Journalisation d'audit : conserver un dossier opposable

Pourquoi ce sujet mérite sa propre discussion, pas juste une mention ailleurs

La journalisation d'audit revient tout au long de cette base de connaissances comme un détail d'appui — une conservation légale est journalisée, la résolution d'un signalement de représailles est journalisée, un effacement est journalisé. Ce qui n'est dit nulle part ailleurs directement, c'est pourquoi cette journalisation est ce qui compte réellement, plus que l'action à laquelle elle est rattachée. Le principe de responsabilité du RGPD (art. 5(2)) n'exige pas seulement qu'une entreprise se conforme au droit de la protection des données — il exige de pouvoir démontrer cette conformité, et l'art. 24 traduit cela en une obligation concrète de mettre en œuvre des mesures qui rendent cette démonstration possible. Un dossier de ce qui s'est passé, tenu honnêtement, c'est ce qui fait que « nous avons bien traité cela » cesse d'être une affirmation et devient quelque chose que vous pouvez effectivement montrer.

Ce qu'un dossier opposable doit réellement capturer

Le test utile pour tout journal d'audit, quelle que soit la plateforme qui le produit : quelqu'un en dehors de l'entreprise — un régulateur, un tribunal, un salarié qui estime avoir été traité injustement — pourrait-il reconstituer ce qui s'est passé et quand, sans avoir à prendre la parole de quiconque pour argent comptant ? Cela signifie généralement capturer, pour chaque action qui compte :

• Qui l'a fait. Pas « un gestionnaire », mais une personne ou un compte précis et identifiable.
• Quand. Un horodatage réel, pas un souvenir approximatif reconstitué plus tard.
• Ce qui a changé. L'état avant/après réel, pas seulement le fait que quelque chose se soit produit.
• Pourquoi, pour tout ce qui a impliqué un jugement. Un changement de statut ou une mise à jour de routine n'a pas nécessairement besoin d'une raison associée — mais une conservation légale, un effacement, ou la résolution d'un incident de représailles, si, car ce sont précisément les actions pour lesquelles on pourrait un jour demander « pourquoi avez-vous fait cela ». Voir quand poser une conservation légale et traiter un signalement de représailles pour deux exemples concrets de décisions qui doivent figurer avec une raison au dossier, pas seulement un horodatage.

La lacune de la plupart des journaux : qui a consulté, pas seulement qui a modifié

Un journal qui ne capture que les modifications — changements de statut, notes ajoutées, issue enregistrée — manque la moitié de ce qu'exige réellement la confidentialité. L'obligation de sécurité du canal de l'art. 9(1)(a) vise à empêcher l'accès par du personnel non autorisé, ce qui signifie que qui a consulté un dossier est un fait tout aussi pertinent pour la confidentialité que qui l'a modifié. Si une entreprise peut montrer qui a modifié un dossier mais pas qui l'a consulté, elle ne peut pas réellement répondre à la question qu'une investigation sur une violation de confidentialité poserait en premier : qui a eu les yeux dessus. Un dossier opposable couvre les accès, pas seulement les modifications.

Le dossier est ce qui permet de s'acquitter de la charge de la preuve, pas seulement de l'étayer

Cela compte le plus concrètement dans exactement la situation couverte par ce qui constitue des représailles : dès qu'un lanceur d'alerte démontre avoir fait un signalement puis avoir subi un préjudice, l'art. 21(5) présume que ce préjudice était représaille, et c'est à l'entreprise de prouver le contraire. À ce stade, un dossier documenté et horodaté expliquant pourquoi une décision a été prise n'est pas un simple plus qui étaye la position de l'entreprise — c'est la seule chose qui peut permettre de s'acquitter de cette charge. Une entreprise qui s'appuie sur sa mémoire, ou sur des messages Slack informels que personne n'a pensé à conserver, essaie de prouver un fait négatif après coup, sans rien qui ait été construit à cet effet.

Comment Provoxis a mis cela en œuvre

Provoxis inscrit chacune de ces actions — poser ou lever une conservation légale, signaler ou résoudre un incident de représailles, effacer un signalement — sous forme d'une entrée de journal d'audit créée dans la même transaction en base de données que l'action elle-même. C'est une garantie structurelle, pas une garantie de process : le système est conçu pour que l'action ne puisse jamais réussir sans un enregistrement journalisé correspondant de qui l'a faite, quand, et pourquoi, plutôt que la journalisation soit une étape séparée qui pourrait échouer, être sautée, ou être ajoutée après coup. Une entreprise qui fait tourner son propre processus par-dessus une boîte mail partagée ou une feuille de calcul compte sur le fait que quelqu'un se souvienne de faire la note — un dossier opposable ne devrait pas dépendre de cela.

Fondement juridique

• Art. 5(2), RGPD — le principe de responsabilité : le responsable de traitement doit pouvoir démontrer sa conformité, pas seulement s'y conformer.
• Art. 24, RGPD — l'obligation de mettre en œuvre des mesures rendant possible la démonstration de la conformité.
• Art. 21(5), directive (UE) 2019/1937 — le renversement de la charge de la preuve qu'un dossier documenté permet réellement de lever.