Journalisation RGPD : le guide des logs conformes 2026

L’essentiel. Tracer les actions réalisées sur les données personnelles — la journalisation — est une mesure de sécurité imposée par l’article 32 du RGPD et détaillée par la recommandation de la CNIL relative à la journalisation. Concrètement : enregistrer les accès et opérations des utilisateurs, conserver ces journaux entre 6 mois et 1 an selon le risque, informer les salariés, et sécuriser les logs eux-mêmes — car un fichier de logs est lui-même un traitement de données personnelles qui doit reposer sur une base légale.

Le règlement européen impose de mettre en œuvre des mesures de sécurité pour protéger les données personnelles. Parmi les mesures indispensables figure la traçabilité des actions menées sur ces données : qui a accédé à quoi, quand, et pour faire quoi. Cette traçabilité — la journalisation, ou logging — est autant un outil de sécurité qu’un outil de preuve. Mal conçue, elle devient elle-même une source de non-conformité. Voici comment la mettre en place proprement en 2026.

Pourquoi journaliser : le fondement juridique

Le cœur de l’obligation de sécurité se trouve à l’article 32 du RGPD, qui impose au responsable de traitement et au sous-traitant de mettre en œuvre « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». La journalisation en fait partie : sans trace, impossible de détecter un accès illégitime, d’enquêter après un incident ou de prouver que le traitement s’est déroulé sur instruction.

Trois autres dispositions renforcent l’exigence :

• l’article 5(1)(f) (principe d’intégrité et de confidentialité) : les données doivent être traitées de façon à garantir une sécurité appropriée, y compris contre le traitement non autorisé ou illicite ;
• l’article 5(2) (accountability) : le responsable doit pouvoir démontrer le respect du règlement — or la journalisation est l’un des principaux moyens de preuve ;
• l’article 32(4) : le responsable et le sous-traitant garantissent que toute personne agissant sous leur autorité ne traite les données que sur instruction. La traçabilité est ce qui rend cette garantie vérifiable.

Enfin, la journalisation participe de la sécurité by design de l’article 25 : elle doit être prévue dès la conception d’un système, pas ajoutée après coup.

La recommandation de la CNIL sur la journalisation

Pour outiller cette obligation générale, la CNIL a adopté une recommandation relative à la journalisation (délibération d’octobre 2021). C’est le texte de référence en France : il précise ce qu’il faut journaliser, combien de temps conserver les journaux et comment les sécuriser. Ses lignes directrices structurent la suite de ce guide.

L’idée centrale de la CNIL : la journalisation est nécessaire, mais elle doit rester proportionnée. Journaliser trop, trop longtemps, ou de façon trop intrusive crée un traitement de surveillance disproportionné — ce qui est en soi un manquement au principe de minimisation et de proportionnalité.

Quels événements faut-il journaliser ?

La CNIL rappelle, dans ses précautions élémentaires de sécurité, qu’il revient au responsable de mettre en place « un système de journalisation (…) des activités des utilisateurs, des anomalies et des événements liés à la sécurité ». Au minimum, les journaux doivent enregistrer :

• l’identifiant de l’utilisateur ;
• la date et l’heure de connexion ;
• la date et l’heure de déconnexion.

Dans les cas plus sensibles, il peut être nécessaire de conserver également le détail des actions effectuées, les types de données consultées et la référence de l’enregistrement concerné.

Type d’événement	À journaliser	Exemples
Authentification	Oui, systématiquement	Connexions, déconnexions, échecs de connexion
Accès aux données	Selon la sensibilité	Consultation d’un dossier, d’une fiche client, d’un dossier RH
Opérations	Selon le risque	Création, modification, suppression, export
Administration	Oui	Changements de droits, création de comptes, actions à privilèges
Sécurité	Oui	Anomalies, alertes, tentatives d’intrusion

Plus le traitement porte sur des données sensibles ou présente un risque élevé pour les personnes, plus la granularité de la journalisation doit être fine. À l’inverse, journaliser le détail de chaque action sur un traitement anodin serait disproportionné.

Combien de temps conserver les journaux ?

C’est la question la plus fréquente — et la plus mal traitée. La CNIL retient une durée de conservation des journaux généralement comprise entre 6 mois et 1 an, sur une base glissante. Cette fourchette peut être dépassée :

• lorsqu’une obligation légale l’impose (certains secteurs régulés) ;
• lorsqu’un risque particulièrement élevé le justifie (traitements sensibles, opérateurs critiques) ;
• lorsqu’une procédure en cours (incident, contentieux) commande de figer les traces concernées.

La durée de conservation des logs doit être fixée à l’avance, documentée et justifiée — elle relève du principe de limitation de la conservation. Elle rejoint la logique du tableau des durées de conservation que toute organisation doit tenir. À l’issue de la durée, les journaux doivent être supprimés ou anonymisés.

Point clé : les logs sont eux-mêmes un traitement de données

C’est l’angle mort le plus courant. Un fichier de logs contient des données personnelles (identifiants, horodatages, actions nominatives). Il constitue donc lui-même un traitement de données personnelles, qui doit à ce titre :

• reposer sur une base légale. La journalisation à des fins de sécurité repose généralement sur l’intérêt légitime du responsable (article 6(1)(f)), qu’il faut objectiver par un test de mise en balance démontrant que la surveillance ne porte pas une atteinte excessive aux droits des utilisateurs et salariés. Voir le guide sur la base légale RGPD et l’article 6 ;
• figurer au registre des activités de traitement (article 30) comme un traitement à part entière — voir un exemple de registre rempli ;
• être finalisé : les journaux servent à la sécurité et à la détection d’incidents, pas au contrôle permanent de la productivité des salariés. Détourner les logs pour surveiller le rythme de travail est un détournement de finalité sanctionnable ;
• respecter les durées de conservation ci-dessus.

Informer les personnes et les salariés

La journalisation ne peut pas être secrète. Au titre des articles 12 et 13, les utilisateurs — et en particulier les salariés — doivent être informés de l’existence du dispositif, de ses finalités, des données enregistrées et de leur durée de conservation. En pratique, cette information passe par :

• une mention dans la charte informatique ou la politique de sécurité ;
• une note d’information aux salariés ;
• l’information et la consultation du CSE (comité social et économique) lorsque le dispositif constitue un moyen de contrôle de l’activité des salariés (article L. 2312-38 du Code du travail).

Ce point est renforcé pour le télétravail, où la tentation d’une surveillance accrue via les logs de connexion est forte : la CNIL a rappelé à plusieurs reprises que la surveillance permanente et disproportionnée des salariés en télétravail est illicite.

Sécuriser les journaux eux-mêmes

Un journal qui peut être modifié ou effacé par la personne qu’il surveille ne prouve rien. La CNIL recommande donc de protéger les logs :

• cloisonnement : les journaux sont stockés sur un dispositif distinct de celui qu’ils tracent, idéalement en écriture seule (append-only) ;
• intégrité : mesures empêchant l’altération et la suppression non autorisées (horodatage, hachage, journal centralisé type SIEM) ;
• accès restreint : seules les personnes habilitées (RSSI, administrateurs sécurité) accèdent aux journaux, et leurs propres accès sont eux-mêmes journalisés ;
• supervision : la journalisation n’a de valeur que si les journaux sont exploités — alertes automatiques, revue périodique. Des logs que personne ne lit sont un coût sans bénéfice.

Ces mesures rejoignent l’obligation générale de sécurité de l’article 32 et alimentent la capacité à détecter et à qualifier une éventuelle violation de données.

Quel niveau de détail selon le type d’organisation

La granularité de la journalisation n’est pas la même pour tous. Une TPE qui gère un fichier clients et une paie n’a pas les mêmes besoins qu’un établissement de santé ou un opérateur régulé. Le principe directeur reste la proportionnalité au risque : plus l’impact d’un accès illégitime serait grave pour les personnes, plus la traçabilité doit être fine et robuste.

Contexte	Niveau de journalisation attendu	Priorités
TPE / petite structure	Authentification et accès aux fichiers sensibles (RH, clients)	Traçabilité des connexions, comptes administrateurs
PME avec applications métier	Accès et opérations sur les données clients, RH, facturation	Détail des actions sur les traitements à enjeu
Santé, social, données sensibles	Traçabilité fine des accès aux dossiers, alerte sur accès atypiques	Détection des accès illégitimes, conservation renforcée
Opérateur régulé / grand compte	Journalisation centralisée (SIEM), corrélation d’événements	Supervision continue, obligations sectorielles

Deux erreurs symétriques guettent : sous-journaliser (aucune trace exploitable en cas d’incident, manquement à l’article 32) et sur-journaliser (enregistrement excessif de l’activité des salariés, atteinte disproportionnée à leur vie privée). La bonne pratique consiste à partir des traitements réellement sensibles, à définir pour chacun les événements à tracer, puis à documenter ce choix dans le registre.

Les erreurs les plus fréquentes

• Traiter les logs comme un simple sujet technique. La journalisation est aussi un sujet juridique : base légale, information des salariés, durée de conservation, consultation du CSE. La confier au seul service informatique sans arbitrage du DPO ou de la direction juridique conduit presque toujours à un dispositif fragile. Sur les cas d’obligation de désignation, voir le DPO obligatoire.
• Conserver les journaux indéfiniment. « On garde tout, au cas où » est un réflexe fréquent — et non conforme. Sans durée définie, les logs deviennent un stock de données personnelles non maîtrisé, contraire au principe de temporalité.
• Oublier d’informer les salariés. Un dispositif de traçabilité non porté à la connaissance des personnes surveillées est irrégulier et sa valeur probante en pâtit devant un juge.
• Laisser les journaux modifiables par les personnes tracées. Un log qu’un administrateur peut effacer ne prouve rien : il faut cloisonner et protéger l’intégrité.
• Détourner les logs à des fins de contrôle de productivité. C’est un détournement de finalité, l’un des manquements les plus régulièrement relevés en contexte salarié.
• Ne jamais exploiter les journaux. Des logs que personne ne consulte représentent un coût et un risque sans le moindre bénéfice de sécurité.

Journalisation et AIPD

Lorsque le dispositif de journalisation devient un outil de surveillance systématique — par exemple un traçage fin et permanent des actions de salariés, ou la journalisation de traitements de données sensibles à grande échelle — il peut déclencher l’obligation de mener une analyse d’impact (AIPD) au titre de l’article 35. L’AIPD documente la nécessité et la proportionnalité de la surveillance et les mesures qui l’encadrent. C’est un réflexe à avoir dès qu’un dispositif dépasse la simple journalisation de sécurité pour approcher du monitoring comportemental.

Ne pas confondre : journalisation ≠ registre des traitements

Deux notions de « traçabilité » coexistent dans le RGPD, et les confondre est une erreur courante :

	Journalisation (logs)	Registre des traitements
Fondement	Art. 32 (sécurité)	Art. 30 (documentation)
Objet	Tracer les actions techniques sur les données	Cartographier les traitements de l’organisation
Forme	Fichiers journaux horodatés	Fiches de traitement documentaires
Finalité	Détection d’incident, preuve	Accountability, pilotage de la conformité
Mise à jour	Continue, automatisée	À chaque nouveau traitement ou évolution

La journalisation alimente la démonstration de conformité, mais ne remplace pas le registre — les deux sont exigés, à des titres différents.

Checklist de mise en conformité

1. Recenser les systèmes traitant des données personnelles et définir, pour chacun, le niveau de journalisation adapté au risque.
2. Configurer la journalisation des accès (identifiant, connexion, déconnexion) et, pour les traitements sensibles, du détail des actions.
3. Fixer une durée de conservation des journaux (6 mois à 1 an en règle générale), documentée et justifiée.
4. Déclarer la journalisation comme un traitement au registre, avec sa base légale (intérêt légitime + test d’équilibre).
5. Informer les utilisateurs et salariés (charte, note, consultation du CSE).
6. Sécuriser les journaux (cloisonnement, intégrité, accès restreint).
7. Exploiter les journaux : alertes, revue périodique, procédure de réaction aux anomalies.
8. Réviser le dispositif lors des audits RGPD et le mettre à jour selon l’actualité RGPD.

Un logiciel RGPD permet d’industrialiser le suivi de ces mesures — inscription des traitements de journalisation au registre, rattachement de la base légale, suivi des durées de conservation et traçabilité des actions de conformité elles-mêmes.

Ce qu’il faut retenir

• La journalisation découle de l’obligation de sécurité de l’article 32 et de l’accountability de l’article 5(2).
• La recommandation CNIL (octobre 2021) fixe le standard : journaliser les accès, conserver 6 mois à 1 an, sécuriser les journaux.
• Les logs sont eux-mêmes un traitement : base légale (intérêt légitime + test d’équilibre), inscription au registre, finalité limitée à la sécurité.
• Les salariés doivent être informés ; le CSE doit être consulté si les logs deviennent un moyen de contrôle de l’activité.
• Détourner les logs pour surveiller la productivité constitue un détournement de finalité sanctionnable — un risque accru en télétravail.

FAQ

Quelle est la durée de conservation des logs imposée par le RGPD ?

Le RGPD ne fixe pas de durée chiffrée : il impose une durée proportionnée à la finalité. La CNIL recommande, pour les journaux techniques, une conservation généralement comprise entre 6 mois et 1 an sur une base glissante, sauf obligation légale ou risque particulier justifiant une durée supérieure. Cette durée doit être définie, documentée et justifiée à l’avance.

La journalisation des salariés est-elle légale ?

Oui, à condition qu’elle soit proportionnée et transparente. Elle doit reposer sur l’intérêt légitime de l’employeur (sécurité), être limitée à cette finalité, ne pas servir à un contrôle permanent de la productivité, être portée à la connaissance des salariés (charte informatique, note) et faire l’objet d’une consultation du CSE lorsqu’elle constitue un moyen de contrôle de l’activité.

Faut-il informer la CNIL de la mise en place d’une journalisation ?

Non. Depuis le RGPD, il n’y a plus de déclaration préalable à la CNIL. En revanche, la journalisation doit être inscrite au registre des activités de traitement de l’organisation, et une AIPD peut être requise si le dispositif constitue une surveillance systématique à grande échelle.

Un fichier de logs est-il une donnée personnelle ?

Oui, dès lors qu’il contient des identifiants d’utilisateurs et des horodatages nominatifs. Il s’agit d’un traitement de données personnelles à part entière, qui doit reposer sur une base légale, respecter une durée de conservation et être sécurisé au même titre que les autres traitements.

Quelle différence entre journalisation et registre des traitements ?

La journalisation (article 32) trace les actions techniques sur les données, sous forme de fichiers journaux horodatés, à des fins de sécurité et de preuve. Le registre (article 30) cartographie les traitements de l’organisation sous forme de fiches documentaires, à des fins d’accountability. Les deux sont obligatoires et complémentaires.

Que risque-t-on à ne pas journaliser ?

Un défaut de journalisation fragilise la sécurité (impossible de détecter et d’enquêter sur un incident) et affaiblit la démonstration de conformité. En cas de violation de données ou de contrôle, l’absence de traces peut être retenue comme un manquement à l’article 32 et alourdir la sanction. C’est aussi ce que vérifie un audit RGPD.

---

Ces points ne sont pas clairs pour vous ? Suivez l’actualité RGPD 2026 et inscrivez-vous à la newsletter — un envoi par semaine, zéro spam.