Le RGPD a fêté ses 8 ans en 2026. Pourtant, une majorité d'entreprises continuent de commettre la même erreur : elles gèrent la conformité RGPD comme un projet ponctuel, alors que c'est un processus continu.
Et l'un des angles morts les plus fréquents ? La gestion des accès aux données personnelles.
Le lien entre accès logiciels et RGPD
Le RGPD repose sur le principe de minimisation des accès : seules les personnes qui ont besoin d'accéder à des données personnelles dans le cadre de leur mission peuvent y accéder.
Concrètement :
- Un stagiaire marketing n'a pas besoin d'accéder à votre base clients complète
- Un développeur junior n'a pas besoin d'accéder aux données RH
- Un ex-employé n'a aucun droit d'accéder à quoi que ce soit
Chaque accès non justifié est une violation potentielle du RGPD.
Les 3 risques RGPD liés aux accès mal gérés
Risque 1 — Les accès post-départ : le plus fréquent et le plus dangereux. Un employé quitte l'entreprise, ses accès ne sont pas révoqués. La CNIL peut infliger une amende allant jusqu'à 4% du CA mondial ou 20 millions d'euros.
Risque 2 — Les accès excessifs : un employé a accès à plus de données que nécessaire. C'est une violation du principe de minimisation, même sans intention malveillante.
Risque 3 — L'absence de traçabilité : en cas de contrôle CNIL ou d'audit SOC 2, vous devez prouver qui avait accès à quoi, depuis quand, et quand les accès ont été révoqués.
RGPD, SOC 2 et ISO 27001 : même exigence
RGPD : minimisation des accès, traçabilité, révocation immédiate.
SOC 2 : contrôle d'accès logique, revue périodique des droits.
ISO 27001 : politique de contrôle d'accès (A.9), gestion des identités.
Le processus conforme en pratique
À l'arrivée : attribution stricte des accès nécessaires, documentation complète.
Pendant le contrat : revue périodique tous les 6 mois, mise à jour en cas de changement de poste.
Au départ : révocation immédiate le jour du départ, horodatage de chaque révocation.
Questions à vous poser maintenant
- Savez-vous exactement à quels outils chaque employé a accès ?
- Avez-vous confirmation que les accès des employés partis ces 12 derniers mois ont été révoqués ?
- Pouvez-vous produire un rapport d'accès en moins de 24h en cas de contrôle CNIL ?
- Avez-vous un process documenté pour les onboardings et offboardings ?
Si vous répondez "non" à l'une de ces questions, vous avez un risque RGPD actif.