Bascule en SaaS du SIGB et violation de données personnelles
Le réseau de lecture publique d'une communauté d'agglomération (12 équipements, 96 000 habitants, 41 000 usagers inscrits) utilise un SIGB installé en 2009 sur un serveur municipal. L'éditeur propose une bascule en SaaS : 38 000 € HT par an sur cinq ans, hébergement annoncé « européen », sauvegardes quotidiennes, API. L'alternative interne est chiffrée à 65 000 € HT d'investissement plus 8 000 € HT de maintenance annuelle. Le délégué à la protection des données s'inquiète : le prestataire prévoit deux sous-traitants, dont un pour le support, localisé hors Union européenne, et l'éditeur veut récupérer les données d'usage pour « améliorer son produit ». Pendant le pilote, un script mal paramétré laisse accessible pendant neuf jours, à une adresse non indexée, un fichier CSV de 14 200 usagers (nom, adresse, courriel, date de naissance, historique de prêts). L'adjoint au numérique demande « de ne rien dire pour ne pas inquiéter ».
1. Analysez le projet au regard du RGPD : responsabilités, hébergement, réutilisation des données, analyse d'impact.
Read the worked answer
Qualification. La collectivité est responsable de traitement, l'éditeur sous-traitant. Le contrat doit reprendre l'article 28 du RGPD : objet, durée, instructions, confidentialité, sécurité, sous-traitance ultérieure soumise à autorisation, assistance, restitution et suppression en fin de contrat.
Hébergement hors Union européenne. Un support localisé hors UE constitue un transfert : il faut des clauses contractuelles types et une analyse des risques du transfert ; l'annonce « européen » ne suffit pas. Exiger la liste des sous-traitants, leur localisation, les mesures prises (chiffrement, pseudonymisation, journalisation) et un droit d'audit annuel.
Réutilisation des données d'usage. « Améliorer le produit » est une finalité nouvelle et commerciale, non couverte par la finalité « gestion du prêt ». Il faut refuser, ou n'accepter que des données agrégées et anonymisées, avec interdiction de réidentification et de croisement. C'est un point de négociation contractuelle, pas un détail.
Analyse d'impact. 41 000 usagers, historique de prêts, suivi du comportement : plusieurs critères de la CNIL sont réunis (grande échelle, suivi régulier). Une analyse d'impact doit être menée avec l'avis du DPO avant la bascule, et non après.
Minimisation. Fixer une durée de conservation de l'historique (par exemple effacement au-delà de trois ans ou dès la restitution, selon la finalité retenue), la documenter au registre, limiter les profils habilités. C'est ce travail préalable qui rend le choix SaaS défendable - et il manque aujourd'hui.
2. Fuite de données : que faites-vous dans les 72 heures, et comment répondez-vous à l'adjoint au numérique ?
Read the worked answer
Refuser la dissimulation, avec des arguments. La notification n'est pas une option de communication, c'est une obligation : le responsable de traitement engage sa responsabilité, et une plainte d'usager révélerait le silence. Répondre à l'élu par une note factuelle : faits, base légale, mesures, calendrier.
Contenir et documenter. Désactiver l'adresse, purger les journaux, préserver les traces (captures, horodatage, journaux du prestataire), identifier précisément les 14 200 personnes et les catégories de données exposées. Consigner la violation dans le registre, même si elle n'est finalement pas notifiée.
Notifier la CNIL. Si la violation est susceptible d'engendrer un risque pour les droits et libertés - ici adresse, date de naissance et historique de prêts, avec risque d'hameçonnage et de discrimination - la notification se fait dans les 72 heures via le téléservice : nature, catégories, nombre de personnes, conséquences probables, mesures prises.
Informer les personnes. Le risque étant élevé, l'information individuelle est requise : message clair, faits, données concernées, conseils (méfiance envers les courriels, changement de mot de passe), coordonnées du DPO.
Traiter le prestataire. Vérifier le délai contractuel de notification, exiger un rapport d'incident, appliquer les pénalités, obtenir la correction de la cause technique avant la bascule, et conditionner la mise en production à un test de sécurité.
Communication. Préparer une communication publique courte, sans détail technique, et informer le CSE et la direction. La confiance se perd par le silence, pas par l'aveu.
3. Quelle procédure d'achat retenez-vous et quelles clauses sont indispensables au cahier des charges ?
Read the worked answer
Procédure. 38 000 € × 5 = 190 000 € HT : au-dessus de 40 000 €, en dessous du seuil européen de 221 000 € applicable aux services d'une collectivité territoriale. Donc procédure adaptée, avec une publicité proportionnée (profil d'acheteur, BOAMP si nécessaire), négociation possible et critères annoncés à l'avance : par exemple 40 % prix, 60 % qualité technique.
Clauses indispensables.
- Localisation et transferts : lieu d'hébergement, liste et rôle des sous-traitants, clauses contractuelles types.
- Sécurité : chiffrement au repos et en transit, authentification, journalisation, sauvegardes testées, plan de reprise avec objectifs de continuité et de perte de données.
- Réversibilité : export complet des données et des paramétrages dans un format standard documenté, assistance de six mois, prix de sortie, suppression certifiée.
- Niveaux de service : disponibilité (99,5 %), délais de résolution, pénalités, crédits.
- Accessibilité : RGAA 4.1 pour le portail public.
- RGPD : annexe de traitement, registre, analyse d'impact, notification d'incident sous 24 heures.
- Économie : prix ferme sur cinq ans, clause de révision limitée.
Comparaison avec l'interne. 65 k€ + 8 k€ par an = 105 k€ sur cinq ans, contre 190 k€ : l'écart de 85 k€ doit être justifié par des services réels (sécurité, sauvegardes, mises à jour, disponibilité), pas par le confort. À défaut, un scénario hybride - hébergement interne sécurisé, portail externalisé - est à instruire avant de signer.