Habilitation : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
L'habilitation est l'autorisation donnée à une personne d'accéder à certaines données ou fonctions d'un système, dans la limite de ce dont elle a besoin pour sa mission. Elle repose sur le principe du « besoin d'en connaître ».
Ce qu'il faut comprendre
Gérer les habilitations, c'est définir des profils d'accès par métier, attribuer à chacun uniquement les droits nécessaires, puis les mettre à jour à chaque arrivée, changement de poste ou départ. Un comptable n'a pas besoin des dossiers médicaux, un bénévole d'accueil n'a pas besoin des coordonnées bancaires des donateurs. Chaque utilisateur doit disposer d'un compte personnel, jamais d'un identifiant partagé.
C'est une mesure de sécurité centrale : la plupart des fuites internes viennent d'accès trop larges ou de comptes restés actifs après un départ. Le RGPD prévoit aussi que les personnes agissant sous l'autorité du responsable de traitement ne traitent les données que sur ses instructions. La gestion des habilitations est l'un des moyens concrets de respecter cette règle et le principe de minimisation, en limitant le nombre de personnes qui voient chaque donnée.
L'habilitation se distingue de l'authentification : l'authentification vérifie l'identité de l'utilisateur, l'habilitation détermine ce qu'il a le droit de faire une fois connecté. L'erreur fréquente est de donner à tous les mêmes droits par facilité, ou d'oublier de revoir régulièrement la liste des comptes actifs. Les comptes des prestataires et des intérimaires sont les plus souvent oubliés.
Exemple concret
Une mairie de 3 000 habitants utilise un logiciel pour l'état civil, les élections et l'action sociale. Après revue, le secrétaire général constate que l'agent d'accueil voit les dossiers du CCAS. Il crée trois profils distincts, retire cet accès, désactive le compte d'un agent parti à la retraite et prévoit une revue annuelle des droits.
Textes de référence
- RGPD, art. 32
- RGPD, art. 29
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
