumis au RGPD après son téléchargement. Pour le maîtriser, limitez le fichier avant sa création, attribuez sa responsabilité et organisez sa fin d’utilisation. La suppression dans le logiciel source ne retire pas les copies envoyées par courriel ou conservées sur les postes.

Le problème ne se résume pas au choix d’Excel. Il vient souvent d’une extraction complète utilisée pour un besoin étroit, puis diffusée sans savoir qui la garde. Les Art. 5(1)(b), (c), (d) et (e) imposent de conserver la finalité, la minimisation, l’exactitude et une durée justifiée sur ces copies aussi. Source : RGPD, chapitre II.

Décider si le fichier est nécessaire

Commencez par le résultat attendu. Compter des interventions par mois, répartir les rendez-vous de demain et analyser les réclamations ne nécessitent pas les mêmes colonnes ni les mêmes destinataires. Une extraction « tout client » disponible dans le logiciel ne constitue pas une justification de son utilisation.

Si une vue dans l’application répond au besoin avec des droits adaptés, elle peut éviter la création d’une copie. Si un fichier est nécessaire, définissez sa population, sa période et ses champs avant de le produire. Cela réduit le travail de nettoyage ultérieur et le risque de conserver par erreur une colonne cachée.

Distinguez également une nouvelle présentation d’un nouvel usage. Répartir les interventions déjà convenues peut rester dans le traitement existant. Utiliser le même export pour noter la rentabilité individuelle des clients ou alimenter une campagne demande une analyse propre de la finalité et de la licéité. Le fait de posséder déjà les données ne permet pas tout réemploi. Source : Art. 5(1)(b), 6(1) et 6(4).

Retrouver les circuits de copies

Interrogez les équipes sur les fichiers réellement utilisés : exports récurrents, pièces jointes de réunion, tableaux de relance, copies de travail et versions conservées « au cas où ». Recherchez d’abord les traitements sensibles, les extractions volumineuses et les espaces largement partagés.

Pour chaque circuit, notez l’application source, le dossier de dépôt, le responsable métier et les destinataires. Demandez si une copie locale, une synchronisation ou un envoi à un prestataire intervient ensuite. Une recherche par nom de fichier ne trouve pas nécessairement une copie renommée ou un onglet réutilisé ailleurs.

Reliez ce circuit au registre des traitements et applications. Il ne faut pas créer automatiquement une fiche de registre par classeur ; il faut pouvoir comprendre les opérations et supports du traitement concerné. L’inventaire des exports peut rester un document opérationnel rattaché au registre.

Exemple : préparer les interventions sans exporter tout le CRM

Exemple hypothétique. La PME Rivage organise des interventions de maintenance chez des particuliers. Chaque vendredi, la coordinatrice prépare le planning de la semaine suivante pour trois équipes. L’extraction proposée contient cinq années de dossiers, les coordonnées, la facturation et les commentaires du service client.

Le besoin est plus limité : indiquer aux intervenants les rendez-vous qui leur sont affectés, le lieu et les informations nécessaires à la prestation. Le service comptable reste chargé de la facturation ; les observations commerciales ne sont pas nécessaires à la tournée. Rivage conserve une fiche X-08 qui décrit le fichier autorisé.

Le délai indiqué est une règle pratique de cet exemple, pas une durée légale applicable à tous les exports. Les pièces nécessaires à la facturation restent dans leur traitement propre ; conserver le planning complet n’est pas présenté comme une obligation comptable.

La sélection conserve une donnée nominative parce que l’équipe doit trouver le bon interlocuteur sur place. Elle n’est donc pas anonyme. Le retrait de certaines colonnes améliore la minimisation sans changer artificiellement la qualification juridique du fichier.

Préparer un fichier de diffusion distinct

Le classeur de travail et le fichier à transmettre n’ont pas nécessairement le même contenu. Préparez la copie destinée au destinataire à partir de la sélection autorisée, puis vérifiez cet objet précis. Retirer des colonnes de l’écran ou appliquer un filtre ne garantit pas leur disparition du classeur.

Microsoft indique que les classeurs peuvent contenir des feuilles masquées, commentaires, propriétés, liens externes ou objets incorporés. Son inspecteur aide à rechercher certains contenus, mais ne les retire pas tous ; l’éditeur recommande de travailler sur une copie, car des suppressions peuvent être irréversibles ou modifier les calculs. Source : Microsoft, inspection des documents, sections Excel.

Dans X-08, la coordinatrice ne transmet pas son classeur contenant les trois équipes et un filtre sur la première. Elle produit un fichier par périmètre à partir des seules lignes et colonnes retenues. Elle rapproche le nombre de rendez-vous avec le planning source et vérifie les références pour éviter une attribution à la mauvaise équipe.

Si le fichier ne doit servir qu’à lire un planning, une sortie statique limitée peut suffire. Si les destinataires doivent trier ou compléter les données, un tableau peut être nécessaire. Le format doit répondre à l’usage ; convertir en PDF n’est pas, à lui seul, une anonymisation ni une garantie de contenu sûr.

Attention aux tableaux croisés et caches

Un tableau de synthèse peut garder des données sous-jacentes. Microsoft précise que certains tableaux et graphiques croisés, segments et formules conservent un cache. L’inspecteur ne le supprime pas automatiquement ; il peut continuer à signaler les objets même après des opérations de nettoyage. Source : Microsoft, données en cache.

Pour une diffusion qui n’exige pas les fonctions d’analyse, préparez un résultat limité sans transporter le classeur analytique complet. Vérifiez la copie obtenue ; ne promettez pas qu’un bouton « inspecter » certifie son absence de données cachées. Ces précautions sont une méthode proposée, pas le compte rendu d’un audit réalisé sur vos fichiers.

Protéger l’accès, pas seulement les cellules

La protection d’une feuille sert à limiter la modification des cellules. Microsoft indique expressément qu’elle n’est pas conçue comme une fonction de sécurité protégeant la confidentialité du fichier. Elle ne doit pas être confondue avec le chiffrement ou le contrôle des personnes pouvant l’ouvrir. Source : Microsoft, protection d’une feuille.

Choisissez les mesures selon les risques : espace professionnel maîtrisé, comptes individuels, droits limités, chiffrement lorsque pertinent et retrait des accès devenus inutiles. L’Art. 32(1) exige un niveau de sécurité adapté, et l’Art. 25(2) limite par défaut l’accessibilité aux données nécessaires. Source : RGPD, chapitre IV.

Un lien partagé permet parfois de conserver une seule version. Il faut toutefois vérifier ses permissions et le sort des téléchargements. La revue des liens de partage complète ce contrôle. Retirer le lien ne retire pas un fichier déjà enregistré par son destinataire.

Pour une transmission extérieure, protégez le canal et les pièces selon leur sensibilité ; transmettez les secrets par un canal distinct lorsque vous utilisez un fichier chiffré. La CNIL recommande également de limiter l’accès et la durée des dépôts temporaires. Source : CNIL, sécuriser les échanges.

Éviter que les corrections restent dans la base source

Dans X-08, un rendez-vous du mardi change d’adresse après la préparation du vendredi. La correction du CRM ne suffit pas si l’équipe consulte encore le téléchargement initial. La coordinatrice remplace la version de référence, signale le changement et demande le retrait de la copie périmée utilisée pour la tournée.

La consigne doit indiquer comment reconnaître la version courante, sans demander aux équipes de comparer des fichiers presque identiques. Un numéro de version et une date peuvent aider ; ils n’assurent rien si l’ancien fichier reste présenté comme actuel. Évitez également qu’une nouvelle extraction automatique réintroduise une donnée déjà corrigée manuellement dans le planning.

La propagation des rectifications distingue correction opérationnelle et historique exact. Les Art. 16 et 19 organisent la rectification et sa notification aux destinataires, sous les exceptions prévues. Une ancienne adresse peut rester pertinente dans une pièce historique justifiée ; elle ne doit pas continuer à guider une intervention actuelle. Source : RGPD, Art. 16 et 19.

Fermer le circuit et traiter les copies inconnues

À la fin d’utilisation, le propriétaire vérifie la suppression du fichier de référence, des copies temporaires connues et des partages. Il distingue les sauvegardes gérées de l’accumulation de classeurs de bureau. Une politique de sauvegarde ne justifie pas de laisser toutes les anciennes tournées accessibles dans un dossier courant.

Conservez une trace limitée de l’opération : référence de l’export, périmètre, date et résultat de la vérification. Il n’est pas nécessaire de garder une copie complète des coordonnées pour prouver que le planning a été retiré. Si une conservation particulière est nécessaire, identifiez sa finalité, son accès et sa durée propres au lieu de prolonger tout le fichier par défaut.

Si un destinataire déclare avoir transmis une copie à un autre service, retrouvez ce circuit et vérifiez son autorisation. Une copie inconnue demande une investigation ; elle n’autorise pas à annoncer une suppression complète. S’il y a eu divulgation non autorisée ou autre violation de sécurité, documentez les faits et appréciez les obligations des Art. 33 et 34 selon les risques. Toute anomalie de classement n’entraîne pas automatiquement une notification, mais elle ne doit pas être ignorée. Sources : Art. 4(12), Art. 33 et 34.

Ce qu’il faut retenir

• Définissez population, colonnes et destinataires avant l’extraction.
• Contrôlez le fichier diffusé, y compris son contenu non visible.
• Séparez protection des cellules, confidentialité et contrôle du partage.
• Prévoyez les corrections et la fin d’usage sur toutes les copies encore utilisées.

FAQ

Un export sans noms est-il anonyme ?

Pas nécessairement. Références, adresses, dates et situations particulières peuvent permettre une identification. Examinez le contenu et les rapprochements raisonnablement possibles dans le contexte de sa diffusion.

Peut-on interdire tous les exports ?

Cela peut convenir à certains usages, mais ne remplace pas l’analyse des besoins. Une interdiction inapplicable peut conduire à des copies manuelles moins maîtrisées. Organisez les extractions nécessaires et limitez les autres.

Une cellule effacée disparaît-elle de toutes les versions ?

Pas automatiquement. Les copies précédentes, historiques de fichiers ou sauvegardes peuvent subsister selon l’environnement. Identifiez leur régime et leur accès ; ne confondez pas l’état courant du classeur avec toute sa circulation.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.