Logiciel de gestion de projet : les critères RGPD

Les comparatifs d'outils parlent de diagrammes de Gantt et de tarifs. Ils parlent rarement de ce que contient un logiciel de gestion de projet après quelques mois : des noms, des e-mails, des commentaires sur des clients, parfois la situation d'un salarié. Ce sont des données personnelles, hébergées chez un éditeur extérieur. Cet article ne classe aucun outil : il liste les points à vérifier avant de vous engager.

Pourquoi un outil de gestion de projet relève-t-il du RGPD ?

Parce qu'il traite des données personnelles pour votre compte. Dès qu'un collaborateur, un client ou un prestataire y est identifiable, vous êtes responsable de ce traitement, et l'éditeur qui héberge les données agit en principe comme sous-traitant.

La CNIL définit le sous-traitant comme la personne « qui traite des données pour le compte d'un autre organisme » (fiche CNIL sur la qualification juridique). Un éditeur en ligne qui stocke vos projets correspond généralement à cette définition. Le choix vous revient : l'article 28 du RGPD impose de ne recourir qu'à des sous-traitants « qui présentent des garanties suffisantes ». Retenir un logiciel de gestion de projet est donc aussi une décision de conformité.

Les données concernées dépassent les comptes utilisateurs :

• les coordonnées de l'équipe, des clients et des invités ;
• les commentaires et pièces jointes des tâches ;
• les journaux d'activité (qui a fait quoi, et quand) ;
• les champs libres, où se glissent parfois des informations sensibles, comme un arrêt maladie.

Quels critères de protection des données vérifier avant de choisir ?

Avant de retenir un logiciel de gestion de projet, six points couvrent l'essentiel des risques. Le tableau indique la question à poser et le texte qui la fonde.

Le contrat avec l'éditeur est-il complet ?

Il doit l'être avant toute mise en production. L'article 28, paragraphe 3, exige un contrat de sous-traitance qui fixe l'objet, la durée, la nature et la finalité du traitement, ainsi que le type de données et les catégories de personnes concernées.

Il prend souvent la forme d'un accord de traitement des données annexé aux conditions générales. Vérifiez qu'il prévoit que l'éditeur agit sur votre instruction documentée, impose la confidentialité à son personnel, vous aide à répondre aux demandes de droits et à gérer les incidents, et accepte les audits. Le guide de la CNIL pour les sous-traitants propose un exemple de clauses. Pour la méthode générale, voir notre article RGPD et fournisseurs : qualifier, contractualiser, contrôler.

Où sont hébergées les données, et qui peut y accéder ?

Demandez la localisation des serveurs principaux, des sauvegardes et des équipes de support. Un hébergement dans l'Union européenne simplifie l'analyse ; un transfert hors UE reste possible, mais uniquement avec un outil de transfert prévu par le RGPD.

Les articles 44 à 46 du RGPD conditionnent tout transfert à une décision d'adéquation ou, à défaut, à des garanties appropriées, comme les clauses types adoptées par la Commission européenne. Pour les États-Unis, la Commission a adopté le 10 juillet 2023 une décision d'adéquation qui couvre les organisations inscrites sur la liste du Data Privacy Framework. Si l'éditeur, ou l'un de ses propres prestataires, n'y figure pas, un autre outil de transfert doit être en place. Chaque intégration (messagerie, stockage, IA) crée aussi un flux à documenter.

Quelles garanties de sécurité exiger ?

Des mesures adaptées au risque, que l'éditeur sait décrire. L'article 32 du RGPD cite notamment le chiffrement, la confidentialité et la disponibilité des systèmes, la capacité à rétablir l'accès aux données après un incident et des tests réguliers de ces mesures.

Concrètement : authentification renforcée, historique des accès consultable et politique de sauvegarde explicite. L'édition 2024 du guide de la sécurité des données personnelles de la CNIL comporte une fiche sur l'informatique en nuage. Notre guide Sécurité des données : les mesures exigées par le RGPD détaille les mesures attendues.

Comment paramétrer l'outil une fois choisi ?

Le contrat ne suffit pas : la conformité se joue aussi dans le paramétrage. Le RGPD impose une protection des données par défaut, qui vise les accès, les partages et la durée de vie des projets.

L'article 25, paragraphe 2, prévoit que, par défaut, les données ne soient pas rendues accessibles à un nombre indéterminé de personnes sans intervention de la personne concernée. Dans un logiciel de gestion de projet, les risques tiennent aux partages externes et aux comptes oubliés. Définissez chaque habilitation par rôle plutôt que par personne. Vérifiez dès l'ouverture des comptes :

Combien de temps conserver les projets terminés ?

Le RGPD ne fixe pas de durée propre aux outils de gestion de projet. Il pose un principe : les données ne sont conservées que le temps nécessaire à la finalité poursuivie, puis archivées ou supprimées.

L'article 5 du RGPD énonce ce principe de limitation de la durée de conservation, à côté de la minimisation. Fixez une règle par type de projet, par exemple un archivage à la clôture puis une suppression une fois éteintes les obligations qui s'y attachent. Vérifiez que votre logiciel de gestion de projet permet une suppression effective, et demandez dans quel délai les sauvegardes sont purgées.

Enfin, inscrivez l'outil dans votre registre des traitements. Pour piloter cette documentation, notre page Logiciel RGPD : gérer votre conformité facilement présente cette approche.

À retenir

• L'éditeur qui héberge vos projets agit en principe comme sous-traitant : un contrat conforme à l'article 28 du RGPD est indispensable.
• La localisation des données, sauvegardes et support compris, détermine s'il existe un transfert hors de l'Union européenne et l'outil qui l'encadre.
• La sécurité se vérifie sur pièces : chiffrement, authentification, restauration et tests réguliers.
• Le paramétrage (accès, partages, invités, archivage) pèse autant que le contrat dans la conformité de l'outil.