Sécurité des données : MFA, sauvegarde, sous-traitant RGPD
Pour la sécurité des données personnelles, la CNIL demande d'adapter les mesures au risque : elle recommande l'authentification multifacteur pour les données sensibles et les opérations à risque, des sauvegardes fréquentes, protégées et testées, et un contrat conforme à l'article 28 du RGPD avec chaque sous-traitant. Un portail client de cabinet comptable, qui concentre des documents financiers, est directement concerné. Ces trois points sont aussi les trois questions à poser à tout prestataire avant de signer.
Je développe des portails clients : j'ai donc un intérêt à ce que vous posiez ces questions. Je m'appuie ici sur les textes publiés par la CNIL, mais cet article n'est pas un avis juridique. Il traduit ces textes en décisions concrètes pour un dirigeant ou un responsable de cabinet qui n'est pas technicien.
Authentification multifacteur : ce que recommande la CNIL
L'authentification multifacteur demande deux preuves de nature différente pour ouvrir une session : ce que je sais (un mot de passe) et ce que je possède (un téléphone, une clé), par exemple. Dans sa recommandation de 2025, la CNIL la recommande pour les traitements de données sensibles et les opérations à risque pour les personnes, sans exiger que le niveau de « risque élevé » au sens de l'article 35 du RGPD soit atteint. Elle cite aussi l'administration des systèmes, la connexion au système de l'employeur depuis l'extérieur et, en général, l'accès à une messagerie professionnelle.
Deux détails changent les choix techniques. La CNIL recommande de privilégier les facteurs de connaissance et de possession, en particulier dans le cadre professionnel, car la biométrie comporte des risques spécifiques. Et le code par SMS reste un facteur dont le niveau de confiance doit être évalué au cas par cas : il est meilleur qu'un mot de passe seul, sans valoir une application dédiée. Le texte demande aussi de ne pas oublier l'usage réel : une sécurité qui décourage l'accès au service ou collecte trop de données pose son propre problème.
Le mot de passe ne disparaît pas pour autant. La recommandation de la CNIL sur les mots de passe interdit de les stocker en clair et abandonne le renouvellement périodique pour les comptes standard, tout en le conservant pour les comptes à privilèges. Sur un portail, demandez donc comment ils sont conservés, et ce qui se passe après plusieurs échecs de connexion.
Une nuance honnête : les consignes d'avril 2025, qui annoncent un contrôle renforcé dès 2026 et jugent cette authentification « en principe requise » pour les accès à distance, visent les bases de plusieurs millions de personnes. Un cabinet de taille moyenne n'y entre généralement pas, mais les mêmes consignes l'imposent aussi quand les données sont sensibles ou bancaires, ou qu'un numéro de sécurité sociale est en jeu. Une raison de plus de cartographier ce que contient réellement votre portail.
Sauvegarde : les six précautions à vérifier
La fiche de la CNIL sur les sauvegardes est courte et très utile, car elle se vérifie. Elle demande des sauvegardes fréquentes, au moins une copie sur un site géographiquement distinct, au moins une copie isolée hors ligne, une protection équivalente à celle des données d'exploitation, un chiffrement du transfert quand il sort du réseau interne, et des tests réguliers d'intégrité et de restauration.
Le dernier point est celui que je demanderais en premier. Pour un cabinet, le risque n'est pas abstrait : un chiffrement malveillant ou une erreur de suppression peut bloquer la remise des pièces à une échéance. Demandez la date du dernier test de restauration et le délai constaté. Une réponse vague vous renseigne déjà.
Sous-traitant RGPD : ce que le contrat doit dire
Dès qu'un prestataire héberge, maintient ou fournit un service qui traite vos données pour votre compte, il est en principe votre sous-traitant. La même recommandation rappelle que le contrat doit contenir au minimum les clauses de l'article 28.3 du RGPD. Dans l'exemple d'un service d'authentification hébergé par un tiers, elle demande de vérifier, et idéalement d'auditer, ses garanties de sécurité, ses journaux, ses éventuels transferts hors de l'Union européenne et ses propres sous-traitants. Cette grille vaut bien au-delà de ce seul exemple.
| Sujet | Question à poser | Réponse qui doit alerter |
|---|---|---|
| Connexion | Quels facteurs proposez-vous, et pour quels rôles ? | « Le mot de passe suffit » pour tous les comptes |
| Sauvegarde | Où sont les copies ? Quand a eu lieu le dernier test ? | Aucune date de restauration |
| Contrat | Où sont les clauses de l'article 28 ? | Pas d'annexe sur les données |
| Chaîne | Qui sont vos propres sous-traitants, et où sont-ils ? | Liste introuvable ou refusée |
Pour aller plus loin, le guide de la sécurité des données personnelles rassemble 25 fiches : authentification en fiche 4, sous-traitance en fiche 14, sauvegardes en fiche 17, ainsi qu'une grille d'auto-évaluation qui fait un bon support de réunion.
Quand un portail sur mesure n'est pas la bonne réponse
Le sur-mesure n'apporte pas la sécurité par lui-même. Si votre logiciel de production propose déjà un espace client avec authentification multifacteur, avec un contrat clair, et qu'il couvre vos besoins, gardez-le. Un outil maintenu par un éditeur vaut mieux qu'un développement sans personne pour appliquer les correctifs. Et si vous traitez des données très sensibles à grande échelle, adressez-vous d'abord à un spécialiste de la sécurité ou à un conseil juridique : c'est un autre métier que le mien.
Le sur-mesure se justifie quand l'outil existant ne couvre pas votre circuit de documents, ou qu'il vous faut maîtriser précisément les rôles et les accès. Avant d'en parler à quiconque, préparez la liste des données, celle des profils qui se connectent et l'endroit où tout est hébergé aujourd'hui. Vous pouvez ensuite voir comment je conçois un portail client ou, pour un cabinet, le portail dédié aux experts-comptables. Vous parlerez directement à la personne qui écrit le code.