Liens de partage : fermer les accès oubliés

Pour fermer réellement un partage de données personnelles, révoquer son lien peut être insuffisant. Le destinataire peut disposer d’une invitation directe, appartenir à un groupe autorisé ou avoir déjà téléchargé le document. La revue doit donc porter sur les chemins d’accès et les copies, pas seulement sur la liste des liens.

L’objectif est concret : chaque personne conserve uniquement l’accès nécessaire à son travail, pendant la durée utile. Un document partagé pour une mission terminée ne doit pas rester accessible parce que son propriétaire a quitté l’équipe ou que personne n’a pensé à fermer le dossier parent.

Identifier ce que le lien autorise réellement

Derrière une adresse de partage, plusieurs fonctionnements sont possibles. Certains liens donnent accès à quiconque les possède ; d’autres exigent un compte appartenant à une organisation ou un destinataire déterminé. Certains permettent de modifier le fichier, d’autres seulement de le lire. Les intitulés et les réglages varient selon le service et l’offre : vérifiez leur effet dans la documentation applicable, puis dans votre environnement.

Ne confondez pas trois questions : qui reçoit le lien, qui peut l’utiliser et quelles opérations il permet. Envoyer une adresse dans un message nominatif ne la rend pas nécessairement nominative. Un destinataire peut la transférer ; le résultat dépend alors du contrôle d’accès effectivement appliqué.

L’Art. 25(2) du RGPD impose des mesures appropriées pour limiter, par défaut, les données traitées et leur accessibilité à ce qui est nécessaire. L’Art. 32(1) exige une sécurité adaptée au risque, avec une évaluation régulière de l’efficacité des mesures. Le RGPD ne fixe pas une durée universelle de validité des liens. Art. 25(2) et 32.

Un lien long et difficile à deviner réduit certaines possibilités d’accès fortuit. Il ne résout pas sa transmission à un tiers, son insertion dans un ticket ou sa conservation dans une conversation collective. De même, un mot de passe partagé à tous les participants ne prouve pas leur identité individuelle.

Construire l’inventaire autour des usages

Commencez par les espaces où circulent les pièces les plus exposées : dossiers clients, documents RH, réponses aux demandes de droits, exports et échanges avec les prestataires. Demandez aux métiers quels outils ils utilisent réellement. La cartographie des applications et traitements évite de limiter la revue au seul espace officiellement prévu.

Pour chaque partage, rapprochez le document, son propriétaire actuel, sa finalité, les destinataires et l’événement qui doit fermer l’accès. Conservez une référence technique permettant à l’administrateur de retrouver le lien ; évitez de recopier un lien donnant accès aux données dans un tableau largement diffusé.

Examinez aussi le dossier parent et les groupes. Une permission héritée peut ouvrir des fichiers ajoutés après la création du lien. Une invitation accordée directement au document peut subsister après le retrait d’un groupe. La liste affichée doit être interprétée comme un ensemble de droits, et non comme une suite de cases indépendantes.

La CNIL recommande des habilitations limitées aux besoins, leur retrait lorsqu’elles deviennent inutiles et une revue régulière impliquant les métiers. La fermeture d’un projet doit donc déclencher une action, sans attendre la revue périodique générale. CNIL, gérer les habilitations.

Exemple de revue : quatre objets, plusieurs chemins d’accès

Le tableau suivant est un exemple fictif de dossier de contrôle, indépendant d’un produit particulier. Une agence prépare un événement professionnel. Une graphiste extérieure doit mettre en page le programme ; elle n’a pas besoin des coordonnées des participants. L’équipe interne conserve un espace de travail comprenant les deux catégories de documents.

Cette revue produit quatre décisions différentes. Supprimer seulement le lien ouvert de P-12 ne retire pas l’accès à L-8 hérité du dossier parent. Retirer uniquement le groupe ne ferme pas nécessairement P-11, qui possède une invitation directe. Tout supprimer indistinctement empêcherait la graphiste de terminer le programme actuel.

L’administratrice exécute les décisions avec la responsable de l’événement. Elles conservent une trace du périmètre, des droits retirés et des résultats attendus. La graphiste reçoit une consigne précise : travailler sur P-12, sans déplacer les fichiers vers un espace commun ni demander l’accès au dossier parent.

L’accès antérieur à L-8 fait parallèlement l’objet d’une analyse d’incident. Le tableau ne permet pas de conclure que la liste n’a jamais été consultée ; il révèle seulement une autorisation excessive à examiner. La suppression du droit corrige le présent sans effacer cette question historique.

Vérifier un refus et un accès légitime

La vérification doit couvrir les deux côtés : le destinataire exclu ne peut plus accéder au document, tandis que la personne encore habilitée peut poursuivre son travail. Un refus généralisé peut masquer une erreur de configuration et provoquer ensuite un partage de contournement.

Pour préparer le contrôle sans exposer de nouvelles données, utilisez d’abord des fichiers fictifs et des comptes de vérification autorisés représentant les profils concernés. Sur le périmètre réel, faites confirmer les droits effectifs par l’administrateur et, lorsque nécessaire, par les utilisateurs concernés dans leur propre session. Ne demandez pas leur mot de passe et ne créez pas une ouverture supplémentaire pour démontrer qu’elle serait dangereuse.

Dans le dossier fictif, le compte non invité ne doit pas ouvrir P-12 ; la graphiste doit l’ouvrir, mais ne doit plus ouvrir L-8 ni P-11. Une salariée chargée des inscriptions doit encore consulter L-8. Ces cinq résultats répondent à des questions différentes. Dans cet exemple, ils sont obtenus et consignés dans la fiche de clôture des accès ; l’analyse de l’exposition antérieure de L-8 reste suivie séparément.

Si le contrôle de L-8 échoue, recherchez un autre groupe, une invitation directe ou un partage parallèle. Ne déclarez pas le dossier fermé sur la seule disparition du premier lien. Si le service ne permet pas de réduire les droits comme prévu, placez le document dans un espace dont les permissions sont maîtrisées et fermez les accès de l’ancien emplacement ; vérifiez les effets sur les utilisateurs légitimes.

Le contrôle doit également préciser sa limite : un refus de nouvel accès n’efface pas un fichier déjà chargé dans une application ni une copie locale. Les règles de session et de synchronisation doivent être examinées dans la documentation du service utilisé.

Fixer l’expiration selon l’opération à réaliser

Pour un dépôt temporaire, prévoyez un événement de clôture et une durée permettant réellement la récupération. Une échéance ne doit pas être choisie uniquement parce qu’elle figure dans une liste de réglages. Distinguez la durée du lien, celle du fichier sur le service et celle du document conservé dans le dossier métier.

La CNIL recommande de limiter la mise à disposition des dépôts temporaires, de réserver leur accès aux destinataires autorisés et de protéger les fichiers. Pour des pièces sensibles transmises sur un réseau, elle recommande le chiffrement et la séparation du canal utilisé pour communiquer le secret. CNIL, sécuriser les échanges avec l’extérieur.

Si le lien transmet une réponse à un droit d’accès, une expiration trop courte ou un compte impossible à créer peut empêcher la personne d’obtenir sa copie. Prévenez-la des conditions de récupération et prévoyez un contact en cas de difficulté. Le guide de remise des copies volumineuses détaille l’articulation entre protection des données et accès effectif.

Pour une mission collaborative, l’événement pertinent peut être la fin de la prestation plutôt qu’un nombre fixe de jours. La prolongation doit confirmer le besoin et le périmètre, sans reconduire automatiquement l’ensemble des anciennes autorisations.

Traiter les copies et qualifier l’exposition passée

Demandez au destinataire connu quelles copies ont été produites et où elles se trouvent lorsque cette information est nécessaire à la clôture. Pour un sous-traitant, les instructions et le contrat encadrent la restitution ou la suppression au terme de la prestation, selon l’Art. 28(3)(g), sous l’exception légale prévue. Pour un autre responsable, ses obligations propres doivent être examinées : une consigne de suppression ne remplace pas cette qualification. Art. 28(3)(g).

Les exports bureautiques peuvent contenir davantage que la vue initialement partagée. Un fichier téléchargé, puis transmis à nouveau, devient un objet de suivi distinct du lien initial. Ne certifiez pas sa disparition parce que le bouton de téléchargement a été désactivé après coup.

Lorsqu’une divulgation ou un accès non autorisé est établi, documentez la violation selon l’Art. 33(5). Évaluez la notification à l’autorité conformément à l’Art. 33(1) et l’information des personnes selon l’Art. 34. Une absence de journal exploitable ne démontre pas l’absence de consultation. Décrivez ce qui est établi, ce qui reste inconnu et les mesures prises. Art. 33 et 34.

Organiser la prochaine revue

Attribuez chaque espace à un responsable métier et prévoyez son remplacement lors d’un départ. L’administrateur dispose des outils de fermeture ; le métier explique le besoin. Le DPO conseille et contrôle le dispositif sans devoir devenir propriétaire de tous les fichiers.

Définissez des paramètres par défaut limités, une procédure d’ouverture exceptionnelle et des déclencheurs de revue : fin de mission, changement de destinataire, ajout d’une catégorie de données ou changement d’équipe. Une revue périodique complète ces événements. Pour suivre l’avancement, comptez les accès effectivement contrôlés et les exceptions justifiées, plutôt que seulement le nombre de liens supprimés.

Ce qu’il faut retenir

• Un lien, une invitation directe et un droit hérité sont des chemins à examiner séparément.
• Vérifiez le refus des accès inutiles et le maintien des accès légitimes.
• L’expiration ne supprime ni les copies téléchargées ni les autres autorisations.
• Traitez l’exposition passée indépendamment de la correction des droits actuels.

FAQ

Désactiver le téléchargement empêche-t-il toute copie ?

Non. La fonction peut limiter certaines opérations, sans garantir l’impossibilité de capturer ou recopier le contenu visible. Le choix des destinataires et la limitation des données restent essentiels.

Un ancien propriétaire absent oblige-t-il à laisser le lien actif ?

Non. Organisez la reprise par un responsable habilité et priorisez la fermeture des accès injustifiés. Si le besoin est inconnu, une mesure conservatoire doit être décidée sans laisser l’exposition se prolonger par défaut.

Faut-il garder les liens dans le compte rendu ?

Conservez les références nécessaires à leur identification, avec un accès adapté. Un lien qui ouvre encore un dossier personnel ne doit pas être disséminé dans un tableau de suivi consultable par tous.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.