Télémaintenance : borner l'accès au dossier client

Un prestataire peut dépanner une application sans recevoir un droit général de parcourir les dossiers clients. L’autorisation doit porter sur une intervention définie : problème à résoudre, personne habilitée, environnement, opérations permises et fin de l’accès. Le contrat annuel de maintenance ne répond pas, à lui seul, à ces questions.

Le point délicat est souvent le passage d’une observation à une action plus intrusive. Consulter un message d’erreur, modifier une configuration et emporter une copie de base sont trois opérations différentes. La fiche d’intervention doit permettre de savoir laquelle a été autorisée et quand une nouvelle décision devient nécessaire.

Traduire le besoin technique en périmètre autorisé

Commencez par le résultat attendu, sans inscrire immédiatement « accès administrateur ». Une facture ne s’affiche pas, une pièce jointe ne s’ouvre pas ou une recherche renvoie un résultat erroné : ces symptômes n’exigent pas forcément les mêmes permissions.

L’Art. 32(1) du RGPD impose des mesures adaptées au risque, notamment pour préserver confidentialité, intégrité et disponibilité. L’Art. 32(4) encadre le traitement par les personnes agissant sous l’autorité du responsable ou du sous-traitant. L’urgence technique ne transforme pas une habilitation trop large en instruction valable. RGPD, Art. 32(1) et (4).

La CNIL recommande de prévoir une durée d’accès adaptée à l’intervention, puis de fermer cet accès. Elle déconseille de maintenir un accès complet ou permanent pour la télémaintenance. Il s’agit de recommandations de sécurité à traduire dans l’organisation, pas d’un délai légal universel de trente ou soixante minutes. CNIL, encadrer la maintenance.

Avant d’ouvrir la production, demandez si le problème peut être décrit par un extrait préparé ou reproduit avec des données inventées. La gestion des données de test aide à choisir cette option. Si elle ne permet pas de reproduire le comportement, expliquez ce qui manque : différence de configuration, volume, pièce particulière ou autre caractéristique pertinente. « Cela ira plus vite » n’explique pas le besoin de consulter tous les clients.

Définir qui intervient et pour le compte de qui

Identifiez l’entreprise intervenante, le technicien et son périmètre de mission. Le commercial qui reçoit le ticket n’est pas nécessairement celui qui se connectera. Un remplacement de technicien doit être visible dans le dossier, même si la prestation reste assurée par la même société.

Lorsque le fournisseur traite des données pour le compte de l’entreprise, le contrat doit encadrer les instructions, la confidentialité, la sécurité et les éventuels autres sous-traitants. Une clause de confidentialité ne remplace pas cet ensemble. RGPD, Art. 28(2), 28(3)(a) à (d) et 28(4).

Vérifiez aussi les entités et lieux d’intervention. L’accès depuis un pays tiers par une entité distincte peut soulever une question de transfert, même lorsque la base reste hébergée dans l’Union. Le guide du support hors UE explique cette analyse ; elle ne se résume pas au nom du pays affiché sur la facture d’hébergement. Les conditions des Art. 44–46 restent à établir pour le transfert concerné. RGPD, chapitre V.

Exemple de bon T-09 rempli

Le dossier suivant est entièrement fictif. La PME Lierre utilise une application de suivi des réparations. Le PDF du dossier R-218 est inaccessible depuis l’écran métier, alors que les autres pièces s’ouvrent. Le support propose d’abord un compte administrateur complet pour examiner le problème.

Lierre retient un périmètre plus précis. La responsable informatique, Salomé, prépare une reproduction avec une pièce inventée. L’erreur apparaît également dans cette reproduction : l’intervention initiale peut porter sur cet environnement, sans consultation de R-218 en production.

Ce bon est une instruction opérationnelle à articuler avec le contrat existant. Il ne prétend pas couvrir toutes les obligations d’un contrat de sous-traitance. La fenêtre d’une heure ne constitue ni une norme CNIL ni une permission d’utiliser tout ce temps si le besoin cesse avant.

Une modification de périmètre demande une décision distincte

Supposons que le diagnostic désigne une règle de génération des liens. Le technicien propose de modifier cette règle en production. Le bon initial ne l’y autorise pas : il couvre le diagnostic et une proposition.

Salomé fait préciser la modification, ses conséquences possibles et le retour à l’état antérieur. L’équipe métier définit le résultat à vérifier. Une autorisation complémentaire peut alors viser cette action, pour les ressources concernées et dans une nouvelle fenêtre. Elle ne doit pas être remplacée par une réponse vague « faites le nécessaire ».

Si le fournisseur estime indispensable d’examiner R-218, il doit expliquer pourquoi la reproduction ne suffit plus. Lierre examine les champs ou pièces réellement nécessaires et les moyens de réduire leur exposition. Tant que cet arbitrage n’est pas effectué, le bon de diagnostic ne permet pas de consulter la production par initiative du technicien.

Trois formulations contractuelles à corriger

Les formulations suivantes sont des exemples originaux de négociation, à adapter au service et aux moyens réellement disponibles.

« Le fournisseur dispose d’un accès permanent à tout le système. » Cette phrase ne rattache ni le droit d’accès ni sa durée au besoin. Une rédaction plus exploitable prévoit des interventions identifiées, des droits définis pour chacune et une fermeture contrôlée. Si un service de surveillance continue est également prévu, il doit être décrit séparément : sa nécessité n’autorise pas automatiquement toutes les fonctions de télémaintenance.

« Le client remet les identifiants d’un utilisateur. » Le compte peut donner accès à sa messagerie, à des exports ou à d’autres applications étrangères au dépannage. Préférez un accès attribuable à l’intervenant. La CNIL recommande de limiter les habilitations aux missions et d’encadrer les exceptions concernant les comptes partagés. Une exception technique doit rester documentée et contrôlable, sans devenir le fonctionnement normal.

« Toutes les données nécessaires pourront être copiées. » La nécessité reste ici laissée à une appréciation imprécise. Précisez plutôt qui autorise la copie, son contenu, sa destination, les accès, sa durée et le sort des exemplaires. Une demande portant sur un journal ne doit pas être exécutée en joignant l’ensemble du dossier client.

Ces clauses n’imposent pas une marque d’outil. Elles rendent vérifiables les opérations effectivement autorisées et les limites que le fournisseur doit respecter.

Contrôler les copies sans enregistrer toute la session

L’écran partagé peut montrer une notification de messagerie ou un document resté ouvert. Avant la connexion, préparez le poste et les éléments visibles. Distinguez aussi affichage à distance, transfert de fichier, capture et enregistrement : bloquer l’un ne démontre pas que les autres sont impossibles.

Un enregistrement vidéo complet n’est pas une obligation générale du RGPD. Il peut lui-même créer une copie excessive. L’entreprise doit choisir des moyens proportionnés, informer les personnes concernées selon le contexte et protéger les éléments collectés. Les principes de minimisation, de conservation limitée et de sécurité s’appliquent aussi à ces traces. RGPD, Art. 5(1)(c), (e) et (f).

Pour T-09, le compte rendu peut identifier l’intervenant, les horaires, les ressources consultées, la proposition et le fichier de diagnostic créé, sans recopier toutes les données affichées. Les journaux d’erreurs minimisés complètent cette préparation.

La CNIL recommande de journaliser les opérations utiles et d’éviter une duplication excessive du contenu dans les traces. Celles-ci doivent être protégées et exploitables. CNIL, tracer les opérations. Une ligne « intervention réussie » ne décrit pas les accès ; une capture exhaustive ne remplace pas davantage une trace intelligible.

Fermer l’intervention, pas seulement la fenêtre visible

La clôture comporte trois décisions distinctes : résultat technique, retrait des accès et sort des copies. Un problème résolu peut laisser un compte actif ; un accès révoqué peut laisser le fichier exporté chez le fournisseur.

Pour T-09, le compte rendu de diagnostic peut être renseigné ainsi : « Reproduction examinée ; règle de génération des liens identifiée comme cause dans cet environnement ; correction proposée, non appliquée en production ; compte temporaire retiré à 14 h 42 ; extrait de diagnostic D-09 conservé dans le dossier d’assistance pour analyse complémentaire jusqu’à la décision de clôture. » Cette dernière mention est une réserve, pas une preuve de suppression.

Le responsable précise ensuite si D-09 contient des données personnelles, pourquoi sa conservation reste nécessaire, qui y accède et quand elle sera réexaminée. En sous-traitance, la fin de la prestation conduit à appliquer les instructions de suppression ou de renvoi, sous les conditions de l’Art. 28(3)(g). La clôture d’un ticket et la fin de toutes les prestations ne sont pas nécessairement la même date. RGPD, Art. 28(3)(g).

La vérification des accès doit couvrir les autorisations réutilisables connues : compte, session, clé technique ou partage. Demandez une preuve adaptée au mécanisme employé ; une simple fermeture de l’interface ne démontre pas la révocation.

Si une consultation ou une extraction non autorisée est découverte, contenez l’accès et établissez le périmètre. Examinez s’il s’agit d’une violation de données, puis les obligations de documentation et de notification selon les risques. Toute anomalie ne commande pas automatiquement une notification à la CNIL, mais un correctif technique ne dispense pas de cette analyse. RGPD, Art. 33(1), (2), (5) et 34(1).

Ce qu’il faut retenir

• Autorisez une opération définie, pas un accès général au motif du dépannage.
• Une nouvelle consultation, modification ou copie peut exiger un arbitrage complémentaire.
• Distinguez résultat métier, fermeture des accès et sort des fichiers.
• Une réserve non résolue doit rester visible dans le compte rendu.

FAQ

Un contrat annuel suffit-il pour ouvrir la production ?

Il fixe le cadre de la prestation, mais ne démontre pas que chaque droit demandé est nécessaire. L’intervention doit rester rattachée à un besoin et à des instructions identifiables.

Faut-il imposer une présence visuelle continue ?

Les moyens de supervision dépendent du risque et de l’opération. L’organisation doit pouvoir maîtriser et vérifier l’intervention ; la présence d’un salarié devant l’écran ne compense pas des permissions excessives.

Peut-on conserver le compte pour une prochaine panne ?

La création technique d’un compte et son autorisation d’accès sont distinctes. Si un compte subsiste sans droit actif, vérifiez réellement cette absence d’accès et les conditions de sa future réactivation ; ne laissez pas une permission permanente par commodité.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.