Guide pratique de la gestion des droits d'accès, les obligations légales et les bonnes pratiques

Objectif

Dans notre quotidien, nous somme régulièrement sollicité pour « donner l'accès » à des documents à un collègue, et bien souvent nous hésitons entre les différents choix comme « éditeur » ou « administrateur » sans forcément avoir conscience des conséquences. Par commodité, nous attribuons souvent des droits d'accès plus étendus que nécessaire, ce qui, au final, engendre des problèmes de sécurité et de légalité.

L'objectif est ici de présenter les bases légales et les bonnes pratiques que chaque agent de l'établissement devrait connaitre avant de partager des documents à des collègues, mais aussi aux étudiants et aux personnes externes à l'établissement.

Pourquoi la gestion des droits nous concerne ?

Dans notre établissement, nous sommes régulièrement amenés à partager des documents contenant des données personnelles et confidentielles :

• Données d'étudiants : notes, dossiers sociaux, aménagements d'études ....
• Travaux scientifiques : données de recherche, brevets, publications en cours ....
• Gestion administrative : fiches de paie, budgets, comptes-rendus RH ....

Le RGPD impose de garantir la confidentialité des données à caractère personnel et fait de l'intégrité et de la confidentialité un principe général du traitement des données. La gestion des droits d'accès l'ors du partage de documents entre dans ce cadre là.

Mise en oeuvre du cadre légal : Le principe du moindre privilège

Le droit européen ( RGPD ) et les règles de sécurité informatique imposent une règle simple : le principe du moindre privilège. Pour plus de précision, consultez le site de la CNIL.

Principe du moindre privilège : Chaque personne doit disposer uniquement des accès strictement nécessaires à l'accomplissement de sa mission, ni plus, ni moins, et seulement le temps nécessaire.

Les 4 niveaux d'accès (La pyramide des droits)

Pour simplifier la gestion, les espaces collaboratifs comme Fichier de la suite numérique de l'état ou Partage de Renater, s'organisent en 4 niveaux de droits, du plus étendu au plus restreint.

CC BY-NC-SA INSPE, PRATICE Lab 2026

Description détaillée de l’image

Ce schéma en pyramide présente la hiérarchie des quatre rôles d'accès et leurs permissions associées[cite: 1].
La pyramide est divisée horizontalement en quatre niveaux, du plus élevé au plus restreint[cite: 1] :
- Propriétaire (sommet, bleu foncé) : Crée, supprime l'espace. Nomme les administrateurs.
- Administrateur (niveau 2, bleu) : Gère les droits des niveaux inférieurs.
- Éditeur (niveau 3, bleu clair) : Crée et modifie des documents. Ne peut supprimer que les siens.
- Lecteur (base, vert) : Accès en lecture seule.

La structure montre une restriction progressive des privilèges d'accès du haut vers la base de la pyramide[cite: 1].

Propriétaire (dispose de tous les droits)

• Son rôle : C'est le « responsable légal » de l'espace de travail collaboratif.
• Ce qu'il peut faire : Il crée l'espace, le supprime si nécessaire et nomme les Administrateurs.
• Bonne pratique : Prévoyez toujours au moins deux propriétaires par espace pour éviter de bloquer l'accès en cas de départ ou d'absence prolongée d'un agent.

Administrateur (peut donner et retirer des droits aux Éditeurs et Lecteurs)

• Son rôle : C'est le gestionnaire opérationnel au quotidien.
• Ce qu'il peut faire : Il accorde, modifie ou retire les accès des Éditeurs et des Lecteurs. Il possède aussi les droits d'édition et de suppression des documents.
• Bonne pratique : Vérifiez la liste des membres régulièrement pour ne laisser actifs que les droits d'accès nécessaires.

Éditeur

• Son rôle : C'est le collaborateur actif du projet ou du service.
• Ce qu'il peut faire : Il crée de nouveaux documents, modifie ceux des autres, mais ne peut supprimer que les fichiers qu'il a lui-même créés.
• Bonne pratique : C'est le rôle idéal pour les collègues qui co-rédigent un document ou un projet de recherche.

Lecteur (l'utilisateur final)

• Son rôle : Consultation des informations.
• Ce qu'il peut faire : Il peut lire et télécharger les documents, mais ne peut rien modifier ni supprimer.
• Bonne pratique : C'est le niveau à privilégier par défaut lorsque l'on partage des informations à un large groupe (ex. : étudiants, ensemble d'une composante).

Exemples de bonnes pratiques au quotidien

Pour les BIATSS

• Retirez les accès lors des départs : Pensez à supprimer les permissions des vacataires, stagiaires ou contractuels dès la fin de leur contrat.
• Partagez le juste fichier : Si un collègue a besoin d'un seul document, ne lui donnez pas accès à l'intégralité du dossier du service.
• Faites un ménage annuel : Une fois par an, passez en revue la liste des personnes ayant accès à vos dossiers partagés.

Pour les enseignants et enseignants-chercheurs

• Sujets d'examen et relevés de notes : Conservez-les dans un espace dont les accès « Éditeur » sont uniquement réservés à l'équipe pédagogique du module.
• Partage externe (hors établissement) : Évitez l'option « Toute personne possédant le lien ». Privilégiez l'invitation nominative via l'adresse e-mail professionnelle de votre correspondant.
• Projets de recherche : Distinguez l'espace de travail (Éditeurs = chercheurs du projet) de l'espace de diffusion publique (Lecteurs).

La checklist réflexe avant de partager un document

Avant d'accorder un accès, posez-vous 3 questions simples :

1. De quoi cette personne a-t-elle réellement besoin ? (A-t-elle besoin de modifier ou juste de lire ?)
2. Le document contient-il des données personnelles ou sensibles ?
3. Pendant combien de temps cet accès est-il nécessaire ? (Une semaine, un semestre, indéfiniment ?)

Pour aller plus loin

• Comment gérer les accès et le partage de documents dans l'outil Fichier de la suite numérique de l'État.