Traçabilité : savoir qui a modifié quoi

Un tarif client modifié la veille d’une grosse commande, une fiche supprimée par erreur, un export complet de la base un vendredi soir : dans beaucoup d’outils de PME, personne ne peut dire qui a fait quoi. La traçabilité répond à cette question. Elle sert à la sécurité, au contrôle interne et au simple bon sens quand une donnée change sans explication. Voici ce qu’il faut tracer, combien de temps le conserver et comment je l’intègre à une application métier.

Ce qu’un journal doit enregistrer

Un journal utile répond à cinq questions pour chaque événement : qui (l’utilisateur et non un compte partagé), quoi (la fiche ou l’objet concerné), quelle action (création, modification, suppression, consultation sensible, export), quand (date et heure précises) et avec quel résultat (valeur avant, valeur après).

La CNIL a publié une recommandation relative aux mesures de journalisation (délibération n° 2021-122 du 14 octobre 2021). Elle vise la journalisation des actions d’accès, de création, de modification et de suppression sur les traitements de données personnelles (source consultée en octobre 2026).

Combien de temps garder les traces

Garder les journaux indéfiniment n’est ni utile ni conforme : ils contiennent eux-mêmes des données personnelles. La même recommandation de la CNIL retient une durée de six mois à un an dans le cas général. Une durée plus longue, jusqu’à trois ans dans les cas les plus courants, peut se justifier pour des traitements soumis à des mesures de contrôle interne, à condition de documenter pourquoi.

En pratique, je prévois deux niveaux : un journal consultable dans l’application sur la période utile, puis un archivage ou une suppression automatique au-delà. La durée exacte se décide avec vous et idéalement avec votre DPO. Ces éléments sont factuels et tirés du texte de la CNIL ; ils ne remplacent pas l’avis d’un juriste sur votre situation.

Comment je le mets en place techniquement

Il existe deux grandes façons de tracer et je combine souvent les deux.

1. Le journal au niveau de la base de données. Avec PostgreSQL (le moteur de Supabase, que j’utilise), des déclencheurs enregistrent chaque modification d’une table sensible, quel que soit le chemin emprunté : écran, import, API. Rien n’échappe au journal.
2. Le journal au niveau de l’application. Il enregistre les actions « métier » qui ont du sens pour vous : « devis validé », « remise accordée », « export du fichier clients ». C’est ce journal qu’un responsable lit.

Trois règles complètent le dispositif :

• Un compte par personne. Un compte « commercial » partagé par cinq personnes rend toute traçabilité inutile.
• Un journal en ajout seul. L’application écrit, mais personne ne modifie ni ne supprime, pas même un administrateur ordinaire.
• Des écrans de consultation : historique d’une fiche (« qui a changé ce prix ? ») et vue globale filtrable pour le responsable sécurité ou la direction.

Ce que ça coûte

La traçabilité se chiffre au cadrage, comme une partie de la sécurité de l’outil.

Le stockage des journaux reste en général un poste modeste de l’hébergement, sauf volumes très importants. Pour une fourchette adaptée à votre outil, utilisez l’estimateur.

Quand ce n’est pas nécessaire

Tout ne mérite pas un journal détaillé. Pour un outil interne utilisé par trois personnes sur des données non sensibles, un simple historique « modifié le … par … » sur chaque fiche suffit souvent. Et si vous utilisez un logiciel du marché qui propose déjà un historique d’audit, la bonne décision est de l’activer et de le consulter, pas de reconstruire.

À l’inverse, le journal devient indispensable dès que l’outil touche à l’argent (prix, remises, paiements), aux données personnelles sensibles, ou qu’il est utilisé par des personnes extérieures à l’entreprise. Il va de pair avec la gestion des droits par rôle et la double authentification : savoir qui a fait quoi n’a de sens que si chaque personne a un compte sûr et des droits limités.

Par où commencer

1. Listez les données qui comptent : prix, conditions commerciales, coordonnées bancaires, données RH.
2. Vérifiez ce que vos outils actuels tracent déjà : souvent, l’historique existe mais personne ne le consulte.
3. Décidez qui lit le journal, à quelle fréquence et combien de temps il est conservé.
4. Pour une application sur-mesure, intégrez la traçabilité au cahier des charges dès le départ. C’est ce que je fais dans le cadrage d’une application métier : la rajouter après coup coûte plus cher et laisse des trous.