Journaliser les connexions : la trace qui sert de preuve, à condition de ne pas en abuser
Ou : un fournisseur VPN qui ne garde rien, une entreprise qui garde tout ce qu’il faut, et aucune contradiction entre les deux.
La réponse courte : journaliser les accès, c’est enregistrer qui s’est connecté, quand, depuis quelle adresse et avec quel résultat. C’est une mesure de sécurité, parce qu’une connexion anormale se repère dans les journaux, et une preuve : la CNIL écrit dans sa fiche « Tracer les opérations » que ces traces « sont également des éléments de preuve utiles pour la démonstration de la conformité ». Elle recommande de les conserver sur une période glissante de six mois à un an et interdit de les détourner, par exemple pour compter les heures travaillées. Car ces journaux sont eux-mêmes des données personnelles des salariés, ce que la Cour de justice de l’Union a confirmé en juin 2023. C’est l’outil central pour prouver sa conformité le jour où quelqu’un la demande.
Il ne faut pas confondre ces journaux avec la politique no-log d’un fournisseur VPN grand public. Le fournisseur s’engage à ne rien consigner de l’activité de ses clients ; l’entreprise, elle, consigne l’accès à ses propres systèmes, par ses propres salariés, pour des raisons de sécurité. Un VPN d’entreprise sans aucune trace des connexions serait plutôt un défaut de conformité qu’une qualité.
Journalisation des accès : ce qu’il faut garder, et combien de temps
| Événement à journaliser | Utilité | Référence |
|---|---|---|
| Ouvertures de session réussies et échouées | Repérer des identifiants volés ou devinés | ANSSI, socle minimal ; règlement 2024/2690, point 3.2.3 |
| Succès ou échec du second facteur, jamais le code | Prouver l’usage du double facteur sans exposer de secret | CNIL, recommandation de 2025 |
| Utilisation de droits d’administration, création et suppression de comptes | Repérer un compte détourné ou ajouté | ANSSI, socle minimal |
| Heure exacte, sur des horloges synchronisées | Reconstituer la chronologie d’un incident | ANSSI, R5 ; règlement 2024/2690, point 3.2.6 |
| Aucun mot de passe, ni même son empreinte | Ne pas créer de nouvelle fuite | CNIL, fiche 16 |
L’ANSSI a publié en janvier 2022 la version 2.0 de ses recommandations pour l’architecture d’un système de journalisation. Trois points concernent directement l’accès distant : centraliser les journaux sur des serveurs dédiés, synchroniser les horloges de tous les équipements, et maintenir la collecte des journaux des postes nomades « grâce à un tunnel VPN ». La CNIL ajoute que les journaux doivent être analysés « de manière active, en temps réel ou à court terme » : des traces que personne ne lit ne détectent rien, et c’est précisément ce que l’autorité a reproché à Free en janvier 2026, dont les mesures de détection des comportements anormaux étaient jugées inefficaces.
Vient ensuite la durée de conservation. La CNIL recommande six mois à un an, et admet jusqu’à trois ans pour le contrôle interne lorsque le risque de détournement est démontré. En Suisse, l’ordonnance sur la protection des données rend la journalisation obligatoire pour les traitements automatisés de données sensibles à grande échelle, lorsque les mesures préventives ne suffisent pas, avec une conservation d’au moins un an, séparément du système surveillé. En Belgique, aucune durée n’est fixée, mais la convention collective n° 81 oblige à informer les travailleurs de l’existence du contrôle, de sa finalité, du lieu et de la durée de conservation des données.
Protéger les journaux compte autant que les produire. L’Autorité de protection des données a infligé en décembre 2024 une amende de 200 000 euros à un hôpital victime d’un rançongiciel, notamment pour l’absence d’un système de préservation des logs : ils auraient dû être stockés à part, sur des équipements protégés contre le chiffrement. La Cour des marchés a partiellement annulé la décision en septembre 2025 et ramené l’amende à 50 000 euros, et l’APD s’est pourvue en cassation. Le principe, lui, n’a pas bougé : des journaux qu’un attaquant peut effacer ne prouvent rien.
Reste la question de la preuve dans l’autre sens. La Cour de justice a jugé en juin 2023 que les fichiers journaux comportent des données personnelles des salariés qui les ont générés, et qu’ils font partie des mesures permettant de démontrer la conformité. La personne dont les données ont été consultées peut obtenir la date et la finalité de ces consultations, mais pas, en principe, l’identité des salariés qui les ont faites. Les journaux se conçoivent donc en sachant qu’ils pourront servir de pièce, pour l’entreprise comme contre elle.
L’employeur face au salarié en télétravail
Les mêmes journaux deviennent un outil de surveillance s’ils servent à contrôler l’activité. Les limites fixées par la CNIL et le droit belge sont réunies dans le RGPD en télétravail.
L’analyse d’impact
Une journalisation limitée à la sécurité n’impose pas, en principe, d’analyse d’impact ; une surveillance constante de l’activité, si. La frontière est tracée dans l’AIPD pour l’accès distant.
La mesure 8.15 de la norme
ISO 27001 consacre une mesure à la journalisation et une autre à la surveillance. Leur place dans le contrôle d’accès est expliquée dans ISO 27001 et l’accès réseau.