En une phrase. La CNIL encadre la journalisation par sa délibération n° 2021-122 du 14 octobre 2021, qui recommande une durée de conservation des journaux d’environ six mois (extensible à un an, voire davantage selon le risque ou une obligation légale), la journalisation étant une mesure de sécurité au sens de l’article 32 du RGPD et non un outil de surveillance individualisée des salariés.
La journalisation figure parmi les mesures de sécurité les plus fréquemment vérifiées lors des contrôles CNIL, précisément parce qu’elle est à la fois indispensable — sans logs, aucune détection d’incident ni investigation post-violation n’est possible — et à haut risque si elle est mal calibrée, puisqu’un journal trop bavard ou trop long en devient lui-même un traitement de données personnelles disproportionné. La recommandation de la CNIL du 14 octobre 2021 fixe le cadre de référence ; les bonnes pratiques techniques complémentaires figurent dans le guide d’hygiène informatique de l’ANSSI.
Cet article détaille le contenu recommandé des journaux, les durées de conservation applicables, et les garanties à mettre en place pour que la journalisation reste un outil de sécurité et non de surveillance des salariés.
Points clés
- La CNIL a adopté sa délibération n° 2021-122 du 14 octobre 2021 relative aux mesures de journalisation.
- La journalisation est une mesure de sécurité au sens de l’article 32 du RGPD, essentielle à la détection des accès illégitimes.
- Chaque événement journalisé doit a minima comporter : identifiant de l’auteur, date et heure, nature de l’action.
- Durée recommandée : environ six mois pour les journaux d’accès applicatifs, extensible à un an ou plus selon obligation légale ou analyse de risque.
- Les journaux ne doivent pas servir à une surveillance individualisée des salariés au-delà de la finalité de sécurité.
- Les journaux eux-mêmes doivent être sécurisés : intégrité, accès restreint, horodatage fiable.
1. Le cadre posé par la recommandation CNIL n° 2021-122
Pourquoi une recommandation dédiée à la journalisation
La journalisation n’était jusqu’en 2021 encadrée que de façon générale par l’obligation de sécurité de l’article 32 du RGPD, sans référentiel précis sur le contenu ou la durée des journaux. La délibération n° 2021-122 du 14 octobre 2021 de la CNIL comble ce vide en apportant des recommandations opérationnelles, applicables à tout organisme traitant des données personnelles via des systèmes d’information journalisés — ce qui couvre en pratique la quasi-totalité des traitements numériques.
La journalisation poursuit une finalité claire : permettre de détecter les accès illégitimes ou anormaux à des données, de reconstituer une chronologie en cas d’incident, et d’apporter la preuve technique nécessaire en cas de contrôle ou de contentieux. Elle s’inscrit directement dans l’obligation de sécurité du traitement posée par l’article 32 du RGPD, et constitue souvent le premier élément demandé lors d’une notification de violation de données — sans journaux exploitables, il est impossible de qualifier l’ampleur d’une violation ou d’identifier les données concernées.
Le contenu minimal recommandé
La recommandation précise les événements qui doivent être journalisés en priorité : les accès aux données (consultation), leur création, leur modification et leur suppression. Pour chaque événement, la CNIL recommande d’enregistrer au minimum trois éléments :
- l’identifiant de l’auteur de l’action (utilisateur, compte technique, service) ;
- la date et l’heure précises de l’action, avec une source de temps fiable ;
- la nature de l’action réalisée et, si pertinent, les données ou catégories de données concernées.
Ce triptyque « qui / quand / quoi » constitue le socle minimal ; des enrichissements sont possibles (adresse IP source, résultat de l’action, contexte applicatif) selon la sensibilité du traitement et l’analyse de risque menée en amont.
2. Les durées de conservation recommandées
La question de la durée de conservation des journaux est la plus fréquemment mal maîtrisée en entreprise — entre le réflexe de tout garder « au cas où » et l’absence totale de politique de purge. La CNIL fixe un principe et des exceptions encadrées.
| Type de journal | Événements typiques | Durée recommandée |
|---|---|---|
| Journaux d’accès applicatifs | Connexions, consultations, actions utilisateurs | ~6 mois (principe général) |
| Journaux justifiés par une obligation légale spécifique | Ex. secteur régulé, obligation sectorielle | Durée fixée par le texte applicable |
| Journaux justifiés par une analyse de risque | Traitements à enjeu de sécurité renforcé | Jusqu’à 1 an, voire davantage si dûment justifié |
| Journaux excédant la finalité de sécurité | Données conservées sans lien avec un besoin de sécurité identifié | Non recommandé : suppression |
Le principe reste la proportionnalité : une durée de conservation des journaux doit toujours être adossée à une finalité de sécurité identifiée et documentée, dans la continuité de la logique générale posée par notre guide sur les durées de conservation des données. Conserver des journaux pendant plusieurs années « par prudence », sans justification documentée, expose l’organisme à un manquement au principe de limitation de la conservation (article 5.1.e du RGPD), indépendamment même de la question de la sécurité.
3. Journalisation et salariés : où s’arrête la sécurité, où commence la surveillance
Un risque de détournement de finalité identifié par la CNIL
Le point le plus sensible de la recommandation concerne l’usage des journaux vis-à-vis des salariés. Un système de journalisation configuré pour la sécurité informatique peut, techniquement, produire une cartographie fine de l’activité individuelle de chaque utilisateur — heures de connexion, fichiers consultés, actions réalisées. La CNIL rappelle que les journaux ne doivent pas être détournés vers une finalité de surveillance individualisée des salariés qui n’aurait pas été identifiée, documentée et portée à leur connaissance.
Concrètement, cela implique :
- une information claire des salariés sur l’existence de la journalisation et sa finalité de sécurité, généralement via la charte informatique de l’entreprise ;
- l’inscription du traitement dans le registre des activités de traitement, avec une finalité de sécurité clairement délimitée ;
- selon les cas, une consultation du CSE lorsque le dispositif de journalisation constitue un moyen de contrôle de l’activité des salariés au sens du droit du travail ;
- un accès aux journaux restreint aux seules personnes habilitées (équipes sécurité, administrateurs systèmes), et non ouvert aux managers opérationnels à des fins de management courant.
Sécuriser les journaux eux-mêmes
Un journal d’accès n’a de valeur probante que s’il est lui-même protégé contre l’altération. La recommandation CNIL et les référentiels ANSSI convergent sur trois exigences techniques : l’intégrité des journaux (empêcher toute modification a posteriori, y compris par les administrateurs système eux-mêmes), un accès restreint en lecture comme en écriture, et un horodatage fiable et centralisé. La centralisation des journaux dans un outil de supervision (SIEM) et leur exploitation régulière relèvent des bonnes pratiques d’hygiène informatique promues par l’ANSSI — voir notre guide d’hygiène informatique ANSSI — et rejoignent également les exigences de supervision continue attendues dans le cadre de NIS2.
4. Journalisation et contrôle CNIL : ce qui est vérifié
Lors d’un contrôle, la CNIL examine généralement quatre points sur la journalisation : l’existence même d’un dispositif de journalisation proportionné aux risques du traitement, la conformité du contenu journalisé au triptyque minimal (auteur, horodatage, nature de l’action), le respect de la durée de conservation recommandée ou sa justification documentée si elle s’en écarte, et enfin l’absence de détournement vers une surveillance individualisée non déclarée. Se préparer à ces vérifications suppose une documentation à jour — voir notre guide sur la préparation à un contrôle CNIL.
FAQ
La durée de 6 mois pour les logs est-elle une obligation légale stricte ?
Non, c’est une durée de référence recommandée par la CNIL pour les journaux d’accès applicatifs. Elle peut être allongée jusqu’à un an, voire davantage, si une obligation légale spécifique ou une analyse de risque documentée le justifie.
Un employeur peut-il utiliser les logs pour surveiller la productivité d’un salarié ?
Non, pas dans le cadre du dispositif de journalisation de sécurité. La CNIL rappelle que les journaux ne doivent pas servir à une surveillance individualisée allant au-delà de leur finalité de sécurité, sauf mise en place d’un dispositif de contrôle distinct, déclaré et proportionné.
Faut-il journaliser toutes les actions sur toutes les applications ?
Non, la journalisation doit être proportionnée au risque du traitement concerné. Les traitements à enjeu (données de santé, données financières, accès administrateur) justifient une journalisation plus fine que des traitements courants à faible sensibilité.
Le défaut de journalisation peut-il être sanctionné par la CNIL ?
Oui, l’absence de journalisation adaptée est fréquemment relevée comme un manquement à l’obligation de sécurité de l’article 32 du RGPD lors des contrôles, notamment lorsqu’elle empêche de qualifier l’ampleur d’une violation de données.
Conclusion
La journalisation n’est pas une option technique laissée à l’appréciation des équipes IT : c’est une mesure de sécurité encadrée par une recommandation CNIL précise, avec un contenu minimal, une durée de référence de six mois et des garde-fous stricts contre la surveillance individualisée des salariés. Pour les DPO comme pour les RSSI, l’enjeu 2026 est de documenter une politique de journalisation proportionnée — ni trop pauvre pour détecter un incident, ni trop étendue pour rester conforme au principe de minimisation — et de la sécuriser au même titre que les données qu’elle a vocation à protéger.