Lorsqu’un agent consulte un dossier usager, la collectivité doit pouvoir comprendre qui a accédé à quelles informations et dans quel contexte. Cette traçabilité aide à instruire un signalement, à détecter un usage anormal et à vérifier le fonctionnement d’un service public numérique. Elle ne consiste pas à enregistrer indistinctement toutes les actions des agents. Les journaux d’accès doivent répondre à un besoin défini, tout en limitant la collecte de données personnelles et les risques de surveillance disproportionnée.
La première étape consiste à distinguer les événements à tracer. Une authentification réussie ou refusée ne renseigne pas, à elle seule, sur la consultation d’un dossier précis. Selon les traitements concernés, il peut être utile d’enregistrer l’identifiant professionnel de l’agent, la date et l’heure, la nature de l’action et la référence du dossier consulté. Les opérations sensibles, comme une modification ou un export, peuvent nécessiter une trace différente d’une simple consultation. Cette distinction évite de confondre les journaux techniques, utiles au diagnostic, avec les traces fonctionnelles destinées au contrôle des accès.
La qualité de la trace dépend aussi de l’identification des acteurs. Un compte partagé ne permet pas d’attribuer une action à une personne et réduit l’utilité du journal en cas d’incident. Les comptes techniques et les traitements automatisés doivent également être reconnaissables, afin qu’une opération effectuée par un logiciel ne soit pas attribuée à un agent. Il convient de vérifier que les horloges des applications et des systèmes concernés sont suffisamment cohérentes pour reconstituer une séquence. Enfin, les libellés d’événement doivent être compréhensibles par les personnes chargées d’analyser les journaux, sans exposer le contenu même des dossiers.
La journalisation ne justifie pas de recopier dans les traces les données consultées. Enregistrer le texte d’un justificatif, un mot de passe ou des informations médicales créerait une nouvelle exposition, distincte du dossier d’origine. Une référence technique à l’opération suffit souvent pour retrouver l’événement dans le système concerné, à condition que l’accès à ce rapprochement soit lui-même encadré. La collectivité définit donc quelles informations sont indispensables, qui peut consulter les journaux et dans quelles circonstances. Les journaux contenant des données relatives aux agents ou aux usagers doivent être protégés contre la modification, la suppression et la consultation non autorisée.
La durée de conservation se détermine en fonction des finalités, des risques et des obligations applicables, plutôt qu’en conservant toutes les traces sans échéance. Une durée trop courte peut empêcher l’analyse d’un incident signalé tardivement ; une durée excessive augmente l’exposition des personnes et la quantité de données à protéger. Il est utile de documenter les règles retenues, les modalités d’effacement et les responsabilités de chaque intervenant, y compris celles d’un prestataire qui héberge ou exploite le service. L’accès aux journaux doit aussi être tracé : leur consultation peut révéler des informations sur les activités des agents et des usagers.
Enfin, un journal n’est utile que si la collectivité sait quoi faire lorsqu’il révèle une anomalie. Elle peut définir des motifs d’alerte, les personnes habilitées à les examiner et une procédure de vérification qui tient compte du contexte professionnel. Un accès inhabituel constitue un élément à analyser, pas une preuve automatique de faute : erreur de paramétrage, remplacement ou mission ponctuelle peuvent expliquer une consultation. En associant règles techniques, contrôle humain et information claire des agents, la collectivité renforce la sécurité des dossiers sans transformer la traçabilité en surveillance générale.
