Gestion des habilitations : le guide RGPD 2026

Le 22 janvier 2026, la CNIL a sanctionné France Travail de 5 millions d’euros. Parmi les trois manquements retenus : des habilitations d’accès « définies de manière trop large », qui permettaient aux conseillers CAP EMPLOI de consulter les données de personnes qu’ils n’accompagnaient pas. Résultat : quand des comptes ont été usurpés, les attaquants ont pu atteindre les données de l’ensemble des inscrits des vingt dernières années. La gestion des habilitations n’est pas un sujet d’administrateur système — c’est le paramètre qui décide de l’ampleur de votre prochaine violation de données.

Ce qu’est une habilitation, juridiquement

Une habilitation, c’est le droit d’accès attribué à un utilisateur identifié, sur un périmètre de données déterminé, pour un usage précis. Trois mécanismes distincts s’articulent, et les confondre est l’erreur la plus fréquente que je rencontre en audit :

Mécanisme	Question posée	Exemple de mesure
Authentification	Es-tu bien celui que tu prétends être ?	Mot de passe robuste, MFA, certificat
Habilitation	À quoi as-tu le droit d’accéder, et pour quoi faire ?	Profils métiers, matrice de droits, moindre privilège
Traçabilité	Qu’as-tu réellement fait ?	Journalisation, détection de comportements anormaux

Une authentification forte protège mal un compte dont les droits sont démesurés : elle rend l’usurpation plus difficile, pas moins grave. C’est exactement ce que dit la décision France Travail.

Le fondement juridique est double dans le RGPD. L’article 32(1)(b) impose de garantir « la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes ». L’article 5(1)(f) érige l’intégrité et la confidentialité en principe : les données doivent être protégées contre « le traitement non autorisé ». Et l’article 32(4) ajoute une obligation souvent négligée : le responsable de traitement doit faire en sorte que toute personne agissant sous son autorité et ayant accès à des données personnelles ne les traite que sur instruction. Autrement dit, un accès non nécessaire n’est pas seulement un risque de sécurité — c’est déjà un traitement non conforme, indépendamment de toute attaque.

Pour le sous-traitant, l’article 29 pose la règle symétrique, et l’article 28(3)(b) exige un engagement de confidentialité des personnes autorisées à traiter les données.

Le principe du moindre privilège : ce que la CNIL exige vraiment

La fiche n° 3 du guide de la sécurité des données personnelles de la CNIL, mise à jour le 13 mars 2024, formule quatre précautions élémentaires. Elles constituent le socle de référence en cas de contrôle :

1. Définir des profils d’habilitation dans les systèmes, en séparant les tâches et les domaines de responsabilité, afin de limiter l’accès aux seules données strictement nécessaires à l’accomplissement des missions.
2. Faire valider toute demande d’habilitation par un responsable identifié (supérieur hiérarchique, chef de projet).
3. Supprimer les permissions dès que l’utilisateur n’est plus habilité — changement de mission ou de poste, fin de contrat.
4. Réaliser une revue régulière, a minima annuelle, pour identifier et supprimer les comptes non utilisés et réaligner les droits sur les fonctions réelles. La CNIL précise que les métiers doivent être impliqués dans cette revue, afin de valider la légitimité opérationnelle des droits accordés.

La même fiche liste ce qu’il ne faut pas faire, et cette liste ressemble à s’y méprendre à l’inventaire des constats de contrôle : comptes partagés non tracés ni validés, droits d’administrateur accordés sans besoin, privilèges supérieurs au nécessaire, autorisations temporaires jamais retirées, comptes de personnes ayant quitté l’organisation toujours actifs.

La CNIL demande enfin d’établir et de réexaminer une politique de contrôle d’accès documentée, couvrant les procédures d’arrivée, de départ et de changement d’affectation, les conséquences prévues en cas de non-respect, et les mesures de restriction et de contrôle des accès. C’est un chapitre qui a naturellement sa place dans votre politique de sécurité des systèmes d’information (PSSI) et, pour le volet utilisateur, dans la charte informatique.

La leçon de la sanction France Travail (SAN-2026-003)

L’affaire mérite d’être lue en détail, parce qu’elle dessine la grille d’analyse que la CNIL applique désormais aux violations massives.

Au premier trimestre 2024, des attaquants ont utilisé des techniques d’ingénierie sociale pour usurper des comptes de conseillers CAP EMPLOI. La formation restreinte a retenu trois insuffisances cumulatives au titre de l’article 32 :

• des modalités d’authentification insuffisamment robustes pour l’accès des conseillers CAP EMPLOI ;
• une journalisation insuffisante, ne permettant pas de détecter les comportements anormaux sur le système d’information ;
• des habilitations d’accès définies de manière trop large, permettant l’accès aux données de personnes non accompagnées, « ce qui a accru le volume de données accessibles par les attaquants ».

Le raisonnement est mécanique : la surface d’exposition d’un compte compromis est exactement égale à l’étendue de ses droits. Vous ne maîtrisez pas la probabilité d’une usurpation ; vous maîtrisez son coût.

Deux éléments de la décision méritent une attention particulière.

L’AIPD devient une pièce à charge. Pour fixer le montant, la formation restreinte a tenu compte du fait que « la plupart des mesures de sécurité adéquates avaient été identifiées par France Travail, en amont de la mise en œuvre du traitement, dans les analyses d’impact, sans pour autant avoir été effectivement mises en œuvre ». Une analyse d’impact qui identifie une mesure sans qu’elle soit déployée ne protège pas : elle prouve que l’organisme savait. En vingt ans de pratique, je n’ai jamais vu de démonstration plus nette du risque à traiter l’AIPD comme un exercice documentaire.

L’injonction sous astreinte. Au-delà de l’amende, France Travail doit justifier des mesures correctrices selon un calendrier précis, sous peine de 5 000 € par jour de retard. Le plafond applicable était ici de 10 millions d’euros, l’organisme étant un établissement public dont le montant d’amende ne se calcule pas sur un chiffre d’affaires.

Cette décision s’inscrit dans une séquence : avec Free (42 M€) au même trimestre, elle confirme que MFA, segmentation des droits et journalisation sont désormais traités comme des prérequis non négociables. Le détail des décisions récentes figure dans notre tableau de bord des sanctions CNIL 2026.

Construire une matrice d’habilitations : la méthode en 6 étapes

Étape 1 — Partir du registre, pas de l’annuaire

L’erreur classique consiste à démarrer de l’Active Directory et à essayer de rationaliser l’existant. On aboutit à une photographie des droits accumulés, pas à une cible. Partez du registre des activités de traitement : pour chaque traitement, identifiez les catégories de données, les catégories de personnes concernées et les destinataires internes. Le registre vous donne déjà, en théorie, la liste des services habilités.

Étape 2 — Raisonner par rôle, jamais par personne

Un profil d’habilitation s’attache à une fonction (« gestionnaire de paie », « conseiller commercial secteur Nord », « technicien support N1 »), pas à un individu. C’est la logique RBAC (role-based access control). Un droit attribué nominativement est un droit que personne ne saura justifier trois ans plus tard.

Comptez large sur le nombre de profils : mieux vaut douze profils précis que trois profils fourre-tout. La granularité du profil, c’est la granularité de votre exposition.

Étape 3 — Croiser profils et traitements, avec le niveau d’action

La matrice est un tableau à double entrée : profils en lignes, traitements (ou applications) en colonnes, et à l’intersection le niveau d’action autorisé, pas un simple oui/non.

Profil	Dossiers clients	Fichier RH	Facturation	Journaux techniques
Conseiller commercial	Lecture + écriture (son portefeuille uniquement)	—	Lecture	—
Gestionnaire paie	—	Lecture + écriture	Lecture	—
Comptable	Lecture (données de facturation)	—	Lecture + écriture	—
Support N1	Lecture (sur ticket ouvert)	—	—	Lecture
Administrateur SI	Accès technique tracé, sans consultation métier	Idem	Idem	Lecture + écriture

Deux points font toute la différence en pratique. Le premier : la restriction de périmètre (« son portefeuille uniquement »). C’est précisément ce qui manquait chez France Travail. Un conseiller n’a pas besoin d’accéder aux dossiers qu’il n’accompagne pas ; techniquement, cela se traduit par un filtrage au niveau des données, pas seulement au niveau de l’écran. Le second : la distinction entre accès technique et accès métier pour les administrateurs. Un administrateur de base de données a besoin d’exploiter le système, pas de lire les dossiers médicaux qu’il contient.

Étape 4 — Formaliser le circuit de validation

Trois rôles distincts, jamais tenus par la même personne : le demandeur (le manager), le valideur (propriétaire du traitement ou responsable métier), l’exécutant (l’IT). L’IT n’attribue pas de droits sans validation métier ; le métier ne configure pas les droits lui-même. Chaque demande laisse une trace horodatée : c’est votre preuve au titre de l’article 5(2).

Étape 5 — Industrialiser arrivée, mobilité et départ

C’est le processus « JML » (joiner – mover – leaver), et c’est là que se concentrent les non-conformités.

Événement	Action attendue	Délai recommandé	Risque si omis
Arrivée	Attribution du profil standard du poste, engagement de confidentialité signé	Avant le premier accès	Droits attribués « par copie » d’un collègue
Mobilité interne	Retrait des droits de l’ancien poste puis attribution des nouveaux	5 jours ouvrés	Accumulation de droits (privilege creep)
Départ	Désactivation de tous les comptes, restitution du matériel, révocation des accès distants et SaaS	Le jour même, idéalement à l’heure de sortie	Compte orphelin exploitable
Prestataire	Compte à durée déterminée, expiration automatique à la date de fin de mission	Date contractuelle	Accès résiduel non détecté

La mobilité interne est le point aveugle numéro un. Un salarié qui a occupé quatre postes en dix ans finit avec les droits des quatre postes si personne ne retire les précédents — et ce cumul ne déclenche aucune alerte, puisqu’il ne s’agit pas d’une intrusion. La règle est simple : on retire avant d’ajouter.

Pour les prestataires et sous-traitants, l’encadrement contractuel des accès relève de l’article 28(3) du RGPD et, pour les entités régulées, des exigences de sécurité de la chaîne d’approvisionnement NIS2.

Étape 6 — Programmer la revue

Une matrice non revue se périme en dix-huit mois. La revue est le seul mécanisme qui empêche l’écart entre les droits théoriques et les droits réels de se creuser.

La revue des habilitations : fréquence, périmètre, preuve

La CNIL fixe le plancher : a minima annuelle. En pratique, la fréquence doit être modulée selon la criticité.

Périmètre	Fréquence recommandée	Qui valide
Comptes à privilèges (admin, comptes de service)	Trimestrielle	RSSI + propriétaire du système
Accès aux données sensibles (santé, données Art. 9, données financières)	Trimestrielle à semestrielle	Responsable métier + DPO
Accès applicatifs standards	Annuelle	Manager de chaque équipe
Comptes prestataires et accès distants	Trimestrielle	Responsable du contrat

Ce que la revue doit détecter, concrètement :

• comptes dormants (aucune connexion depuis 90 jours) ;
• comptes orphelins (plus de titulaire identifiable dans le SIRH) ;
• droits cumulés issus de mobilités successives ;
• comptes partagés ou génériques non recensés ni validés ;
• droits d’administrateur attribués à des non-administrateurs ;
• autorisations temporaires jamais retirées ;
• écarts entre la matrice cible et les droits réellement configurés.

Le livrable est un procès-verbal de revue, daté, listant les écarts constatés, les décisions prises et les délais de correction, validé par les métiers. Sans ce document, vous ne pouvez pas démontrer la revue — et en conformité, ce qui n’est pas écrit n’existe pas. Maintenir à jour ce référentiel de traitements, de profils et de preuves de revue est typiquement le type de travail que des outils comme Legiscope permettent de centraliser, plutôt que de le disperser dans des tableurs qui divergent.

Enfin, la revue n’a de sens que si les accès sont tracés. Sans journalisation des accès aux données personnelles, vous ne saurez ni identifier les comptes dormants, ni détecter les consultations anormales — le deuxième manquement retenu contre France Travail.

Les comptes à privilèges : le point noir

Les comptes d’administration concentrent le risque, et ce sont ceux que l’on gère le moins bien. Quelques principes qui font une différence mesurable :

Séparer les identités. Un administrateur dispose de deux comptes distincts : un compte nominatif standard pour la bureautique et la messagerie, un compte d’administration utilisé uniquement pour les tâches d’exploitation. Un poste qui lit des e-mails ne doit jamais porter de droits d’administration du domaine.

Proscrire les comptes génériques. « admin », « root », « compta1 » partagés entre plusieurs personnes rendent toute imputation impossible et privent la journalisation de sa valeur probante. Lorsqu’un compte partagé est techniquement inévitable, il doit être recensé, validé formellement, à mot de passe stocké en coffre-fort et changé à chaque départ.

Imposer le MFA sans exception sur les accès privilégiés et distants. C’est le dénominateur commun des sanctions récentes. Voyez notre guide de l’authentification forte (MFA) et la recommandation CNIL sur les mots de passe.

Limiter les droits dans le temps. L’élévation de privilèges à la demande, pour une durée définie et avec justification (just-in-time), réduit drastiquement la fenêtre d’exposition. C’est l’un des apports concrets d’une approche Zero Trust.

Encadrer les comptes de service. Applicatifs, scripts, connecteurs : ce sont des comptes à part entière, souvent créés avec des droits maximaux « pour que ça marche », puis oubliés. Ils doivent figurer dans l’inventaire et dans la revue.

Habilitations, NIS2 et ISO 27001 : un socle commun

Si votre organisation entre dans le champ de la directive NIS2, les habilitations ne relèvent plus seulement du RGPD. L’article 21(2)(i) de la directive (UE) 2022/2555 impose explicitement des mesures couvrant « la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs », et l’article 21(2)(j) vise l’authentification multifacteur. L’article 20 place l’approbation de ces mesures sous la responsabilité de l’organe de direction.

En France, la loi de transposition (projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité) n’est toujours pas promulguée à l’été 2026 : adoptée par le Sénat le 12 mars 2025, elle reste en attente d’un examen en séance à l’Assemblée nationale. Le contenu des exigences est cependant stabilisé, et rien ne justifie d’attendre pour l’appliquer. Notre checklist de conformité NIS2 détaille les dix mesures attendues.

Côté normatif, la norme ISO/IEC 27001 version 2022 couvre le sujet à travers plusieurs mesures de l’annexe A : A.5.15 (contrôle d’accès), A.5.16 (gestion des identités), A.5.18 (droits d’accès) et A.8.2 (droits d’accès privilégiés). Un dispositif conçu pour ISO 27001 satisfait, sur ce point, l’essentiel des attentes RGPD et NIS2 — l’inverse n’est pas vrai, la norme exigeant en plus une gouvernance documentée du dispositif.

Cinq erreurs que je rencontre systématiquement en audit

1. Créer un compte « par copie » d’un collègue au moment d’une arrivée. Le nouvel arrivant hérite instantanément de dix ans de droits accumulés.
2. Confondre menu masqué et droit retiré. Cacher une fonction dans l’interface n’empêche pas l’accès aux données par une autre voie (export, API, requête directe). La restriction doit être portée par la couche d’autorisation.
3. Laisser le DPO piloter seul la revue. Le DPO cadre et contrôle ; seuls les managers métiers savent si un droit est encore justifié. Une revue sans les métiers ne vaut rien, et la CNIL le dit explicitement.
4. Oublier les SaaS. Les revues portent sur l’annuaire interne et ignorent les vingt outils cloud souscrits par les équipes. Ce sont pourtant eux qui hébergent souvent les données les plus sensibles.
5. Ne pas mesurer. Sans indicateurs (nombre de comptes dormants, délai moyen de révocation au départ, taux de couverture MFA sur les comptes privilégiés), vous ne pouvez pas démontrer une amélioration. Un audit de sécurité informatique sert précisément à établir cette base de départ.

Ce qu’il faut retenir

• L’étendue des habilitations détermine l’ampleur d’une violation. France Travail a été sanctionné 5 M€ notamment parce que des droits trop larges ont converti l’usurpation de quelques comptes en fuite massive.
• Le socle CNIL tient en quatre règles : profils d’habilitation par fonction, validation hiérarchique de toute demande, retrait immédiat en cas de changement ou de départ, revue au moins annuelle avec les métiers.
• Raisonnez par rôle et restreignez le périmètre de données, pas seulement l’accès à l’application : « lecture des dossiers de son portefeuille » et non « lecture des dossiers ».
• La mobilité interne est le point aveugle : on retire les droits de l’ancien poste avant d’attribuer ceux du nouveau, sans quoi les privilèges s’accumulent silencieusement.
• Une AIPD qui identifie une mesure non déployée aggrave votre position. La CNIL s’en est explicitement servie pour caractériser le manquement.
• La preuve est le procès-verbal de revue, daté, validé par les métiers, listant les écarts et les corrections. Article 5(2) : c’est à vous de démontrer.

FAQ

À quelle fréquence faut-il revoir les habilitations ?

La CNIL fixe un minimum annuel. En pratique, il est recommandé de passer à une fréquence trimestrielle pour les comptes à privilèges, les accès aux données sensibles au sens de l’article 9 du RGPD et les comptes de prestataires. Les accès applicatifs standards peuvent rester sur un rythme annuel, à condition que le processus de départ soit fiable.

Les comptes partagés sont-ils interdits par le RGPD ?

Le RGPD ne les interdit pas explicitement, mais la CNIL les déconseille fermement car ils rendent impossible l’imputation des actions et privent la journalisation de valeur probante. Lorsqu’un compte partagé est techniquement inévitable, il est recommandé de le recenser, de le faire valider par un responsable, de conserver le mot de passe en coffre-fort et de le renouveler à chaque mouvement de personnel.

Qui doit valider une demande d’habilitation ?

La CNIL demande une validation par un responsable identifié : supérieur hiérarchique ou chef de projet. La bonne pratique consiste à séparer trois rôles — le manager demande, le propriétaire du traitement valide, l’équipe informatique exécute — et à conserver la trace horodatée de chaque étape.

Un défaut d’habilitation peut-il à lui seul justifier une sanction CNIL ?

Oui. La sanction se fonde sur l’article 32 du RGPD, qui impose des mesures de sécurité appropriées au risque, indépendamment de la survenance d’un incident. Dans la décision France Travail du 22 janvier 2026, l’insuffisance des habilitations a été retenue comme un manquement autonome, aux côtés de l’authentification et de la journalisation.

Que faire des droits d’un salarié en arrêt longue durée ?

Il est recommandé de suspendre les accès plutôt que de les supprimer, avec une date de réexamen. La suspension évite qu’un compte inactif reste exploitable pendant plusieurs mois, tout en préservant la configuration pour le retour. Cette hypothèse doit être prévue dans la politique de contrôle d’accès, au même titre que les congés sabbatiques et les détachements.

Comment gérer les habilitations des sous-traitants ?

Par des comptes nominatifs à durée déterminée, expirant automatiquement à la date de fin de mission, assortis d’un engagement de confidentialité au titre de l’article 28(3)(b) du RGPD. La revue trimestrielle doit vérifier qu’aucun compte prestataire ne survit à son contrat — c’est l’un des écarts les plus fréquemment constatés.

---

Recevez nos analyses conformité chaque semaine. Décisions CNIL, RGPD, NIS2, cybersécurité : une lecture par semaine pour anticiper plutôt que subir, rédigée par un docteur en droit des nouvelles technologies. Inscrivez-vous à la newsletter.