Conserver un document ne suffit pas à en faire une preuve. Le coffre-fort numérique répond à cette exigence précise, avec un cadre légal et des garanties techniques qui le distinguent radicalement d’un simple espace de stockage en ligne.
Le problème que résout un coffre-fort numérique, et pourquoi un dossier partagé ne suffit pas
Beaucoup d’entreprises pensent avoir résolu leur problème de conservation documentaire dès lors qu’un fichier est accessible en ligne, protégé par un mot de passe et sauvegardé sur un serveur distant. Cette conviction est fausse, et elle peut coûter cher lors d’un contrôle fiscal, d’un contentieux commercial ou d’un litige prud’homal.
Le problème que résout un coffre-fort numérique n’est pas la perte physique d’un document. Il est bien plus précis : comment prouver, des années après son dépôt, qu’un document n’a pas été modifié, qu’il existait bien à une date donnée, et que seules les personnes autorisées y ont eu accès ? Un dossier partagé, même chiffré, même verrouillé derrière une authentification renforcée, ne répond à aucune de ces trois questions.
Prenons un exemple posé comme hypothèse. Une TPE conserve ses factures dans un dossier partagé en ligne, accessible à son comptable. Lors d’un contrôle fiscal portant sur l’exercice N-3, l’administration demande de produire les factures originales avec preuve de leur intégrité depuis leur émission. Le dossier partagé peut afficher les fichiers. Il ne peut pas prouver que ces fichiers n’ont pas été modifiés après leur création, ni que personne d’autre ne les a consultés, ni qu’ils existaient bien à la date inscrite sur chaque facture. La différence entre stocker et conserver avec valeur probante est là, et elle est décisive.
Un coffre-fort numérique intervient à l’aval du processus documentaire. Il n’est pas conçu pour travailler sur un document, le modifier, le partager en temps réel ou le faire circuler dans un workflow. Il est conçu pour figer un document à un instant précis, l’y sceller, enregistrer chaque consultation, et garantir qu’une restitution des années plus tard sera identique à ce qui a été déposé. C’est cette fonction précise, et uniquement celle-là, qui lui confère une valeur juridique que nul dossier partagé ne peut revendiquer.
Un dossier partagé protégé par mot de passe n’offre aucune garantie d’intégrité opposable. Ses métadonnées (dates de création, de modification) proviennent de la machine qui a produit le fichier, non d’une autorité de confiance. Chaque collaborateur disposant des droits peut modifier ou supprimer un fichier sans que cette opération soit enregistrée de façon inaltérable. En cas de litige, la partie adverse peut contester l’authenticité de chaque document produit depuis cet espace, et elle aura de solides arguments pour le faire.
Quatre notions à ne pas confondre
Le terme « coffre-fort numérique » est régulièrement utilisé pour désigner des réalités très différentes. Cette confusion n’est pas anodine : elle conduit des entreprises à croire qu’elles sont en conformité alors qu’elles ne le sont pas. Voici les quatre notions que l’on mélange le plus souvent, avec ce que chacune garantit, et surtout ce qu’elle ne garantit pas.
Le stockage en ligne
Un service de stockage en ligne permet de déposer, de télécharger, de partager et de synchroniser des fichiers sur des serveurs distants. Sa finalité est la commodité et la collaboration : accéder à ses fichiers depuis n’importe quel appareil, les partager facilement, travailler à plusieurs sur les mêmes documents. Ces services sont conçus pour la fluidité, pas pour l’immutabilité.
Ce qu’il garantit : la disponibilité des fichiers, leur synchronisation entre appareils, la possibilité de restaurer des versions antérieures pendant une période limitée définie contractuellement par le prestataire.
Ce qu’il ne garantit pas : l’intégrité au sens juridique du terme (le fichier peut être modifié ou supprimé sans trace opposable), l’horodatage qualifié certifié par une autorité reconnue, le journal d’accès inaltérable, et la valeur probante devant un juge ou un contrôleur fiscal. Les conditions générales de ces plateformes excluent explicitement toute garantie de ce type.
Le coffre-fort numérique
Un coffre-fort numérique est un service juridiquement défini, introduit en droit français par la loi pour une République numérique du 7 octobre 2016, codifié à l’article L. 103 du Code des postes et des communications électroniques. Sa finalité est la conservation sécurisée de documents figés, avec des garanties techniques et juridiques précises qui lui confèrent une valeur probante.
Ce qu’il garantit : l’intégrité du document depuis son dépôt (via une empreinte cryptographique recalculable à tout moment), la traçabilité de chaque accès et opération dans un journal inaltérable, la confidentialité (le prestataire lui-même ne peut pas accéder aux documents en clair), la disponibilité et la restitution dans un format exploitable, et la pérennité sur des durées longues.
Ce qu’il ne garantit pas : il ne classe pas les documents à votre place, ne définit pas vos politiques de conservation, ne remplace pas un système d’archivage électronique complet pour les besoins organisationnels les plus exigeants, et ne vaut que si les mécanismes techniques sont effectivement mis en oeuvre par un prestataire sérieux ayant fait auditer sa solution.
Le système d’archivage électronique à valeur probante
Le système d’archivage électronique, désigné par l’acronyme SAE, est un dispositif organisationnel et technique plus large que le coffre-fort numérique. Sa norme de référence en France est la NF Z42-013. Sa finalité est de gérer l’ensemble du cycle de vie d’un document depuis son versement jusqu’à son élimination ou sa conservation définitive, avec un plan de classement, des profils de conservation, des procédures de migration et une traçabilité de bout en bout.
Ce qu’il garantit : la valeur probante des documents archivés avec présomption d’intégrité et d’authenticité, la gestion des durées de conservation réglementaires sur l’ensemble de leur cycle de vie, la pérennisation des formats documentaires, et la capacité à produire des archives opposables lors d’un contrôle ou d’un litige.
Ce qu’il ne garantit pas : il n’est pas conçu en priorité pour une restitution individuelle à un utilisateur final (comme le salarié qui consulte ses bulletins de paie), et sa mise en oeuvre est plus complexe et plus coûteuse qu’un coffre-fort numérique. Les deux solutions sont complémentaires, non substituables : le coffre-fort numérique peut être une brique au sein d’un SAE plus large.
Le gestionnaire de mots de passe
Un gestionnaire de mots de passe stocke et chiffre des identifiants et des secrets d’authentification. Sa finalité est de simplifier et de sécuriser l’accès à des comptes en ligne. Il n’a aucun rapport avec la conservation documentaire au sens légal.
Ce qu’il garantit : la sécurité et la mémorisation des identifiants, la génération de mots de passe forts, parfois la gestion de notes sensibles dans un environnement chiffré.
Ce qu’il ne garantit pas : aucune valeur probante, aucune gestion documentaire, aucune conservation de fichiers avec intégrité opposable, aucun horodatage qualifié, aucun journal d’accès inaltérable. Le mentionner ici peut sembler superflu, mais la confusion existe dès lors que certains outils se présentent comme des « coffres-forts » en amalgamant stockage de fichiers et gestion de mots de passe dans une même interface.
Le tableau ci-dessous synthétise les différences essentielles entre ces quatre notions.
| Critère | Stockage en ligne | Coffre-fort numérique | SAE à valeur probante | Gestionnaire de mots de passe |
|---|---|---|---|---|
| Finalité principale | Disponibilité et collaboration | Conservation sécurisée, restitution individuelle | Archivage institutionnel à long terme | Sécurisation des accès |
| Norme de référence | Aucune norme probante | NF Z42-020 | NF Z42-013 | Aucune |
| Intégrité garantie | Non | Oui (empreinte cryptographique) | Oui (présomption légale) | Non applicable |
| Horodatage qualifié | Non | Oui (eIDAS) | Oui | Non |
| Journal d’accès inaltérable | Non | Oui | Oui | Non |
| Valeur probante | Faible à nulle | Forte (si certifié) | Très forte | Aucune |
| Accès prestataire aux données | Techniquement possible | Non (chiffrement côté client) | Selon configuration | Non (chiffrement local) |
| Réversibilité encadrée | Variable selon contrat | Imposée par décret | Oui | Variable |
Les garanties attendues d’un coffre-fort numérique
Identifier un vrai coffre-fort numérique parmi les offres du marché suppose de savoir précisément quelles garanties techniques il doit apporter. En voici les cinq principales, chacune correspondant à une exigence technique précise et vérifiable.
Intégrité et scellement
Au moment où un document est déposé dans le coffre-fort, le système calcule une empreinte cryptographique de ce fichier, généralement via un algorithme de hachage de type SHA-256 ou supérieur. Cette empreinte est l’équivalent d’une empreinte digitale du document : unique, non réversible, et directement liée au contenu exact du fichier à l’octet près. Si un seul caractère est modifié après le dépôt, l’empreinte recalculée sera différente, rendant toute falsification mathématiquement détectable.
Le scellement verrouille le document dans cet état précis. Associé à un horodatage qualifié, il fige simultanément le contenu et la date. C’est cette combinaison qui permet de répondre à la question posée par l’article 1366 du Code civil : le document est-il conservé dans des conditions garantissant son intégrité ? Un document scellé dans un coffre-fort conforme répond positivement à cette question, là où un fichier stocké sur un serveur ordinaire ne le peut pas.
Confidentialité et chiffrement
La confidentialité dans un coffre-fort numérique va plus loin que le chiffrement classique proposé par les services de stockage ordinaires. La CNIL a posé un principe directeur : dans un service de coffre-fort numérique conforme, le prestataire lui-même ne doit pas pouvoir accéder aux données en clair. Les documents doivent être chiffrés, et la clé de déchiffrement doit rester sous la maîtrise de l’utilisateur, non du prestataire.
Cette exigence est fondamentale et souvent mal comprise. Elle signifie que même en cas de compromission des systèmes du prestataire, les documents restent illisibles pour un tiers non autorisé. En pratique, cette architecture repose sur une gestion des clés rigoureuse, souvent adossée à des modules matériels de sécurité qui protègent les secrets cryptographiques contre toute extraction non autorisée, y compris par les équipes internes du prestataire.
Traçabilité des accès
Chaque opération réalisée sur un document conservé dans un coffre-fort numérique doit être enregistrée dans un journal inaltérable : dépôt, consultation, téléchargement, tentative d’accès refusée, suppression programmée. Ce journal doit être horodaté, signé cryptographiquement, et inaccessible en modification, même pour les administrateurs du système du prestataire.
Cette traçabilité est à la fois une garantie juridique (elle permet de démontrer qui a accédé à quoi et quand, avec une preuve opposable) et une garantie de sécurité (elle permet de détecter des accès anormaux et d’en conserver la preuve). Elle rejoint les exigences du règlement général sur la protection des données en matière de sécurité des traitements, pour lesquelles la CNIL publie des recommandations.
Disponibilité et réversibilité
Un coffre-fort numérique n’est utile que si les documents qu’il contient sont restituables dans un format exploitable, à tout moment, et quel que soit l’état de la relation contractuelle avec le prestataire. La réversibilité est encadrée par le décret du 30 mai 2018 : le prestataire doit permettre à l’utilisateur de récupérer l’intégralité de ses données dans un format réutilisable, avec leurs métadonnées probantes. Cette obligation existe indépendamment de la raison de la fin du contrat.
La disponibilité implique des engagements de niveau de service contractuels (SLA), des redondances géographiques des serveurs, et des procédures de reprise en cas d’incident technique. Un coffre-fort dont les documents seraient inaccessibles au moment précis d’un contrôle fiscal ou d’un litige ne remplirait pas sa mission fondamentale, quelle que soit la qualité de ses mécanismes d’intégrité.
Cloisonnement des droits
Le cloisonnement des droits signifie que l’accès à chaque document est strictement limité aux personnes expressément autorisées, selon des règles définies et vérifiables. Un salarié n’accède qu’à son propre espace personnel. Un administrateur peut gérer les comptes sans pouvoir consulter les contenus des coffres individuels. Un auditeur peut vérifier les journaux d’accès sans pouvoir modifier les documents. Cette architecture de permissions granulaires doit être documentée et auditée régulièrement.
Ce cloisonnement est particulièrement critique lorsqu’un coffre-fort héberge à la fois des documents de l’entreprise et des documents personnels des salariés. Les deux espaces doivent être hermétiquement séparés, avec des règles d’accès distinctes et vérifiables. Un mélange entre ces deux catégories constitue l’une des erreurs les plus fréquentes et les plus lourdes de conséquences, tant sur le plan du RGPD que sur celui du droit du travail.
Les deux grandes familles d’usage
La distinction entre ces deux familles n’est pas secondaire : les règles qui s’y appliquent, notamment sur la propriété des données et le maintien de l’accès après le départ d’un salarié, sont fondamentalement différentes. Les confondre dans un même dispositif sans cloisonnement est une erreur organisationnelle et juridique aux conséquences sérieuses.
La première famille est le coffre-fort de l’entreprise pour ses propres documents. L’entreprise est ici propriétaire des données, responsable de traitement au sens du RGPD, et décisionnaire sur les durées de conservation, les droits d’accès et les politiques d’élimination. Elle y conserve ses factures, ses contrats commerciaux, ses documents comptables, ses actes juridiques, ses procès-verbaux. Les documents qui y sont déposés appartiennent à l’organisation, pas aux individus qui les ont produits ou qui y ont accès dans le cadre de leurs fonctions.
La deuxième famille est le coffre-fort mis à disposition des salariés pour leurs documents personnels. La logique est ici inverse : l’entreprise fournit le service, mais le salarié est propriétaire de son espace. Les bulletins de paie, les contrats de travail, les attestations diverses appartiennent au salarié. Le Code du travail encadre la mise à disposition de ce coffre-fort et le maintien de l’accès après la fin du contrat de travail. Sans qu’il soit possible de citer ici un article précis ni un délai chiffré, il convient de se référer aux textes en vigueur, qui posent des obligations claires sur ce point.
Cette distinction a des conséquences pratiques majeures. Lorsqu’un salarié quitte l’entreprise, son accès au coffre-fort personnel doit être maintenu selon les modalités prévues par les textes, indépendamment de la volonté de l’employeur. L’employeur ne peut pas fermer cet accès comme il fermerait un compte de messagerie professionnelle. Le document déposé dans le coffre salarié ne lui appartient pas : il appartient au salarié, et ce dernier doit pouvoir y accéder même après la rupture du contrat de travail, pour ses démarches futures (retraite, demande de financement, contentieux éventuel).
À l’inverse, les documents de l’entreprise déposés dans le coffre de l’organisation restent sous le contrôle exclusif de celle-ci. Le départ d’un salarié ne modifie en rien les droits sur ces documents. Cette séparation doit être garantie techniquement et organisationnellement dès la mise en place du dispositif, et non ajoutée après coup lorsque les problèmes surviennent.
Les documents qui justifient un coffre-fort numérique
Tous les documents ne nécessitent pas un coffre-fort numérique. La pertinence de l’outil dépend de l’enjeu associé au document, de la durée de conservation applicable et du niveau de preuve exigé en cas de contrôle ou de litige. Voici une cartographie des principaux types de documents concernés.
| Type de document | Enjeu principal | Durée de conservation applicable | Niveau de protection requis |
|---|---|---|---|
| Factures émises et reçues | Contrôle fiscal, preuve de transaction commerciale | 10 ans (article L123-22 du Code de commerce) ; 6 ans en matière fiscale (article L102 B du Livre des procédures fiscales) | Élevé : intégrité, horodatage qualifié, journal d’accès |
| Documents comptables et pièces justificatives | Contrôle fiscal, audit externe, litige commercial | 10 ans (article L123-22 du Code de commerce) | Élevé : intégrité et restitution dans le format d’origine |
| Pièces justificatives fiscales | Droit de contrôle de l’administration fiscale | 6 ans (article L102 B du Livre des procédures fiscales) | Élevé : disponibilité immédiate sur demande de l’administration |
| Contrats commerciaux | Preuve des engagements contractuels, litige | Durée du contrat augmentée de la prescription de droit commun applicable | Élevé : intégrité, identification des signataires, horodatage |
| Bulletins de paie (espace salarié) | Droits du salarié, preuve de rémunération, contentieux prud’homal | Très longue durée selon les textes en vigueur (droit applicable à consulter) | Très élevé : accès exclusif au salarié, maintien impératif après départ |
| Contrats de travail et avenants | Preuve des conditions d’emploi, litige prud’homal | Durée de la relation de travail et au-delà, selon la prescription applicable | Élevé : intégrité, cloisonnement entre espace salarié et espace employeur |
| Actes constitutifs et statuts | Preuve de l’existence et de la structure juridique de l’entreprise | Durée de vie de l’entreprise et au-delà | Moyen à élevé selon la nature des actes |
| Procès-verbaux d’assemblée | Gouvernance, preuve des décisions prises, litige entre associés | Durée de vie de l’entreprise et au-delà | Élevé : intégrité et horodatage permettant de dater les décisions |
Le cadre légal
Le coffre-fort numérique s’inscrit dans un ensemble de textes qui se complètent et forment un cadre cohérent. En comprendre l’articulation est indispensable pour savoir ce qu’on est en droit d’exiger d’un prestataire et ce qu’on risque en l’absence de conservation conforme.
L’article 1366 du Code civil pose le principe fondateur de toute la construction juridique. L’écrit électronique a la même force probante que l’écrit sur support papier, à deux conditions cumulatives : la personne dont il émane doit pouvoir être dûment identifiée, et le document doit être établi et conservé dans des conditions de nature à en garantir l’intégrité. Ces deux conditions ne sont pas automatiquement remplies par un fichier électronique. Elles supposent des mécanismes techniques précis : identification de l’auteur, scellement cryptographique, horodatage certifié, journal d’accès. Un fichier stocké sur un serveur ordinaire ne satisfait pas ces conditions. Un document déposé dans un coffre-fort numérique conforme, lui, les satisfait, et peut donc être produit comme preuve avec la même force probante qu’un document papier.
L’implication concrète est la suivante : si votre entreprise produit ou reçoit des documents dont la valeur juridique pourrait un jour être contestée, la simple conservation sur un serveur ou un espace de stockage ordinaire ne suffit pas à les défendre en cas de litige ou de contrôle. C’est une question de preuve, pas de bonne foi.
L’article L102 B du Livre des procédures fiscales impose une durée de conservation de six ans pour les pièces qui permettent à l’administration fiscale d’exercer son droit de contrôle. Cette durée court à compter de la dernière opération concernée par les documents. Elle s’applique notamment aux factures, aux déclarations fiscales et aux pièces justificatives utilisées pour établir ces déclarations. Pendant toute cette période, l’administration peut demander la production de ces documents, et ils doivent être restituables dans leur format d’origine, sans altération.
L’article L123-22 du Code de commerce porte cette durée à dix ans pour les documents comptables et les pièces justificatives. Cette durée est calculée à partir de la clôture de l’exercice auquel les documents se rapportent. En pratique, conserver dix ans couvre la durée fiscale de six ans, et c’est la règle à retenir pour les documents comptables. Un document présenté lors d’un contrôle fiscal avec preuve de son intégrité depuis son dépôt satisfait simultanément aux deux exigences.
La norme NF Z42-020 définit les exigences techniques du composant coffre-fort numérique. Elle spécifie les fonctions d’intégrité (mécanismes cryptographiques garantissant qu’un document déposé n’est pas modifié sans détection), les fonctions de traçabilité (journalisation exhaustive des opérations) et les fonctions de restitution (export des documents et de leurs métadonnées probantes vers l’utilisateur ou un tiers). La certification NF Z42-020 n’est pas légalement obligatoire, mais elle constitue le référentiel de fait qui distingue les prestataires dont la solution a été auditée par un organisme indépendant des simples outils de stockage qui revendiquent abusivement le terme « coffre-fort numérique ».
Le règlement eIDAS n° 910/2014 fournit le cadre européen pour l’horodatage électronique qualifié et le cachet électronique. L’horodatage qualifié au sens d’eIDAS certifie, par une autorité de confiance reconnue au niveau européen, la date et l’heure exactes auxquelles un document a été déposé dans un état donné. Cette certification est opposable aux tiers dans tous les États membres de l’Union européenne. Elle constitue l’un des piliers de la valeur probante d’un document conservé dans un coffre-fort numérique, en apportant la certitude de la date que ne peut fournir aucun autre mécanisme non certifié.
Le RGPD appliqué au coffre-fort numérique
Un coffre-fort numérique d’entreprise contient presque toujours des données à caractère personnel : noms et prénoms des contractants, données de rémunération dans les bulletins de paie, coordonnées bancaires dans les factures, identifiants fiscaux. Sa mise en oeuvre constitue donc un traitement de données personnelles au sens du règlement général sur la protection des données, dit RGPD, et toutes les obligations qui en découlent s’appliquent intégralement.
Le principe de finalité déterminée impose que les données traitées dans le coffre-fort le soient pour une finalité précise, clairement définie avant le dépôt. Conserver une facture pour satisfaire à l’obligation de conservation fiscale est une finalité légitime et déterminée. Stocker des documents dans un coffre-fort sans avoir défini à quoi ils servent ni combien de temps ils doivent y rester est une pratique non conforme au RGPD.
Le principe de minimisation s’applique de façon stricte. Seuls les documents strictement nécessaires à la finalité poursuivie doivent être déposés dans le coffre-fort. Il ne doit pas devenir un entrepôt généraliste où l’on dépose tout ce qu’on ne sait pas où ranger. Chaque document déposé doit pouvoir être justifié par une finalité précise et une base légale identifiée.
La durée de conservation limitée est un principe fondamental du RGPD. Les données personnelles ne peuvent pas être conservées indéfiniment. Chaque type de document doit être associé à une durée de conservation définie, à l’issue de laquelle les données doivent être effacées ou anonymisées. Cette durée doit être documentée dans le registre des traitements de l’entreprise. Attention : la durée de conservation au sens du RGPD suit une logique de minimisation, distincte de la durée d’archivage probant imposée par le Code de commerce ou le Livre des procédures fiscales. Un document peut devoir être conservé dix ans pour des raisons comptables tout en devant voir ses données personnelles restreintes ou anonymisées après la fin de leur utilité opérationnelle. L’articulation de ces deux logiques doit être documentée. La CNIL publie des ressources pour aider les responsables de traitement à définir ces durées et leur articulation.
Le droit d’accès des personnes concernées doit pouvoir être exercé. Si un salarié demande à consulter les données personnelles le concernant conservées dans le coffre-fort, l’entreprise doit être en mesure de les identifier, de les extraire et de les communiquer dans des délais raisonnables. Un coffre-fort bien paramétré, avec une indexation claire des documents par personne concernée, facilite cet exercice et réduit le risque de manquement.
Le cas particulier des documents des salariés mérite une attention spécifique. Lorsque l’entreprise met un coffre-fort à disposition d’un salarié pour ses documents personnels (bulletin de paie, contrat de travail, attestations), le salarié est l’utilisateur principal de cet espace et ses données lui appartiennent. L’entreprise doit l’informer de cette mise à disposition, des conditions d’accès, des documents qui y seront déposés et de ses droits, notamment le droit de récupérer ses documents à tout moment. Cette information doit être réelle et compréhensible, pas seulement noyée dans des conditions générales inaccessibles.
Le prestataire de coffre-fort numérique agit comme sous-traitant au sens du RGPD. Un contrat de sous-traitance conforme doit encadrer cette relation, précisant les obligations du prestataire en matière de sécurité, de confidentialité, d’assistance aux droits des personnes et de suppression des données en fin de contrat. Pour toute question relative à la conformité d’un traitement de données dans le cadre d’un coffre-fort numérique, la CNIL est l’autorité de référence en France et publie des recommandations spécifiques sur ce service.
Comment choisir un prestataire
Le marché des coffres-forts numériques est hétérogène. Certains prestataires proposent des solutions dont la conformité a été vérifiée par un tiers indépendant, avec des mécanismes techniques robustes et des engagements contractuels précis. D’autres mettent un espace de stockage chiffré derrière un logo rassurant et un vocabulaire qui emprunte au coffre-fort numérique sans en respecter les exigences. La grille de critères ci-dessous permet de faire la différence avant de signer.
| Critère | Ce qu’il faut vérifier | Pourquoi c’est important |
|---|---|---|
| Localisation des données | Hébergement en France ou dans l’Union européenne, documenté contractuellement et vérifiable | Exigence du RGPD ; protection contre les législations d’accès extraterritoriaux qui s’appliqueraient à des serveurs hors UE |
| Chiffrement et détention des clés | Qui détient les clés de chiffrement ? Le prestataire seul, ou le client maîtrise-t-il ses propres clés ? | Si le prestataire seul détient les clés, il peut techniquement accéder aux données. La CNIL recommande que la clé reste sous la maîtrise du client. C’est le critère le plus souvent négligé et le plus décisif. |
| Traçabilité | Existence d’un journal d’accès inaltérable, consultable et exportable par le client à tout moment | Sans journal opposable, aucune preuve des opérations réalisées ne peut être produite en cas de litige ou de contrôle |
| Réversibilité | Format d’export des données, délai de mise à disposition, coût éventuel de sortie, maintien de l’accès après résiliation | Encadrée par décret. Une sortie impossible ou coûteuse crée une dépendance totale qui peut devenir critique en cas de faillite ou de rachat du prestataire |
| Certifications revendiquées | Certification NF Z42-020 délivrée par un organisme accrédité, ou équivalent audité de façon indépendante et vérifiable | Une autodéclaration de conformité sans audit externe par un tiers accrédité ne vaut rien en cas de contentieux ou de contrôle |
| Solidité économique du prestataire | Ancienneté de l’entreprise, références vérifiables, modèle économique stable, plan de continuité documenté en cas de cessation d’activité | Un prestataire qui cesse son activité expose ses clients à des difficultés d’accès à leurs documents. Le décret impose des garanties, mais mieux vaut sélectionner un prestataire pérenne |
| Conditions de fin de contrat | Que se passe-t-il à la résiliation ? Quand les données sont-elles restituées ? Sont-elles ensuite effectivement effacées chez le prestataire ? | Ces clauses définissent si vous restez maître de vos documents ou si vous en perdez le contrôle au moment où vous en avez le plus besoin |
| Niveau de service (SLA) | Disponibilité garantie (taux exprimé en pourcentage annuel), délais de restitution, support technique, pénalités contractuelles en cas de manquement | Un coffre-fort inaccessible au moment précis d’un contrôle fiscal ou d’une procédure contentieuse ne remplit pas sa mission fondamentale |
La question de la détention des clés de chiffrement mérite qu’on s’y attarde plus longuement, car elle est systématiquement sous-estimée lors des achats. Si le prestataire détient seul les clés, il peut techniquement déchiffrer vos documents. En cas de compromission de ses systèmes, vos données sont exposées. En cas de procédure judiciaire visant le prestataire, vos documents peuvent être saisis dans le cadre de cette procédure. En cas de faillite, la récupération de vos données dans un format exploitable peut être compromise si le plan de réversibilité des clés n’a pas été prévu contractuellement. Un coffre-fort dont les clés sont détenues uniquement par le prestataire, sans mécanisme clair de réversibilité, est un coffre-fort dont vous n’avez pas réellement le contrôle : vous déposez, mais c’est le prestataire qui garde la clé du coffre.
La réversibilité : ce qu’il faut exiger avant de déposer le premier document
La réversibilité est la capacité à récupérer l’intégralité de vos documents, dans un format exploitable, accompagnés de leurs preuves d’intégrité (empreinte cryptographique, jeton d’horodatage, journal des accès), à tout moment, sans délai prohibitif et sans coût dissuasif. Elle est encadrée par le décret du 30 mai 2018 pour ce qui concerne les services de coffre-fort numérique, qui impose au prestataire d’organiser la récupération des données en cas de cessation du service.
Cette clause ne se négocie jamais à la fin d’un projet, et c’est précisément là que réside le piège. Lorsque vous avez déposé plusieurs milliers de documents dans un coffre-fort pendant plusieurs années, votre dépendance au prestataire est totale. Vous n’êtes plus en position de force pour négocier les conditions de sortie. Si les modalités de réversibilité n’ont pas été définies contractuellement dès la signature initiale, vous découvrirez au moment de partir que l’export est facturé plusieurs milliers d’euros, que le format de restitution est propriétaire et inexploitable par un autre système, ou que le délai annoncé est de plusieurs semaines, incompatible avec un changement de prestataire ordonné.
Ce qu’il faut exiger contractuellement, avant de signer et avant de déposer le premier document, peut être résumé ainsi : le format d’export doit être ouvert, documenté et interopérable (PDF/A, XML standardisé, ou tout format réutilisable sans dépendance à un outil propriétaire) ; les métadonnées probantes (empreinte cryptographique, jeton d’horodatage, journal des accès) doivent être incluses dans chaque export ; le délai de restitution doit être défini contractuellement et garanti (en heures pour les lots courants, avec une procédure d’urgence documentée) ; le coût de l’export doit être nul ou plafonné à un montant raisonnable, indépendamment du volume ; le maintien de l’accès en lecture doit être garanti pendant une période minimum après résiliation du contrat ; et l’effacement effectif et certifié des données chez le prestataire après l’export doit être confirmé par écrit, avec un engagement de non-conservation.
Il est fortement recommandé de tester la réversibilité dès les premiers mois d’utilisation du coffre-fort, sur un lot de documents représentatif. Un export difficile à réaliser aujourd’hui, avec quelques dizaines de documents, deviendra ingérable avec dix ans d’archives contenant plusieurs milliers de fichiers. Ce test précoce révèle les difficultés techniques et contractuelles au moment où elles peuvent encore être corrigées.
Ce qu’un coffre-fort numérique ne règle pas
Un coffre-fort numérique est un outil de conservation. Ce n’est pas un outil d’organisation, ni un outil de décision, ni un outil de pilotage documentaire. Cette distinction est importante car elle définit ce que l’entreprise doit mettre en place par elle-même, indépendamment du coffre-fort, pour que l’ensemble du dispositif soit réellement efficace.
Il ne classe pas à votre place. Un document déposé sans indexation correcte, sans métadonnées pertinentes et sans plan de classement préalable sera peut-être intègre et horodaté, mais il sera introuvable lors d’un contrôle ou d’un litige. La valeur probante d’un document qu’on ne retrouve pas au moment précis où on en a besoin est nulle en pratique. Le coffre-fort préserve les documents que vous avez su organiser avant d’y accéder. Il ne compense pas l’absence d’organisation documentaire en amont.
Il ne définit pas votre politique de conservation. Combien de temps conserve-t-on un contrat de prestation de services ? À quelle date déclenche-t-on l’effacement d’un document qui ne relève plus d’une obligation légale ? Qui est habilité à valider la suppression d’un document sensible ? Qui revoit les droits d’accès et selon quelle périodicité ? Ces questions relèvent d’une politique documentaire que l’entreprise doit rédiger, valider et appliquer de façon rigoureuse. Le coffre-fort peut exécuter cette politique si elle lui est correctement paramétrée. Il ne l’inventera pas.
Il ne remplace pas une organisation documentaire. La mise en place d’un coffre-fort numérique sans politique de conservation écrite, sans plan de classement des documents, sans procédure de dépôt et sans revue périodique des droits d’accès est une fausse sécurité. L’outil est techniquement solide, mais s’il est alimenté sans méthode, il reproduit le désordre documentaire de l’entreprise dans un environnement chiffré et horodaté. Le résultat est une archive inutilisable malgré des garanties d’intégrité parfaites.
Les erreurs fréquentes
Les erreurs ci-dessous sont celles que l’on rencontre lorsqu’une entreprise met en place un dispositif de conservation numérique sans avoir suffisamment anticipé les contraintes organisationnelles, techniques et juridiques.
- Confondre le coffre-fort avec une sauvegarde. Une sauvegarde protège contre la perte accidentelle de données. Un coffre-fort garantit l’intégrité probante d’un document figé. Les deux répondent à des besoins différents et sont complémentaires, non substituables. Une entreprise qui pense être protégée parce qu’elle effectue des sauvegardes automatiques n’a pas de coffre-fort numérique, et n’est pas en mesure de prouver l’intégrité de ses documents en cas de contestation.
- Laisser les clés de chiffrement détenues uniquement par le prestataire, sans plan de réversibilité des clés. C’est la configuration la plus courante sur le marché et la plus risquée pour l’entreprise. Elle crée une dépendance totale au prestataire et expose à des difficultés majeures en cas de faillite, de rachat ou de défaillance technique durable.
- N’avoir aucune politique de conservation écrite. Déposer des documents dans un coffre-fort sans avoir défini quels documents doivent y être conservés, pendant combien de temps et selon quelles règles d’accès, revient à construire une archive sans catalogue et sans plan de gestion. L’outil est en place, mais personne ne sait comment l’utiliser correctement ni quand effacer ce qu’il contient.
- Ne jamais réviser les droits d’accès. Les droits attribués lors du déploiement initial deviennent rapidement obsolètes. Des collaborateurs ayant quitté l’entreprise gardent des accès actifs. Des prestataires externes ne travaillant plus avec l’organisation peuvent encore consulter des documents sensibles. Une revue périodique des droits d’accès, au moins annuelle, est indispensable.
- Mélanger les documents personnels des salariés avec les documents de l’entreprise. Ce mélange crée une confusion juridique sur la propriété des données, une violation potentielle du RGPD, et des problèmes pratiques insurmontables au moment du départ d’un salarié. Les deux espaces doivent être cloisonnés dès la conception du dispositif.
- Déposer des documents sans indexation, rendant le document introuvable. Un document intègre et horodaté qu’on ne retrouve pas lors d’un contrôle fiscal ou d’un contentieux est inutile. La qualité du dépôt, c’est-à-dire la complétude des métadonnées associées (catégorie, référence, période concernée, émetteur, destinataire), conditionne la capacité à exploiter le coffre-fort dans la durée.
Ce que Djaboo fait, et ce qu’il ne fait pas
Il est important d’être totalement transparent sur ce point, sans ambiguïté.
Djaboo n’est pas un coffre-fort numérique. Il ne fournit ni scellement cryptographique des documents, ni chiffrement de bout en bout avec détention des clés par le client, ni horodatage qualifié au sens du règlement eIDAS n° 910/2014, ni journal d’accès inaltérable opposable à un tiers, ni conformité à la norme NF Z42-020. Si votre entreprise a besoin d’un coffre-fort numérique au sens légal et technique décrit dans cet article, elle doit se tourner vers un service spécialisé répondant à ces exigences. Djaboo ne peut pas remplir ce rôle et ne le prétend pas.
Ce que Djaboo apporte, en revanche, c’est une organisation documentaire courante, distincte de la conservation probante. Les devis, les factures et les documents commerciaux sont créés directement dans l’outil, rattachés à leur client et à leur projet, accessibles depuis un espace de travail unique sans dispersion entre plusieurs outils. Chaque dépense peut recevoir son justificatif joint, renseigné avec sa catégorie, son montant, sa TVA, sa date et une référence identifiable. Cette organisation facilite le travail quotidien des équipes de 1 à 100 personnes, prépare la comptabilité en réduisant les recherches manuelles, et diminue les pertes de documents courants dans le flux opérationnel. C’est la couche de gestion documentaire courante que les TPE et PME ont besoin de maîtriser au quotidien pour gagner en efficacité. Elle constitue un premier niveau d’organisation, distinct et complémentaire d’un dispositif de conservation à valeur probante, qu’elle ne remplace pas et ne cherche pas à remplacer.
Questions fréquentes
Un coffre-fort numérique est-il obligatoire pour les entreprises ?
Aucun texte n’impose à une entreprise d’utiliser un coffre-fort numérique au sens strict. Ce que la loi impose, c’est un résultat : conserver certains documents pendant des durées définies, dans des conditions garantissant leur intégrité et leur disponibilité en vue de leur production lors d’un contrôle ou d’un litige. Une entreprise peut techniquement atteindre ce résultat par d’autres moyens, notamment un système d’archivage électronique conforme à la norme NF Z42-013. Cependant, le coffre-fort numérique est devenu la solution de référence pour plusieurs cas d’usage spécifiques, notamment la remise des bulletins de paie électroniques, parce qu’il répond nativement aux critères légaux en matière d’intégrité, de confidentialité et de disponibilité. La question n’est donc pas de savoir si le coffre-fort est obligatoire en tant qu’outil, mais de savoir si vos obligations de conservation sont satisfaites par les moyens que vous avez mis en place. Si elles ne le sont pas, vous êtes exposé, quelle que soit la bonne foi de la démarche.
Quelle est la différence concrète entre un coffre-fort numérique et un espace de stockage en ligne ?
La différence est fondamentale, même si les deux permettent de déposer des fichiers accessibles en ligne depuis n’importe quel appareil. Un espace de stockage ordinaire est conçu pour la commodité et la collaboration : les fichiers peuvent être modifiés, supprimés, partagés, sans qu’aucune trace opposable ne soit conservée sur ces opérations. Un coffre-fort numérique est conçu pour la conservation probante : chaque document déposé reçoit une empreinte cryptographique, un horodatage qualifié, et chaque accès est enregistré dans un journal inaltérable. Un fichier extrait d’un espace de stockage ordinaire ne peut pas prouver qu’il n’a pas été modifié depuis sa création. Un document sorti d’un coffre-fort conforme peut le démontrer, car l’empreinte calculée au moment du dépôt peut être recalculée à tout moment et comparée à l’empreinte conservée. C’est cette capacité de preuve qui constitue toute la valeur juridique du coffre-fort numérique, et que le stockage ordinaire ne peut pas reproduire quelle que soit la qualité technique de son infrastructure.
Qu’est-ce que l’horodatage qualifié et pourquoi est-il indispensable dans un coffre-fort ?
L’horodatage qualifié est un service de confiance défini par le règlement eIDAS n° 910/2014. Il atteste, par une autorité de confiance reconnue au niveau européen, la date et l’heure exactes auxquelles un document existait dans un état cryptographiquement vérifié. Contrairement à la date affichée dans les propriétés d’un fichier, qui peut être modifiée manuellement par n’importe quel utilisateur et ne provient d’aucune source certifiée, le jeton d’horodatage qualifié est une preuve cryptographique opposable à un tiers dans tous les États membres de l’Union européenne. Son importance dans un coffre-fort numérique est décisive : il permet de répondre à la question « à quelle date ce document existait-il dans cet état précis ? » avec une certitude juridique que nul autre mécanisme non certifié ne peut offrir. En l’absence d’horodatage qualifié, la valeur probante d’un document conservé est affaiblie, et la partie adverse disposera toujours d’arguments pour en contester la date.
Combien de temps faut-il conserver les factures dans un coffre-fort numérique ?
Deux textes s’appliquent de façon cumulative en matière de conservation des factures. L’article L102 B du Livre des procédures fiscales impose six ans de conservation à compter de la dernière opération concernée, durée pendant laquelle l’administration fiscale peut exercer son droit de contrôle et demander la production des pièces. L’article L123-22 du Code de commerce impose dix ans de conservation à compter de la clôture de l’exercice pour les documents comptables et les pièces justificatives, catégorie à laquelle appartiennent les factures. En pratique, conserver les factures pendant dix ans couvre les deux obligations simultanément, et c’est la durée qu’il convient de paramétrer dans votre coffre-fort pour cette catégorie de documents. Attention : cette durée d’archivage probant est distincte de la durée de conservation des données personnelles éventuellement contenues dans ces factures, qui suit une logique de minimisation propre au RGPD et qui peut amener à restreindre l’accès à certaines données avant l’échéance des dix ans.
Le prestataire de coffre-fort peut-il accéder à mes documents ?
Dans un coffre-fort numérique conforme aux recommandations de la CNIL, non. La CNIL a posé ce principe directeur : le contenu d’un coffre-fort ne doit pouvoir être consulté que par l’utilisateur et les personnes qu’il a expressément mandatées. En pratique, cela suppose que les documents soient chiffrés et que la clé de déchiffrement reste sous la maîtrise de l’utilisateur, le prestataire n’y ayant pas accès. Cependant, ce principe n’est pas systématiquement appliqué sur le marché. Certains prestataires chiffrent les données en transit et au repos, mais détiennent eux-mêmes les clés de chiffrement, ce qui leur permet techniquement d’accéder aux contenus. C’est pourquoi la question de la détention des clés est le premier critère à vérifier lors du choix d’un prestataire, avant même la question des certifications. Elle doit figurer explicitement dans le contrat, avec une réponse claire et non ambiguë.
Que se passe-t-il si le prestataire cesse son activité ?
Le décret du 30 mai 2018 impose au prestataire de coffre-fort numérique d’informer les utilisateurs en amont de toute cessation d’activité et de leur permettre de récupérer l’intégralité de leurs documents dans un format exploitable, avec un délai suffisant pour permettre une migration ordonnée vers un autre service. Cependant, attendre cette situation pour penser à la réversibilité est une mauvaise stratégie. Une procédure collective peut aller très vite, et le délai légal de récupération peut se révéler insuffisant si vous n’avez jamais testé la procédure d’export au préalable. La bonne pratique consiste à réaliser des exports réguliers (trimestriels ou annuels selon les volumes), à les stocker dans un environnement distinct, et à vérifier systématiquement que les fichiers exportés sont lisibles et accompagnés de leurs preuves d’intégrité (empreinte, jeton d’horodatage). La réversibilité ne se prépare pas le jour où elle devient urgente.
Un coffre-fort numérique est-il automatiquement conforme au RGPD ?
Non, et cette confusion est fréquente. La conformité au RGPD ne découle pas automatiquement du fait d’utiliser un coffre-fort numérique, même certifié NF Z42-020. Le RGPD s’applique à la façon dont vous organisez l’ensemble du traitement des données personnelles, pas seulement à l’outil que vous utilisez. Un coffre-fort certifié vous apporte des garanties techniques solides (chiffrement, contrôle d’accès, traçabilité) qui facilitent certains aspects de la conformité. Mais vous devez également définir des durées de conservation par type de document et les faire respecter, informer les personnes concernées de l’existence du traitement et de leurs droits, encadrer la relation avec le prestataire par un contrat de sous-traitance conforme, inscrire le traitement dans votre registre, et organiser la purge effective des données à l’échéance de conservation. Pour tout doute sur l’une de ces obligations, la CNIL est l’autorité de référence en France et publie des guides pratiques accessibles à tous.
Quelles certifications doit-on exiger d’un prestataire de coffre-fort numérique ?
Le référentiel normatif principal est la norme NF Z42-020, qui définit les exigences fonctionnelles et techniques d’un composant coffre-fort numérique. La certification NF Z42-020 délivrée par un organisme accrédité atteste qu’un tiers indépendant a vérifié que la solution du prestataire répond effectivement à ces exigences. Cette certification est fondamentalement différente d’une simple autodéclaration de conformité, qui ne garantit rien et ne peut pas être opposée en cas de contentieux. Pour les usages les plus exigeants, notamment dans les secteurs régulés ou pour la conservation de données très sensibles, il convient également d’examiner les certifications de sécurité de l’information (ISO 27001), de vérifier la localisation des données et de demander des références de clients dont les audits ont été effectivement réalisés. Dans tous les cas, une certification revendiquée sans possibilité de vérification par un tiers accrédité doit être traitée avec la même prudence qu’une absence de certification.
Peut-on utiliser le même outil pour les documents personnels des salariés et les documents de l’entreprise ?
Oui, certains prestataires proposent des solutions qui hébergent les deux types d’espaces, à la condition absolue et non négociable que ces espaces soient hermétiquement cloisonnés techniquement et organisationnellement. Le coffre-fort du salarié, qui contient ses bulletins de paie et ses documents personnels, doit être accessible exclusivement à ce salarié. L’entreprise, même en tant que fournisseur et financeur du service, ne doit pas pouvoir consulter le contenu de cet espace. Le coffre-fort de l’entreprise, qui contient les factures, les contrats commerciaux et les documents institutionnels, relève d’une gouvernance différente, avec ses propres règles d’accès, ses propres durées de conservation et ses propres administrateurs. Mélanger les deux dans un même espace sans cloisonnement technique réel crée une confusion sur la propriété des données, expose l’entreprise à des violations du RGPD et du Code du travail, et génère des problèmes pratiques insurmontables au moment du départ d’un salarié ou d’un contrôle. La séparation est un prérequis non négociable qui doit être vérifié techniquement avant le déploiement, pas pris pour acquis sur la foi d’une brochure commerciale.
Un gestionnaire de mots de passe peut-il remplacer un coffre-fort numérique ?
Non, et la confusion, si elle peut sembler surprenante, existe bel et bien sur le marché. Un gestionnaire de mots de passe est conçu pour stocker et chiffrer des identifiants et des secrets d’authentification. Il n’a aucune vocation documentaire au sens légal : il n’effectue aucun scellement de document, ne délivre aucun horodatage qualifié, ne tient aucun journal d’accès probant, et ne peut pas garantir l’intégrité d’un fichier déposé ni attester de sa date de création ou de modification. L’amalgame vient parfois d’outils qui se présentent comme des « coffres-forts sécurisés » en combinant stockage de fichiers et gestion de mots de passe dans une même interface, au nom d’une promesse de simplicité. La finalité de ces outils est la commodité quotidienne, non la conformité légale. Seul un service respectant le cadre juridique et technique décrit dans cet article, avec intégrité, horodatage qualifié, journal inaltérable et réversibilité encadrée, peut revendiquer le statut de coffre-fort numérique au sens de la loi.
