Pour une collectivité territoriale, choisir une GED conforme aux exigences de protection des données ne consiste pas simplement à sélectionner un logiciel sécurisé. Il faut aussi organiser la conservation des documents, leurs accès et leur transfert éventuel vers un système d’archivage électronique (SAE). Une GED ne garantit pas, à elle seule, la conformité RGPD ni le respect des obligations relatives aux archives publiques.
Konica Minolta propose notamment KOMI Doc Advanced, une solution de gestion documentaire destinée aussi aux collectivités. Son adéquation dépend toutefois des besoins de chaque administration, des garanties contractuelles et du dispositif d’archivage effectivement associé.
Quelle GED choisir pour les documents d’une collectivité ?
Une commune, une intercommunalité ou un autre organisme territorial doit gérer des documents dont les usages diffèrent : courriers entrants, dossiers administratifs, pièces RH ou documents financiers. Une GED adaptée permet de retrouver ces informations, de les partager avec les personnes habilitées et de suivre leur traitement.
La solution KOMI Doc Advanced est présentée par Konica Minolta comme une GED multi-usages pour les entreprises et collectivités jusqu’à 249 salariés. Le fournisseur annonce notamment la centralisation des documents, des fonctions de recherche, le classement et des circuits de validation personnalisables.
Ces fonctionnalités peuvent répondre à plusieurs situations concrètes :
- Gestion du courrier : retrouver un document reçu, identifier son service destinataire et suivre les étapes de validation.
- Ressources humaines : organiser des dossiers sensibles en limitant les accès selon les habilitations.
- Services financiers : centraliser les pièces justificatives et faciliter leur recherche au cours d’un traitement administratif.
Le seuil de 249 salariés décrit le périmètre annoncé par le fournisseur, et non une garantie de capacité ou un critère réglementaire. Pour juger l’adéquation, la collectivité doit confronter à la démonstration le nombre de services utilisateurs, les volumes de documents, les droits d’accès et les logiciels métiers à connecter. Avant de retenir un logiciel, il est donc préférable de faire démontrer les processus réellement utilisés par la collectivité.
Pourquoi une GED ne remplace-t-elle pas un système d’archivage électronique ?
La GED accompagne principalement la vie opérationnelle des documents : acquisition, classement, recherche, partage et validation. Le système d’archivage électronique (SAE) répond à une autre fonction : conserver des documents dans des conditions assurant notamment leur intégrité, leur traçabilité et leur pérennité.
Cette différence devient déterminante lorsqu’un dossier clôturé doit rester conservé pour une obligation administrative, juridique ou archivistique. Pour éprouver le passage vers un SAE, la collectivité peut faire identifier le dossier à verser, contrôler les documents et métadonnées transmis avec leur contexte, demander une trace de réception puis tester une restitution. Ce sont des vérifications attendues lors de la démonstration, non des capacités déjà établies de KOMI Doc Advanced ; le seul classement en GED ne prouve pas les garanties de conservation.
Dans ses solutions de dématérialisation pour les collectivités, Konica Minolta présente la GED transverse et l’archivage électronique certifié parmi les composantes de son accompagnement. Cela ne signifie pas que le SAE est automatiquement inclus dans chaque configuration de KOMI Doc Advanced.
À ce stade, les informations documentées permettent d’identifier les fonctions de GED annoncées pour KOMI Doc Advanced, mais pas le SAE précisément associé, son éventuelle certification ni les modalités contractuelles de versement et de restitution. Avant de retenir cette configuration, la collectivité doit obtenir la fiche du SAE, le périmètre des certificats applicables et la description du transfert des dossiers. Ce sont ces éléments, appliqués à la prestation réellement commandée, qui permettent d’évaluer la continuité entre gestion documentaire et archivage.
Quelles règles de conservation et d’élimination respecter ?
Le RGPD impose de maîtriser les durées de conservation des données personnelles. Cependant, certains documents des collectivités relèvent également des règles applicables aux archives publiques. Ces deux dimensions doivent être articulées dès le paramétrage de la GED.
Les recommandations de la CNIL sur la conservation et les archives distinguent trois phases :
- L’utilisation courante : les documents restent accessibles aux services qui en ont besoin pour assurer leurs missions.
- L’archivage intermédiaire : les documents ne servent plus quotidiennement, mais leur conservation reste justifiée. Les accès doivent alors être restreints et les données conservées limitées à ce qui est nécessaire.
- L’archivage définitif : certains documents présentant un intérêt justifiant une conservation pérenne peuvent être conservés durablement dans un cadre archivistique adapté.
Ces phases ne constituent pas un parcours obligatoire pour chaque document. Son sort final dépend des règles applicables et de son intérêt archivistique.
La fin d’une durée de conservation ne permet donc pas nécessairement de programmer une suppression immédiate. Pour les archives publiques, l’élimination est encadrée par le contrôle archivistique et requiert le visa de l’autorité compétente, y compris pour les documents électroniques.
Prenons un exemple hypothétique : pour un dossier administratif clôturé, le service constate d’abord la fin de son utilisation courante. Il détermine ensuite si une conservation intermédiaire reste justifiée, avec des accès restreints. Enfin, le sort final dépend des règles archivistiques applicables : conservation définitive si justifiée ou élimination dans le respect des procédures de contrôle. Pour les archives publiques, cette dernière décision ne se réduit jamais à une suppression automatique déclenchée par une échéance.
Avant d’automatiser ces opérations, la collectivité a donc intérêt à établir, avec ses services métiers, son délégué à la protection des données (DPO) et les archives compétentes, une matrice précisant les catégories documentaires, les durées, les habilitations et les sorts finaux.
Hébergement en France : quelles garanties de sécurité et de souveraineté ?
Konica Minolta annonce que KOMI Doc Advanced est hébergé en France dans un datacenter certifié ISO 27001. Cette information est utile pour apprécier les caractéristiques déclarées de l’infrastructure, mais elle doit être interprétée selon son périmètre exact.
Trois notions méritent d’être distinguées :
- L’hébergement en France renseigne sur la localisation annoncée de l’infrastructure, sans décrire à lui seul tous les accès techniques ou les risques juridiques.
- ISO 27001 concerne un système de management de la sécurité de l’information dans un périmètre certifié. Sa mention ne démontre pas automatiquement la conformité RGPD de chaque traitement.
- SecNumCloud est une qualification de l’ANSSI portant sur une offre cloud déterminée. Elle vise notamment certaines menaces liées à l’extraterritorialité, mais ne s’étend pas automatiquement aux applications hébergées.
Comme le précise l’ANSSI à propos de la qualification SecNumCloud, utiliser une infrastructure qualifiée ne revient pas nécessairement à disposer d’un service applicatif lui-même qualifié. Le dossier examiné ne démontre pas que KOMI Doc Advanced bénéficie lui-même d’une qualification SecNumCloud ; cela ne permet pas de conclure à l’absence de toute qualification applicable à un autre composant de la prestation.
La collectivité doit donc demander la localisation des données et des sauvegardes, l’identité des intervenants habilités à administrer les systèmes, les éventuels transferts hors de l’Espace économique européen, la liste des sous-traitants et les certificats avec leur périmètre exact. Ces pièces permettent d’évaluer la prestation commandée, sans transformer une certification d’infrastructure en garantie générale de souveraineté.
Comment vérifier la conformité RGPD de la prestation ?
La vérification RGPD porte à la fois sur les traitements de la collectivité et sur les engagements contractuels du prestataire. Elle dépend notamment des traitements mis en œuvre par la collectivité, des habilitations définies, des durées retenues et des engagements du prestataire.
Lorsque celui-ci intervient comme sous-traitant au sens du RGPD, l’article 28 impose un encadrement contractuel. Avant la mise en service, plusieurs points doivent être vérifiés :
- Les rôles et instructions : déterminer les responsabilités des parties et les opérations que le prestataire est autorisé à réaliser.
- La gestion des accès : contrôler les habilitations et les mécanismes disponibles pour suivre les opérations sensibles.
- La sécurité et l’assistance : préciser les mesures de protection, les modalités d’intervention et l’assistance prévue en cas d’incident ou de demande relative aux données.
- Les sous-traitants ultérieurs : connaître les intervenants et les conditions encadrant leur participation.
- Le contrôle et la réversibilité : obtenir les informations nécessaires aux audits et vérifier les conditions de restitution des documents en fin de contrat.
Ces clauses peuvent être complétées par trois essais : vérifier qu’un agent non habilité ne peut pas ouvrir un dossier, modifier une habilitation puis consulter la trace d’une opération sensible. Ces tests permettent d’observer certains mécanismes techniques, s’ils sont disponibles dans la configuration démontrée ; ils ne prouvent pas à eux seuls la conformité RGPD du traitement. La conformité doit donc être appréciée sur le traitement réel et sur les engagements contractuels applicables.
Quels tests réaliser avant de retenir une solution de GED ?
Une démonstration utile doit suivre des documents à travers plusieurs étapes, plutôt que se limiter à une présentation des menus du logiciel. Deux scénarios permettent notamment de vérifier la continuité du dispositif.
| Scénario | Vérifications | Preuves à obtenir |
|---|---|---|
| Un courrier administratif est reçu puis instruit. | Classement, recherche, habilitations, validation et historique des opérations. | Courrier retrouvé, accès refusé au rôle non habilité, validation enregistrée et historique consultable. |
| Un dossier clôturé arrive à une nouvelle étape de conservation. | Changement de statut, restriction des accès, versement éventuel au SAE et sort final. | Règle de conservation identifiable, droits restreints, preuve du versement si SAE associé, dossier restituable et sort final soumis aux validations requises. |
Le second scénario est particulièrement révélateur : il permet de distinguer ce que la GED gère directement de ce qui dépend d’un service d’archivage complémentaire. Les procédures de destruction doivent, quant à elles, respecter les validations archivistiques nécessaires.
La décision doit reposer sur les résultats de ces démonstrations, les documents contractuels et la capacité des outils à couvrir les processus effectivement retenus.
Pour une collectivité territoriale, le bon choix est donc une GED adaptée aux services utilisateurs, associée à des règles de conservation maîtrisées et, lorsque nécessaire, à un SAE dont les garanties sont établies. Le choix doit donc départager les fonctions documentaires démontrées et les garanties d’archivage effectivement contractualisées.
Avant tout engagement, la démarche la plus utile consiste à demander une démonstration sur des dossiers représentatifs, les garanties précises d’hébergement et de sécurité, ainsi que la documentation contractuelle du système d’archivage proposé.