Données de contrôle d'accès : journal, durées, accès
Un contrôle d’accès produit des données à chaque passage : identifiant de badge ou plaque lue, horodatage, sens de circulation, résultat de l’autorisation. Ces enregistrements constituent un traitement de données personnelles dès qu’ils permettent de remonter à une personne. Leur durée de conservation, les habilitations et leur inscription au registre se décident avant l’installation, pas après le premier incident.
Ce qu’un passage enregistre réellement
Chaque passage enregistré laisse une trace beaucoup plus riche que ne l’imaginent les utilisateurs.
- l’identifiant du support présenté, badge, télécommande, code ou plaque ;
- la date et l’heure précises, à la seconde ;
- le point d’accès concerné, entrée principale, parking, zone technique ;
- le sens du passage, entrant ou sortant ;
- le résultat, autorisation accordée ou refusée, avec le motif du refus ;
- parfois une image associée, quand le dispositif embarque une caméra.
L’ensemble constitue le journal d’accès, fichier qui grossit de plusieurs milliers de lignes par mois sur un site actif. Sa valeur opérationnelle est réelle : il permet de comprendre un dysfonctionnement, de vérifier une présence ou de traiter une contestation.
Ce que le journal révèle sans le vouloir
Un tel fichier décrit indirectement les horaires, les habitudes et les absences des personnes concernées. Cette capacité déductive explique l’encadrement juridique : le dispositif sert la sécurité d’un site, il n’a pas vocation à devenir un outil de contrôle des allées et venues des résidents ou des salariés.
La Commission nationale de l’informatique et des libertés rappelle régulièrement ce principe de finalité. Un dispositif installé pour empêcher les intrusions ne peut pas servir, sans autre fondement, à vérifier les heures d’arrivée du personnel.
Trois familles de données, trois régimes
Mélanger ces catégories de données dans un même raisonnement produit la plupart des erreurs de gestion.
Les données d’identification décrivent le porteur : nom, service, logement, véhicule associé. Elles vivent dans le fichier des porteurs et se mettent à jour lors des arrivées et des départs.
Les données de passage constituent le journal proprement dit. Volumineuses, elles n’ont d’intérêt que sur une période courte, sauf incident précis.
Les images éventuelles relèvent d’un régime distinct, celui de la vidéoprotection, avec ses propres formalités, détaillées dans l’article sur le cadre légal de la vidéosurveillance sur un parking.
Cette séparation a une conséquence pratique : les durées de conservation ne sont pas les mêmes, et les habilitations non plus. Un gardien peut avoir besoin de consulter les passages du jour sans avoir accès au fichier complet des porteurs.
Inscrire le dispositif au registre des traitements
Le registre des traitements constitue le document de base du responsable, et il est le premier demandé en cas de contrôle.
Pour un contrôle d’accès, la fiche décrit la finalité poursuivie, les catégories de données, les personnes concernées, les destinataires, les durées de conservation et les mesures de sécurité. Cette description doit correspondre à la réalité du dispositif installé, pas au projet initial.
Les collectivités et les grandes organisations rencontrent ici une difficulté de volume : les dispositifs se multiplient, les prestataires changent, et personne ne détient la vue d’ensemble. Les outils de catalogue de données servent exactement à cette cartographie, et l’éditeur français DataGalaxy propose une solution dédiée pour recenser les données, leurs usages et leurs responsables avant de traiter les questions de conformité. Un syndic ou une commune de taille modeste obtient le même résultat avec un tableau tenu à jour : un dispositif par ligne, avec son responsable, sa finalité et sa durée de conservation.
Informer les personnes concernées
L’information ne se limite pas à un panneau à l’entrée. Elle précise le responsable du traitement, la finalité, la durée de conservation, les destinataires et les moyens d’exercer ses droits. Pour un immeuble ou un site professionnel, cette information passe par un affichage lisible, complété par une notice remise aux porteurs de badge.
La formulation compte : une mention indiquant simplement « site sous surveillance » ne remplit pas l’obligation. À l’inverse, une notice d’une page, remise à la remise du badge, règle la question durablement et évite les contestations ultérieures.
Le cas des dispositifs hérités
Beaucoup d’installations fonctionnent depuis des années sans documentation. Personne ne sait qui a paramétré la durée de conservation, ni quelles personnes disposent encore d’un accès administrateur.
La reprise en main suit trois étapes : inventorier les dispositifs et leurs paramètres réels, identifier les comptes actifs et supprimer les obsolètes, puis rédiger la fiche de registre correspondante. L’exercice prend une demi-journée par site et clarifie durablement la situation.
Fixer une durée défendable
La durée de conservation se justifie par l’usage, jamais par la capacité du disque dur.
Pour un journal d’accès, la question à se poser est simple : dans quel délai un incident se découvre-t-il et se traite-t-il ? Sur un site résidentiel, une dégradation ou une intrusion se signale en général dans les jours qui suivent. Une conservation de quelques semaines couvre donc le besoin, avec suppression automatique ensuite.
Trois règles rendent la durée défendable :
- La durée est écrite dans le registre et paramétrée dans le logiciel, pas seulement annoncée.
- La suppression est automatique, car une purge manuelle n’a jamais lieu.
- Les extractions liées à un incident précis sortent du régime général et se conservent le temps de la procédure, dans un dossier séparé.
Ce dernier point évite le raisonnement inverse, très répandu, qui consiste à allonger la durée générale pour être tranquille en cas de litige. Une conservation excessive expose davantage qu’elle ne protège.
Habilitations et traces de consultation
Les habilitations d’accès comptent autant que la durée de conservation.
L’habilitation se donne par fonction et se retire au départ de la personne. Trois profils suffisent dans la plupart des installations :
- un profil d’exploitation, qui consulte les passages récents et gère les supports ;
- un profil d’administration, qui modifie les paramètres et les droits, limité à une ou deux personnes ;
- un profil de consultation ponctuelle, ouvert sur demande motivée, avec une durée limitée.
La traçabilité des consultations complète le dispositif. Un système qui enregistre qui a consulté quoi permet de répondre à une contestation, et dissuade les consultations de curiosité. Cette fonction existe dans la plupart des logiciels du marché, souvent désactivée par défaut.
Le sujet rejoint l’organisation des interventions techniques décrite dans l’article sur le logiciel de gestion des interventions, où la trace de qui fait quoi conditionne la valeur du système.
Les prestataires et la maintenance
L’installateur qui prend la main à distance pour un dépannage accède aux données. Cette intervention relève d’un cadre contractuel, avec des engagements sur la confidentialité, la durée d’accès et l’absence de copie des fichiers.
Deux vérifications s’imposent lors du renouvellement d’un contrat de maintenance : le prestataire dispose-t-il encore de comptes actifs sur des sites qu’il ne suit plus, et ses accès sont-ils nominatifs plutôt que partagés. Un compte générique utilisé par plusieurs techniciens rend toute traçabilité illusoire.
Les demandes extérieures
Trois types de demandes arrivent régulièrement, et chacune appelle une réponse différente.
La réquisition judiciaire, transmise par les services de police ou de gendarmerie dans un cadre légal, oblige à communiquer les éléments demandés. Elle se conserve avec la trace de la transmission.
La demande d’un tiers privé, assureur, syndic, voisin ou employeur, ne fonde aucune obligation de communication. Elle se traite avec prudence, en orientant vers la voie judiciaire quand la situation le justifie.
La demande d’accès de la personne concernée, enfin, relève d’un droit prévu par la réglementation. Elle porte sur ses propres données, ce qui suppose de savoir extraire ses seules lignes sans divulguer celles des autres. Cette capacité d’extraction sélective se teste avant d’en avoir besoin.
Cartographier à l’échelle d’une collectivité
Une collectivité cumule souvent plusieurs dispositifs : bornes escamotables d’un centre-ville, barrières de parkings, contrôle d’accès de bâtiments publics, lecture de plaques sur une zone à circulation réglementée.
Quatre questions structurent la cartographie :
- quel service porte la responsabilité de chaque dispositif ;
- quelles données produit-il, et où sont-elles stockées ;
- quels prestataires y ont accès, et sous quel contrat ;
- quelle durée de conservation est réellement paramétrée.
Une commune qui mène cet exercice découvre presque toujours deux ou trois dispositifs oubliés, installés lors d’une opération d’aménagement et jamais rattachés à un service. Ces orphelins constituent le principal risque, puisque personne ne surveille ni leurs accès ni leurs durées.
Les réponses tiennent dans un tableau d’une page par dispositif. Ce document sert au délégué à la protection des données, aux services techniques lors des renouvellements de marché, et à l’élu qui doit répondre en conseil municipal. La démarche complète l’approche décrite pour sécuriser les espaces extérieurs, où le choix des équipements précède rarement la réflexion sur les données qu’ils produiront.
Prochaine étape : sortez la liste de vos dispositifs de contrôle d’accès et vérifiez, pour chacun, la durée de conservation réellement paramétrée dans le logiciel. L’écart avec ce que vous pensiez indique précisément où commencer.