Moteur de recherche interne : respecter les habilitations

Le moteur interne affiche « Réclamation de Léa Martin — montant demandé », puis refuse l’ouverture du document. Le contrôle du fichier fonctionne ; celui de la recherche a déjà révélé une information. Pour protéger les données, les habilitations doivent couvrir tout ce que le moteur restitue, avant et après le clic.

Cette revue concerne les résultats, les extraits, les suggestions, les aperçus et les réponses automatiques alimentées par les documents. Elle vise aussi les changements : départ d’un collaborateur, retrait d’un groupe, déplacement d’un dossier et suppression. Une configuration correcte le jour de l’installation ne garantit pas que les droits resteront correctement appliqués.

Identifier ce que le moteur copie et restitue

Dessinez le parcours d’un document : source, extraction, index, résultat, aperçu, ouverture. L’index est la représentation utilisée pour retrouver les documents ; selon la solution, il peut conserver leur contenu, des extraits, leurs métadonnées ou seulement certaines références. Demandez une description réelle du fonctionnement, sans supposer qu’un moteur ne contient que des liens.

Un titre, un numéro de dossier ou une combinaison de métadonnées peut être une donnée personnelle au sens de l’Art. 4(1) du RGPD. L’enregistrement et la restitution sont des traitements au sens de l’Art. 4(2), même si la recherche reste réservée aux salariés. RGPD, définitions.

Le rapprochement entre applications et traitements doit donc décrire ce que le moteur ajoute : copies, destinataires et usages. Évitez de conclure que tout est couvert parce que l’outil documentaire figure déjà dans le registre. Il faut vérifier que cette description représente aussi le parcours de recherche.

Relevez notamment le compte utilisé pour lire la source. Ses droits peuvent être étendus pour l’indexation, mais ils ne doivent pas devenir ceux de tous les lecteurs. Distinguez l’identité technique qui collecte le contenu de l’identité de la personne qui demande un résultat.

Poser les exigences avant de choisir une architecture

L’Art. 25(2) demande de limiter par défaut les données traitées, notamment leur accessibilité. L’Art. 32(1)-(2) exige une sécurité adaptée aux risques, dont ceux d’accès ou de divulgation non autorisés. Ces dispositions n’imposent pas une technologie de moteur particulière ; elles imposent de vérifier les effets de la solution retenue. RGPD, Art. 25 et 32.

Voici trois schémas possibles à discuter avec l’équipe technique. Il s’agit de descriptions générales, pas de fonctionnalités attribuées à un produit :

Une architecture peut combiner ces mécanismes. Le critère reste le résultat pour l’utilisateur. Un filtre appliqué uniquement dans l’écran peut masquer un élément tout en laissant son contenu accessible dans la réponse reçue ou dans un aperçu direct. Faites examiner ce point par l’équipe compétente, au-delà d’une capture de l’interface.

La CNIL recommande des profils limités aux missions, le retrait des permissions devenues inutiles et une revue régulière impliquant les métiers. Ces règles doivent atteindre aussi les copies utilisées par la recherche. CNIL, gérer les habilitations.

Une matrice de résultats attendus, réellement renseignée

Prenons un ensemble entièrement fictif pour préparer la recette, c’est-à-dire la vérification avant acceptation. Le dossier R-17 contient une réclamation client. Le groupe « Réclamations » peut lire le document, son titre et ses extraits ; le groupe « Ventes » ne peut accéder à aucun de ces éléments. Un document distinct G-2, consacré aux règles générales de retour, est accessible aux deux groupes.

Deux comptes fictifs représentent ces rôles : Nora pour Réclamations, Sami pour Ventes. Aucun dossier réel n’est utilisé. Le texte de R-17 contient une expression distinctive inventée, « dossier témoin cuivre », afin de reconnaître une restitution provenant de ce document. Elle ne sert pas de secret ni de protection.

Cette matrice évite deux conclusions trompeuses. Une recherche vide pour tout le monde ne prouve pas que le contrôle fonctionne : elle peut seulement signaler une indexation défaillante. Le document G-2 et le compte Nora fournissent des contrôles positifs. À l’inverse, le seul refus du lien pour Sami ne démontre pas que les résultats intermédiaires sont protégés.

Les compteurs demandent une appréciation du contexte. Le nombre total de documents n’est pas toujours personnel ; un filtre révélant l’existence d’un unique dossier nominatif peut l’être. Définissez les surfaces à protéger en fonction de ce qu’elles permettent effectivement de comprendre.

Vérifier les retraits, pas seulement les droits initiaux

Poursuivez la même recette en retirant Nora du groupe Réclamations. Le responsable métier confirme la fin de son habilitation. L’équipe technique vérifie la source, puis le moteur avec une session déjà ouverte et avec une nouvelle session. Une ancienne réponse affichée, un cache ou une appartenance de groupe conservée peuvent produire des effets différents.

Il faut déterminer ce qui reste sous votre contrôle. Un fichier déjà téléchargé ne disparaît pas de l’ordinateur parce que le groupe change. En revanche, le moteur ne doit pas continuer à fournir de nouvelles copies sur la seule base d’un droit retiré. La politique de fin d’accès doit couvrir les copies locales autorisées et leur sort.

Dans le dossier fictif, la fiche de recette peut porter la décision suivante :

Décision M-17 : source documentaire limitée aux groupes validés. Acceptation conditionnée à l’absence de restitution de R-17 à Sami et à Nora après retrait, y compris aperçu et réponse automatique. G-2 doit rester consultable. Responsable métier : responsable Réclamations. Exécution : équipe technique. Preuves : profils utilisés, horaires du retrait et des observations, versions de configuration, résultats par surface. Aucune donnée client réelle avant validation de ce périmètre.

Cette fiche décrit une décision à mettre en œuvre, pas un essai réalisé pour cet article. Dans votre dossier réel, remplacez les attentes par les observations obtenues et conservez les anomalies. Si Nora reçoit encore l’extrait après son retrait, le périmètre n’est pas accepté. Isolez la source concernée ou désactivez sa restitution jusqu’à correction vérifiée ; évitez d’ouvrir les dossiers réels en reportant ce contrôle.

Prévoir l’échec de synchronisation

Demandez une réponse écrite à cette question : « Si les droits de la source ne peuvent plus être récupérés, quels résultats le moteur continue-t-il à fournir ? » Une réponse « dernière synchronisation réussie » ne suffit pas. Il faut connaître ce que cette information permet de déduire, le mécanisme d’alerte et la conduite prévue pour les droits devenus incertains.

Le RGPD ne fixe pas un nombre universel de minutes autorisant l’exposition après un retrait. Définissez une organisation adaptée au risque et des moyens de restriction lorsque la continuité des permissions n’est plus démontrée. Une synchronisation nocturne peut être incompatible avec un besoin immédiat de fermeture ; son existence dans une notice technique ne justifie pas le maintien de l’accès.

L’ajout d’un groupe, la modification d’un héritage de droits ou le déplacement d’un document doit aussi déclencher la vérification appropriée. Les liens de partage peuvent offrir un chemin parallèle : corriger le moteur sans revoir le lien ouvert laisse subsister une autre exposition.

Propager l’effacement et maîtriser les historiques

Lorsqu’une décision d’effacement concerne un document, identifiez les copies du moteur auxquelles elle s’applique : index, extrait, aperçu, réponse enregistrée et export. Le retrait de la source de la liste des connecteurs ne prouve pas la suppression de ce qui a déjà été copié. Demandez une confirmation portant sur ces emplacements précis.

La gestion du cache applicatif complète ce travail. Distinguez aussi l’exclusion de la recherche courante d’une conservation séparée justifiée. Un document archivé pour un besoin déterminé ne doit pas rester consultable par tous les anciens lecteurs sous prétexte qu’une copie est encore conservée.

Les requêtes des utilisateurs et leurs historiques peuvent contenir des noms, préoccupations ou références personnelles. Définissez pourquoi ils sont enregistrés, qui peut les lire et combien de temps. L’amélioration du moteur ne rend pas automatiquement nécessaire la conservation intégrale de toutes les recherches, selon les principes des Art. 5(1)(b), 5(1)(c) et 5(1)(e). RGPD, principes.

Traiter une divulgation déjà survenue

Si un contrôle sur de vrais documents révèle une restitution non autorisée, fermez le parcours concerné et préservez les éléments utiles à l’analyse. Recherchez les données effectivement disponibles, les utilisateurs susceptibles d’y avoir accédé et les traces exploitables. L’absence de clic sur le fichier ne démontre pas l’absence de divulgation de son extrait.

Examinez la qualification de violation au sens de l’Art. 4(12), documentez les faits et appliquez les Art. 33–34 selon les risques. Le journal de décision en situation d’incertitude aide à séparer ce qui est confirmé de ce qui reste à établir. La remise en service suit la correction et sa vérification ; elle ne clôt pas automatiquement les autres obligations.

Ce qu’il faut retenir

• Les droits doivent couvrir chaque restitution, avant même l’ouverture du fichier.
• Vérifiez avec des comptes autorisés, interdits et privés d’un ancien droit.
• Définissez la conduite à tenir lorsque les permissions ne sont plus fiables.
• Suivez les copies, historiques et effacements au-delà de la source documentaire.

FAQ

Un compte administrateur d’indexation est-il interdit ?

Pas par principe. Il faut justifier et limiter ses privilèges, protéger son usage et démontrer que ceux-ci ne sont pas transmis aux utilisateurs de la recherche.

Une réponse automatique sans citation échappe-t-elle au contrôle ?

Non. Elle peut révéler le contenu d’un document même sans lien. Vérifiez les sources auxquelles le système peut accéder pour cet utilisateur et les informations effectivement restituées.

Faut-il tout réindexer après chaque changement ?

Cela dépend de l’architecture. Exigez le résultat attendu et la preuve de sa prise en compte ; une réindexation complète n’est pas une exigence générale du RGPD.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.