Un badge de coworking a l’air anodin. Il ne l’est pas : nom, pr\u00e9nom, num\u00e9ro de badge, dates et heures d’entr\u00e9e et de sortie \u2014 chaque passage constitue une donn\u00e9e personnelle, et sa collecte tombe int\u00e9gralement sous le RGPD.<\/p>\n
Le principe de minimisation s’applique strictement : seules les informations n\u00e9cessaires \u00e0 la gestion des acc\u00e8s peuvent \u00eatre collect\u00e9es, et pour une dur\u00e9e limit\u00e9e. La CNIL fixe des rep\u00e8res clairs :<\/p>\n
Garder les logs d’acc\u00e8s \u00ab au cas o\u00f9 \u00bb pendant deux ans n’est pas de la prudence \u2014 c’est une non-conformit\u00e9 qui attend simplement d’\u00eatre contr\u00f4l\u00e9e.<\/p><\/blockquote>\n
Le recours \u00e0 un bureau op\u00e9r\u00e9 ne transf\u00e8re rien<\/h3>\n
Point souvent mal compris : confier son accueil \u00e0 un exploitant de coworking ne d\u00e9responsabilise pas l’entreprise occupante. Elle reste responsable du traitement des donn\u00e9es personnelles de ses propres salari\u00e9s, clients ou partenaires \u2014 m\u00eame si c’est le badge de l’exploitant qui les collecte physiquement. Deux responsables de traitement coexistent, chacun sur son p\u00e9rim\u00e8tre.<\/p>\n
Ce qu’un exploitant doit pouvoir d\u00e9montrer<\/h2>\n
Au-del\u00e0 du principe, la vraie question en cas de contr\u00f4le est op\u00e9rationnelle : qui a acc\u00e8s \u00e0 quel historique de badge, pour combien de temps, et sur quelle base l\u00e9gale. Un salari\u00e9 dispose d’un droit d’acc\u00e8s \u00e0 l’ensemble des donn\u00e9es le concernant, notamment celles relatives \u00e0 l’usage de son propre badge \u2014 et peut le faire valoir directement aupr\u00e8s du d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es.<\/p>\n
Un angle mort fr\u00e9quent : la dur\u00e9e de r\u00e9tention par d\u00e9faut des logiciels<\/h3>\n
Beaucoup de syst\u00e8mes de contr\u00f4le d’acc\u00e8s conservent les journaux ind\u00e9finiment par d\u00e9faut, simplement parce que personne n’a configur\u00e9 de purge automatique. C’est le point le plus facile \u00e0 corriger \u2014 et le plus souvent oubli\u00e9, faute d’attention port\u00e9e \u00e0 un sujet qui semble p\u00e9riph\u00e9rique au m\u00e9tier.<\/p>\n
\nComment Cowookie aide<\/p>\n
Chaque organisation est cloisonn\u00e9e dans la base Cowookie, l’acc\u00e8s aux donn\u00e9es est contr\u00f4l\u00e9 \u00e0 chaque requ\u00eate, et les actions sensibles sont inscrites dans un journal d’audit \u2014 la tra\u00e7abilit\u00e9 qu’un contr\u00f4le RGPD demande, sans configuration suppl\u00e9mentaire.<\/p>\n