Comprendre les enjeux RGPD liés à l’intranet et l’extranet

Des systèmes critiques mais invisibles

Un intranet ou un extranet est souvent perçu comme un outil “interne” ou “sécurisé”, ce qui conduit parfois à un relâchement sur la gouvernance des données personnelles. Pourtant :

• Les intranets centralisent souvent des données RH (identités, salaires, évaluations),
• Les extranets permettent un accès étendu à des tiers (prestataires, clients, partenaires),
• Ces outils gèrent des espaces documentaires, des formulaires, des bases utilisateurs…

Ce que dit le RGPD

Le RGPD impose des obligations dès lors qu’un traitement de données personnelles est opéré, que ce soit pour les employés, les clients ou les partenaires. Sont donc concernés tous les traitements via intranet ou extranet, incluant :

• L’identification des utilisateurs,
• Le suivi des connexions (en savoir plus sur les logs),
• Le stockage de documents contenant des données personnelles,
• L’utilisation d’outils tiers intégrés (analytics, chat, etc).

Analyse d’impact : un prérequis souvent oublié

Le RGPD recommande (et impose dans certains cas) la réalisation d’une analyse d’impact sur la vie privée (AIPD ou PIA) pour tout traitement à risques élevés. Cela peut concerner un extranet interconnecté à des systèmes tiers ou un intranet intégrant des modules de suivi de productivité.

Quand une AIPD est-elle nécessaire ?

• Si le système traite des données sensibles (santé, opinions, etc),
• Si l’intranet contient des mécanismes de surveillance (journaux d’activités),
• Si l’extranet automatise des décisions individuelles (notation, évaluation).

Les 6 piliers de conformité à mettre en place

Gouvernance des accès

• Mettre en place une authentification forte (SSO, MFA),
• Gérer les accès par rôles et profils utilisateurs,
• Pratiquer une revue régulière des droits.

Transparence des traitements

• Afficher une politique de confidentialité dédiée au système,
• Informer les utilisateurs sur les données collectées et leur finalité,
• Documenter les traitements dans le registre RGPD de l’organisation.

Gestion du cycle de vie des données

• Définir des durées de conservation explicites et limitées,
• Mettre en œuvre des mécanismes d’archivage et de suppression automatique,
• S’assurer de la traçabilité des accès et suppressions.

Sécurisation technique

• Chiffrer les données au repos et en transit,
• Segmenter les environnements de test et de production,
• Réaliser des tests de vulnérabilité réguliers.

Droits des personnes

• Permettre l’accès aux données personnelles via l’intranet/extranet,
• Faciliter la correction ou suppression par des procédures claires,
• Gérer les demandes d’opposition ou de portabilité de manière traçable.

Encadrement des sous-traitants

• Évaluer la conformité RGPD des modules et services tiers (plugins, hébergeurs, etc),
• Formaliser les relations dans des contrats de sous-traitance conformes,
• Mettre en place une revue annuelle de la conformité des prestataires intégrés.

Cas d’usage concrets : erreurs fréquentes à éviter

Mauvaise gestion des accès

Exemples :

• Comptes partagés pour les prestataires,
• Absence de révocation automatique à la sortie d’un collaborateur.

Logs excessifs ou non maîtrisés

• Collecte de données comportementales sans finalité légitime,
• Retention illimitée des journaux de connexion.

Données sensibles non chiffrées

• Fiches de paie accessibles dans une GED sans chiffrement,
• Absence de protocole HTTPS sur des portails extranet publics.

Vers un intranet RGPD by design

Concevoir dès le départ avec la conformité en tête

Mettre en œuvre le RGPD sur un intranet ne consiste pas à "corriger après-coup", mais à intégrer les exigences dès la phase de conception. Cela implique :

• Des ateliers avec les parties prenantes métiers, DSI et DPO,
• Une documentation continue des choix techniques et juridiques,
• Une capacité à démontrer la conformité (principe d’accountability).

Évoluer avec les usages

Les intranets évoluent : intégration de l’IA (en savoir plus sur l'IA), modules de performance (en savoir plus), applications mobiles. La conformité doit suivre ces évolutions, avec des mises à jour régulières des analyses d’impact, des politiques internes, et une veille juridique constante.