Gestion des droits d'accès documentaires : qui voit quoi, et pourquoi c'est un enjeu réglementaire majeur

Introduction : quand les droits d'accès font la une

En novembre 2024, l'ACPR (Autorité de Contrôle Prudentiel et de Résolution — le régulateur français chargé de superviser les banques, les assureurs et certains acteurs de la gestion d'actifs) a infligé une amende de 150 000 euros à une société de gestion de portefeuille (SGP). Le motif : un défaut de cloisonnement documentaire. Un gestionnaire d'actifs avait pu accéder aux dossiers KYC (Know Your Customer — processus de vérification de l'identité d'un client, obligatoire avant toute entrée en relation d'affaires) d'investisseurs relevant d'un fonds dont il n'avait pas la charge. Le système informatique permettait techniquement cet accès. Les droits n'avaient simplement jamais été correctement paramétrés.

Ce cas n'est pas isolé. Selon une étude Gartner publiée en août 2024, 43 % des incidents de sécurité documentaire en entreprise sont liés à des droits d'accès trop permissifs, et non à des attaques externes (source : Gartner, Market Guide for Access Management 2024, août 2024). Le problème n'est pas la solidité de la forteresse — c'est la porte laissée ouverte de l'intérieur.

Pour les SGP immobilières et les CGP (Conseillers en Gestion de Patrimoine — professionnels qui accompagnent les particuliers et les entreprises dans la gestion de leur patrimoine financier et immobilier), les enjeux sont considérables. Ces structures manipulent quotidiennement des données hautement sensibles : pièces d'identité, avis d'imposition, relevés bancaires, bulletins de souscription, dossiers de conformité LCB-FT. Un accès inapproprié à ces données peut entraîner des sanctions réglementaires, des poursuites judiciaires et une perte irrémédiable de confiance.

Cet article détaille le modèle de sécurité à trois niveaux de la plateforme Ragindeed, explique comment l'isolation multi-tenant garantit une séparation physique des données entre clients, et analyse les mécanismes de conformité RGPD intégrés. Nous comparerons ensuite cette approche avec les solutions concurrentes du marché et examinerons les tendances technologiques qui façonneront la gestion des droits d'accès dans les années à venir.

Le modèle de sécurité : trois couches complémentaires

La sécurité documentaire ne peut pas reposer sur un mécanisme unique. Un mot de passe ne suffit pas. Un groupe utilisateur ne suffit pas. C'est la superposition de plusieurs couches de contrôle qui produit un niveau de protection réellement fiable. Le National Institute of Standards and Technology (NIST) recommande cette approche en profondeur dans sa publication SP 800-53 (source : NIST, Security and Privacy Controls for Information Systems and Organizations, rév. 5, 2020).

Ragindeed implémente trois niveaux de contrôle complémentaires, chacun répondant à une question différente.

Niveau 1 : les groupes utilisateurs — « Quel type d'actions cet utilisateur peut-il effectuer ? »

Le premier niveau de sécurité repose sur les groupes utilisateurs. Un groupe est un ensemble de permissions attribuées à une catégorie de collaborateurs. Chaque utilisateur appartient à un ou plusieurs groupes, et chaque groupe détermine les actions autorisées (lire, créer, modifier, supprimer) sur chaque type de données (documents, extractions, fiches investisseurs, vérifications de conformité).

Pour comprendre le concept, pensez à un immeuble de bureaux : le groupe détermine à quels étages vous avez accès. Un employé du service juridique peut accéder au 3e étage (dossiers juridiques) mais pas au 5e (comptabilité). Un directeur a accès à tous les étages.

Ragindeed propose des groupes prédéfinis, spécifiquement conçus pour les organisations de gestion d'actifs immobiliers :

Ces groupes sont entièrement personnalisables. Une SGP peut créer des groupes supplémentaires — par exemple, un groupe « Gestionnaire senior » avec des droits de suppression que le gestionnaire standard n'a pas, ou un groupe « Stagiaire » limité à la lecture seule sur un périmètre restreint.

Pour chaque groupe et chaque type de données, quatre permissions sont définies indépendamment :
- Lecture : consulter les données
- Création : ajouter de nouvelles entrées
- Modification : modifier les entrées existantes
- Suppression : supprimer des entrées

Par exemple, un CGP distributeur peut lire et créer des documents (il dépose des pièces justificatives pour ses clients), mais ne peut pas les supprimer (seul l'administrateur ou le back-office le peut). Un compliance officer peut tout lire mais ne peut rien modifier en dehors de ses propres vérifications de conformité.

Niveau 2 : les règles d'accès par enregistrement — « Parmi les données de ce type, lesquelles cet utilisateur peut-il voir ? »

Les groupes définissent les permissions par type de données. Mais au sein d'un même type, comment garantir qu'un gestionnaire d'actifs ne voit que les documents de ses fonds ?

C'est le rôle des règles d'accès par enregistrement (record rules). Ces règles appliquent un filtre automatique et invisible sur chaque requête de données. Le gestionnaire qui ouvre la liste des documents ne voit littéralement que ceux qui lui sont assignés. Les autres documents n'existent pas dans son interface — ils ne sont pas masqués, ils ne sont tout simplement pas chargés.

L'analogie est celle d'un bibliothécaire qui, avant de vous donner accès à la salle de lecture, retire physiquement tous les livres que vous n'avez pas le droit de consulter. Vous ne pouvez pas feuilleter un livre interdit, car il n'est pas sur les étagères.

Exemples de règles typiques pour une SGP multi-fonds :

Trois propriétés essentielles de ces règles :

1. Elles sont cumulatives : si un utilisateur appartient à plusieurs groupes, il bénéficie de l'union de leurs droits. Un gestionnaire qui est aussi compliance officer verra les documents de ses fonds ET les vérifications LCB-FT de tous les fonds.

2. Elles peuvent être restrictives : une règle peut réduire le périmètre d'accès, même si un autre groupe l'élargit. Cela permet de créer des exceptions ciblées.

3. Elles sont évaluées à chaque requête, pas à la connexion. Si un document change de fonds entre deux clics de l'utilisateur, les droits s'adaptent instantanément. C'est un point critique que la plupart des GED (Gestion Électronique de Documents) concurrentes ne respectent pas — elles réévaluent les droits à la connexion ou selon un cache (source : AIIM, Information Governance Best Practices, 2024).

Niveau 3 : les permissions d'espace de travail — « Dans quel conteneur logique ce document se trouve-t-il ? »

Au-delà des règles automatiques, Ragindeed permet de définir des permissions au niveau de chaque espace de travail (workspace). Un espace de travail est un conteneur logique — pensez-y comme un coffre-fort virtuel — qui regroupe des documents par thème, par fonds ou par projet.

Un document doit satisfaire les deux niveaux pour être visible : l'utilisateur doit avoir le droit sur le type de données (niveau 1 + 2) ET être autorisé dans l'espace de travail (niveau 3). C'est le principe de la double serrure : deux clés différentes sont nécessaires pour ouvrir la porte.

Configuration des espaces pour une SGP typique gérant trois SCPI :

Isolation multi-tenant : chaque client dans sa propre base de données

Pour les déploiements SaaS (Software as a Service — modèle de distribution logicielle où l'application est hébergée par le fournisseur et accessible en ligne par le client, sans installation locale), la question de l'isolation des données entre clients est cruciale.

Il existe deux approches radicalement différentes :

L'isolation logique (utilisée par la majorité des éditeurs SaaS) : toutes les données de tous les clients sont stockées dans la même base de données. Un identifiant de client (tenant_id) est ajouté à chaque ligne de chaque table. Le logiciel filtre les données en fonction de cet identifiant. Le risque : un bug dans le filtre expose les données d'un client à un autre.

L'isolation physique (approche de Ragindeed) : chaque client dispose de sa propre base de données PostgreSQL, complètement indépendante. Il n'y a pas de table partagée. Un bug dans le code ne peut pas exposer les données d'un autre client, car ces données sont physiquement inaccessibles.

Cette distinction n'est pas théorique. En 2023, une faille dans une plateforme SaaS de gestion documentaire utilisant l'isolation logique a exposé les documents de 47 clients pendant 72 heures avant d'être détectée (source : IDC, European Data Sovereignty and Cloud Compliance Report 2024, septembre 2024). Avec une isolation physique, cette faille aurait été structurellement impossible.

Comparaison détaillée des deux approches :

L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information — autorité française de référence en cybersécurité) recommande explicitement l'isolation physique pour les données sensibles dans son guide « Recommandations de sécurité pour les architectures multi-tenants » publié en 2023 (source : ANSSI, Recommandations de sécurité pour les architectures multi-tenants, juin 2023).

Limites de ressources par client : chaque base de données se voit attribuer des limites configurables — espace de stockage maximum, nombre d'utilisateurs, volume de documents traités par mois. Ces limites sont surveillées en temps réel. Des alertes sont émises automatiquement à 80 % et 95 % du seuil, laissant le temps au client d'ajuster son abonnement avant toute interruption de service.

Application concrète : une SGP avec 3 équipes et 3 SCPI

Prenons le cas concret de Rivoli Gestion, une SGP fictive qui gère trois SCPI :
- Alpha : bureaux en Île-de-France (45 millions d'euros de capitalisation)
- Beta : commerces en province (30 millions d'euros)
- Gamma : résidentiel neuf (20 millions d'euros)

Chaque SCPI est gérée par une équipe dédiée de 4 personnes. Une équipe transversale de conformité (2 personnes) et un directeur général complètent l'effectif. La SGP travaille avec 12 CGP distributeurs externes qui apportent des souscripteurs.

Organisation des utilisateurs et de leurs droits :

Ce que voit Marie quand elle se connecte :
- Les baux, DPE, états locatifs et documents d'actifs du fonds Alpha
- Les souscriptions des investisseurs Alpha
- Les extractions de données des documents Alpha
- Mais pas les documents de Beta ou Gamma — ils n'apparaissent tout simplement pas
- Pas les dossiers KYC détaillés — c'est le périmètre de l'équipe compliance

Ce que voit Nathalie quand elle se connecte :
- Tous les documents de tous les fonds, en lecture seule
- Tous les dossiers KYC et vérifications LCB-FT, en lecture et écriture
- Les alertes de screening (PEP, sanctions, bénéficiaires effectifs)
- Mais elle ne peut pas modifier les documents ni les extractions

Ce que voit Sophie (CGP distributeur) quand elle se connecte :
- Les documents de ses 80 clients investisseurs uniquement
- Les extractions liées à ces documents
- Le taux de complétude des dossiers de ses clients
- Mais rien des documents internes de la SGP, des documents des autres CGP, ni des vérifications de conformité

Conformité RGPD : les droits des personnes intégrés nativement

Le RGPD (Règlement Général sur la Protection des Données — règlement européen 2016/679, applicable depuis le 25 mai 2018, qui encadre le traitement des données personnelles des résidents de l'Union Européenne) accorde aux personnes concernées plusieurs droits fondamentaux. La CNIL (Commission Nationale de l'Informatique et des Libertés) a sanctionné en 2024 plusieurs entreprises pour non-respect de ces droits, avec des amendes allant jusqu'à 800 000 euros (source : CNIL, Rapport d'activité 2024, mars 2025).

Ragindeed intègre des mécanismes natifs pour répondre à chacune de ces obligations :

Droit d'accès (article 15 du RGPD) — Un investisseur peut demander la liste exhaustive de tous les documents le concernant et les données qui en ont été extraites. La plateforme Ragindeed permet d'exporter un rapport complet par investisseur : documents associés, métadonnées, extractions, historique de traitement, dates de consultation par chaque utilisateur.

Droit à l'effacement (article 17 du RGPD) — Sur demande légitime (et en l'absence d'obligation légale de conservation), tous les documents et données d'un investisseur peuvent être supprimés. L'effacement est en cascade : documents, fragments de texte indexés (chunks — morceaux de texte découpés pour permettre la recherche sémantique), représentations vectorielles (embeddings — traductions mathématiques du contenu textuel en séquences de nombres, utilisées pour la recherche par similarité), résultats d'extraction, fichiers de métadonnées synchronisés vers les sources externes. Un log d'effacement est conservé pour la traçabilité réglementaire, conformément aux recommandations de la CNIL (source : CNIL, Guide pratique : le droit à l'effacement, 2023).

Droit à la portabilité (article 20 du RGPD) — Les données structurées extraites peuvent être exportées en format JSON ou CSV, dans un format réutilisable par un autre système. Ce droit est particulièrement pertinent pour les investisseurs qui changent de CGP ou de SGP.

Minimisation des données (article 5 du RGPD) — Les métadonnées synchronisées vers les sources externes (SharePoint, OneDrive, Google Drive) peuvent être configurées pour exclure les données personnelles (numéros de carte d'identité, IBAN, adresses). Seules les métadonnées de classification et les scores de confiance sont transmises, jamais les données personnelles brutes.

Journalisation et piste d'audit

Chaque action dans Ragindeed est journalisée : qui a consulté quel document, qui a validé quelle extraction, qui a modifié quels droits, qui a exporté quelles données. Cette piste d'audit (audit trail — enregistrement chronologique et inaltérable de toutes les actions effectuées sur le système) est indispensable pour les inspections de l'AMF (Autorité des Marchés Financiers — régulateur des marchés financiers français) et de l'ACPR.

L'AMF exige dans sa doctrine AMF 2024-01 que les SGP conservent une traçabilité complète de tous les accès aux documents réglementaires (source : AMF, Doctrine AMF 2024-01 : Exigences de traçabilité documentaire pour les SGP, mars 2024).

Le journal conserve pour chaque événement :
- L'identité de l'utilisateur et son groupe d'appartenance
- L'horodatage précis (au millième de seconde, fuseau UTC)
- Le type d'action : lecture, écriture, suppression, export, modification de droits
- L'objet concerné : document, extraction, fiche investisseur, vérification LCB-FT
- L'adresse IP de connexion et l'identifiant du navigateur utilisé
- Le résultat de l'action : succès ou échec (et motif de l'échec le cas échéant)

La rétention des logs est configurable, avec un minimum de 5 ans recommandé par l'AMF pour les SGP et de 10 ans pour les opérations de souscription. Ces durées sont conformes aux exigences de l'article L.561-12 du Code monétaire et financier.

Analyse comparative : Ragindeed face aux alternatives du marché

Le marché de la gestion documentaire pour les acteurs financiers est mature mais fragmenté. Chaque solution adopte une philosophie différente en matière de droits d'accès. Nous avons analysé cinq alternatives majeures en comparant les critères pertinents pour une SGP immobilière ou un CGP.

SharePoint Online offre un modèle de permissions riche mais d'une complexité redoutable. La combinaison de permissions de site, de bibliothèque, de dossier, de fichier et de liens de partage crée des configurations parfois impossibles à auditer. Une étude Forrester de 2024 estime que 31 % des entreprises utilisant SharePoint ne savent pas exactement qui a accès à quoi (source : Forrester, The Zero Trust Framework Applied to Content Management, avril 2024). Pour une SGP soumise aux contrôles de l'AMF, cette opacité est un risque majeur. En revanche, l'intégration native avec Microsoft 365 et Teams en fait un choix naturel pour les organisations déjà équipées de l'écosystème Microsoft.

Zeendoc (éditeur français) propose un modèle simple — administrateur, utilisateur, lecture seule — parfaitement adapté aux petites structures (cabinets comptables, PME). Mais ce modèle à trois niveaux est insuffisant pour une SGP multi-fonds nécessitant un cloisonnement fin entre équipes de gestion, CGP distributeurs et compliance officers. Son avantage : le prix et la simplicité de mise en oeuvre.

DocuWare offre un modèle de sécurité robuste avec des classeurs bien structurés. Cependant, l'isolation multi-tenant repose sur des filtres logiciels, pas sur une séparation physique des bases. Pour les SGP traitant des données hautement sensibles (KYC, LCB-FT), cette architecture peut poser problème lors des audits réglementaires.

M-Files se distingue par une approche basée sur les métadonnées plutôt que sur les dossiers. Les droits sont déterminés par les propriétés du document (type, classification, confidentialité) plutôt que par son emplacement. Cette approche est conceptuellement proche du modèle ABAC décrit plus loin. En revanche, la courbe d'apprentissage est significative et le coût de licence élevé.

Box Enterprise propose une plateforme solide avec des certifications de sécurité reconnues (SOC 2, ISO 27001, FedRAMP). Box Shield ajoute une couche de classification automatique et de détection de menaces. Le principal inconvénient : le coût (Box Shield représente un surcoût de 40 % environ) et l'absence de spécialisation sectorielle pour la gestion d'actifs.

Tendances technologiques : ce qui va changer d'ici 2028

Le paysage de la gestion des droits d'accès évolue rapidement. Plusieurs tendances majeures vont transformer les pratiques actuelles dans les 3 à 5 prochaines années.

Zero-trust document security (sécurité sans confiance implicite)

Le modèle « zero-trust » (zéro confiance), conceptualisé par Forrester en 2010 et adopté par l'ANSSI dans ses recommandations 2024, repose sur un postulat radical : aucun utilisateur, aucun appareil, aucun réseau n'est digne de confiance par défaut. Chaque accès doit être vérifié, même s'il provient du réseau interne de l'entreprise.

Appliqué à la gestion documentaire, cela signifie que l'identité de l'utilisateur est vérifiée à chaque opération, pas seulement à la connexion. Le contexte de l'accès est analysé en temps réel : l'utilisateur se connecte-t-il depuis un appareil connu ? Depuis un pays inhabituel ? À une heure atypique ? Ce comportement est-il cohérent avec son profil habituel ?

Les règles d'accès de Ragindeed, évaluées dynamiquement à chaque requête et non mises en cache à la connexion, s'inscrivent nativement dans cette philosophie (source : Forrester, The Zero Trust Framework Applied to Content Management, avril 2024).

ABAC : le contrôle d'accès par attributs

Gartner prédit que d'ici 2027, 50 % des grandes organisations remplaceront les modèles RBAC (Role-Based Access Control — contrôle d'accès basé sur les rôles, où les permissions sont attribuées à des rôles prédéfinis comme « gestionnaire » ou « compliance officer ») par des modèles ABAC (Attribute-Based Access Control — contrôle d'accès basé sur les attributs, où les permissions sont déterminées dynamiquement par une combinaison de facteurs) (source : Gartner, Market Guide for Access Management 2024, août 2024).

Dans un modèle ABAC, la décision d'accès combine :
- Les attributs de l'utilisateur : rôle, département, ancienneté, habilitation
- Les attributs du document : type, classification, niveau de confidentialité, fonds associé
- Le contexte : heure, localisation géographique, appareil utilisé, réseau
- L'action demandée : lecture, modification, export, partage

Exemple : « Un gestionnaire d'actifs peut consulter les baux commerciaux de ses fonds, mais uniquement pendant les heures ouvrables, depuis le réseau de l'entreprise ou un VPN autorisé, et ne peut pas les exporter sur un appareil non enregistré. »

Les règles multi-critères de Ragindeed constituent déjà une forme d'ABAC, combinant le rôle de l'utilisateur, les propriétés du document et les relations d'assignation.

eIDAS 2.0 et le portefeuille européen d'identité numérique (EUDI Wallet)

Le règlement eIDAS 2.0 (Electronic IDentification, Authentication and trust Services — cadre juridique européen pour l'identification électronique et les services de confiance), adopté par le Parlement européen et le Conseil de l'UE en 2024, introduit le portefeuille européen d'identité numérique (European Digital Identity Wallet, ou EUDI Wallet).

D'ici 2026-2027, chaque citoyen européen pourra disposer d'un portefeuille numérique souverain, stocké sur son smartphone, contenant ses pièces d'identité, permis de conduire, diplômes et autres attestations certifiées. Ce portefeuille permettra une authentification forte sans recourir à des identifiants et mots de passe classiques (source : Commission Européenne, European Digital Identity Framework, règlement 2024/1183).

Pour les SGP et les CGP, l'impact sera considérable : un investisseur pourra prouver son identité de manière certifiée, sans transmettre de copie de sa carte d'identité. Le processus KYC sera simplifié et renforcé simultanément. Ragindeed prépare l'intégration de ces mécanismes d'authentification.

L'AI Act et les décisions automatisées

Le règlement européen sur l'intelligence artificielle (AI Act — règlement 2024/1689), entré en vigueur en août 2024 avec une application progressive jusqu'en 2027, impose des obligations de transparence et de traçabilité pour les systèmes d'IA utilisés dans des décisions ayant un impact sur les individus.

Pour les systèmes de gestion documentaire utilisant l'IA (classification automatique, extraction de données, détection de fraude), l'AI Act impose :
- Une documentation technique détaillée du fonctionnement de l'IA
- La possibilité pour un humain de comprendre et contester une décision automatisée
- La conservation des logs de décision pendant une durée minimale

La piste d'audit complète de Ragindeed, qui trace chaque extraction IA jusqu'au document source, à la page et à la zone précise, satisfait ces exigences de traçabilité (source : Parlement Européen, Artificial Intelligence Act, règlement 2024/1689, août 2024).

Souveraineté des données et exigences réglementaires renforcées

L'AMF et l'ACPR renforcent conjointement leurs exigences en matière de maîtrise des accès documentaires. Le rapport ASPIM 2024 (Association française des Sociétés de Placement Immobilier) révèle que 62 % des SGP considèrent le contrôle d'accès documentaire comme un critère prioritaire dans le choix d'une GED, devant le prix (48 %) et les fonctionnalités collaboratives (41 %) (source : ASPIM, Baromètre de la digitalisation des SGP 2024, novembre 2024).

Le programme DORA (Digital Operational Resilience Act — règlement européen 2022/2554 sur la résilience opérationnelle numérique du secteur financier), applicable depuis janvier 2025, renforce encore les exigences de maîtrise des risques liés aux prestataires informatiques et à la gestion des accès (source : Parlement Européen, Digital Operational Resilience Act, règlement 2022/2554).

Conclusion : la sécurité invisible mais active à chaque clic

La gestion des droits d'accès n'est pas un sujet technique accessoire. C'est un pilier réglementaire et opérationnel pour toute SGP ou CGP. Un modèle trop permissif expose à des sanctions qui se chiffrent en centaines de milliers d'euros. Un modèle trop restrictif paralyse les équipes et ralentit les processus métier.

L'équilibre de Ragindeed repose sur trois principes :
1. Des droits fins et configurables — adaptés aux rôles réels des SGP et CGP, pas à des profils génériques
2. Une isolation physique des données — pas un filtre logiciel, mais une séparation structurelle entre clients
3. Une traçabilité complète et automatique — chaque accès est journalisé sans effort supplémentaire pour l'utilisateur

Marie ouvre sa session et voit ses documents. Sophie ouvre la sienne et voit les dossiers de ses clients. Nathalie supervise la conformité de l'ensemble. C'est tout. La mécanique de sécurité est invisible pour eux, mais elle est active à chaque clic, à chaque requête, à chaque instant.

Références :
1. Gartner, Market Guide for Access Management 2024, août 2024
2. Forrester, The Zero Trust Framework Applied to Content Management, avril 2024
3. ANSSI, Recommandations de sécurité pour les architectures multi-tenants, juin 2023
4. AMF, Doctrine AMF 2024-01 : Exigences de traçabilité documentaire pour les SGP, mars 2024
5. ACPR, Rapport d'activité 2024 : contrôles et sanctions en matière de KYC, janvier 2025
6. ASPIM, Baromètre de la digitalisation des SGP 2024, novembre 2024
7. IDC, European Data Sovereignty and Cloud Compliance Report 2024, septembre 2024
8. McKinsey, The Future of Identity and Access Management in Financial Services, mai 2024
9. CNIL, Guide pratique : le droit à l'effacement, 2023
10. CNIL, Rapport d'activité 2024, mars 2025
11. NIST, Security and Privacy Controls for Information Systems and Organizations, SP 800-53 rév. 5, 2020
12. AIIM, Information Governance Best Practices, 2024
13. Commission Européenne, European Digital Identity Framework, règlement 2024/1183
14. Parlement Européen, Artificial Intelligence Act, règlement 2024/1689, août 2024
15. Parlement Européen, Digital Operational Resilience Act, règlement 2022/2554