Six mois de journaux : ce qu’une trace doit contenir pour valoir preuve
Une trace vaut preuve si elle dit qui a agi, sur quoi et quand, et si elle dure autant que le contrôle. La durée de conservation des journaux que recommande la CNIL, six mois à un an, n’y suffit pas.
La question revient dans chaque préparation d’audit : l’outil garde des logs, est-ce que cela suffit ? Le responsable qualité pense à la feuille d’émargement de mars, à l’intervenant parti en juin, au contrôle qui tombera peut-être dans deux ans. Il espère que quelque part, une machine a tout noté.
Le 8 octobre 2026, la CNIL a annoncé la clôture de l’injonction qu’elle avait prononcée contre France Travail en janvier. Parmi les mesures exigées figurait, selon Leto , « une supervision active du système d’information et des journaux d’activité ». Le mot qui compte est « active ». Pour la CNIL, un journal sert d’abord à voir une attaque pendant qu’elle a lieu.
Cette fonction de sécurité fixe la durée du journal. La CNIL recommande de le garder entre six mois et un an (§ 8). Un financeur, lui, peut contrôler un cours jusqu’à la fin de la troisième année qui suit l’exercice où l’école a comptabilisé les fonds.
Un journal de sécurité ne prouve pas un cours donné il y a deux ans. Seul l’historique daté du cours, gardé aussi longtemps que le contrôle peut remonter, le prouve.
À quoi sert un journal, selon la CNIL ?
La référence française est la recommandation de la CNIL sur la journalisation , adoptée le 14 octobre 2021 (délibération n° 2021-122). Elle vaut pour un organisme public comme pour un organisme privé. Elle ne crée pas d’obligation : la recommandation se dit elle-même « ni prescriptive ni exhaustive ». Elle reste le texte de référence de la CNIL pour tout système qui manipule des données personnelles, et les dossiers d’étudiants en sont.
Un journal, au sens de la CNIL, garde la trace des accès et des actions de chaque personne habilitée à entrer dans un système. Ce qu’une entrée doit contenir, auteur, heure, opération, dossier visé, est détaillé dans notre article sur ce qu’un audit vous demande, au chapitre des conditions d’une trace recevable.
La recommandation dit surtout à quoi ce journal sert (§ 9 et 10). Sa conservation se justifie « d’abord » par la sécurité du traitement, une sécurité qu’elle qualifie d’active : on exploite les journaux en temps réel ou à court terme pour repérer une opération anormale, parer une intrusion, réparer un incident. La CNIL recommande un système d’analyse et une procédure d’alerte. Les journaux servent aussi après coup, quand une fuite est constatée et qu’il faut établir qui en est responsable.
Elle en tire une limite. Selon la recommandation , toute réutilisation des journaux pour une autre finalité que la sécurité « est susceptible de constituer un détournement de finalité » (§ 11). Sortir un journal de sécurité pour prouver à un auditeur qu’une séance a eu lieu, c’est s’en servir pour autre chose que ce pour quoi il existe.
Le côté DSI de ces journaux, qui peut lire un dossier et qui l’a lu, est traité dans notre article sur la traçabilité des accès.
Quelle durée de conservation des journaux recommande la CNIL ?
La recommandation donne une fourchette : entre six mois et un an (§ 8). La CNIL la juge suffisante « dans la plupart des cas » pour concilier deux besoins : repérer une atteinte au système, et ne pas accumuler un volume de données qui deviendrait lui-même une cible.
Trois ans apparaissent aussi dans le texte, et ils sont souvent mal lus. Ils relèvent d’un cas précis, le contrôle interne : un organisme qui veut dissuader ses propres utilisateurs de détourner des données peut garder ses journaux plus d’un an. Il doit alors démontrer ce risque et tenir des procédures d’investigation documentées. Dans ce cas, « une durée maximale de trois ans pourra ainsi être justifiée » (§ 19). C’est un plafond à justifier, pas une règle offerte à tous. La CNIL ajoute que la durée de prescription d’une infraction ne suffit pas à la justifier.
Deux autres limites comptent pour une école.
- Le journal ne doit pas allonger la vie des données. La CNIL recommande de limiter au maximum ce que le journal garde au-delà de la durée de conservation du dossier lui-même (§ 12). Quand le dossier vit moins de six mois, le journal ne devrait pas en contenir les données (§ 22).
- Une durée plus longue se justifie, et s’écrit. Selon la CNIL , elle est possible pour répondre à une obligation légale de conserver des traces, ou pour une finalité précise, comme prouver dans un contentieux qu’une partie a bien eu accès aux pièces. L’organisme en donne alors les raisons « de manière précise et documentée » (§ 20 et 21).
Le journal de sécurité est donc conçu pour vivre peu. C’est une protection, et un journal gardé dix ans sans raison devient un risque de plus.
Combien de temps un contrôle remonte-t-il ?
En face de cette fourchette, les contrôles qu’un responsable qualité connaît se comptent en années.
La dernière ligne est la plus longue, et la plus chère. Pour des fonds comptabilisés sur un exercice clos le 31 décembre 2026, l’administration peut revenir jusqu’au 31 décembre 2029. Elle peut aller jusqu’à la dixième année en cas de manquements répétés, de manœuvres frauduleuses, ou de manquements révélés par une procédure (article L. 6362-8-2 ). Ce jour-là, l’organisme présente les pièces qui établissent la réalisation de ses actions. À défaut, les actions sont réputées ne pas avoir été exécutées, et les sommes se remboursent (article L. 6362-6 ).
Les six mois de l’AI Act ne changent pas ce calcul. Ils visent les journaux d’un outil d’IA auquel l’école confie une part de l’évaluation des acquis, et ils sont un minimum. Leur calendrier est expliqué dans ce que le report de l’AI Act ne reporte pas.
Entre un journal recommandé pour un an et un contrôle possible trois ans après la clôture de l’exercice, il reste deux ans au moins. La séance contrôlée en 2029 aura quitté le journal depuis longtemps. Elle doit exister ailleurs.
Ce que l’historique d’un cours doit garder
Ailleurs, c’est le dossier lui-même. La recommandation de la CNIL raisonne en deux temps : il y a le traitement principal, les données pour lesquelles le système existe, et le journal qui en garde les accès. Elle recommande que le journal ne garde pas les données plus longtemps que le dossier. Autrement dit, ce qui doit durer, c’est le dossier du cours, pas le journal qui l’entoure.
Ce dossier ne se réduit pas à sa dernière version. Un contrôle porte sur une date passée : qui enseignait à la séance du 12 mars, qui a validé ses heures, ce qui a changé depuis. Un historique utile garde, pour chaque cours :
- qui a fait chaque action, un intervenant, un responsable pédagogique, la scolarité, nommément ;
- quand, à la date et à l’heure où l’action a eu lieu, pas à celle où quelqu’un l’a recopiée ;
- sur quoi, la séance, le cours, le contrat, l’étudiant concerné ;
- ce qui a changé, l’ancienne valeur et la nouvelle, plutôt qu’une ligne réécrite ;
- qui a validé, quand une décision demandait l’accord d’une seconde personne.
Ces cinq points ressemblent au contenu d’un journal, et c’est voulu. La différence tient à ce qu’ils décrivent. Le journal décrit une opération sur des données. L’historique décrit l’acte lui-même : un cours donné, des heures faites, un intervenant retenu. Le premier répond à la question de la DSI, l’autre à celle du contrôleur.
Sa durée se décide aussi autrement. Elle suit la finalité du dossier, que l’école fixe elle-même : la durée pendant laquelle un financeur ou un certificateur peut lui demander la pièce. C’est ce que la CNIL recommande pour toute durée longue : une raison précise, documentée.
Deux questions suffisent à vérifier votre situation. Pour un cours donné il y a deux ans, pouvez-vous dire qui l’a enseigné, sans demander à quelqu’un qui s’en souvient ? Et cette réponse vient-elle de l’historique du cours, ou d’un journal technique que la DSI devra fouiller ?
Ce que fait Subrequest
Le Socle de Subrequest porte un pilier, « Les traces », qui répond à la seconde question. Chaque action y garde sa date, son heure et son auteur, tout au long de la vie d’un cours. La preuve se forme au moment où l’action a lieu, dans l’historique du cours, et non dans un journal technique : le jour de l’audit, elle est déjà là. Quand quelqu’un quitte l’école, son historique ne part pas avec lui.
L’outil ne monte pas le dossier d’audit et ne garantit pas la certification, qui repose sur votre organisation.
Six mois de journaux ne prouvent pas un cours contrôlé trois ans après
Un journal de sécurité ne suffit pas à prouver un cours lors d’un contrôle. La CNIL recommande de le garder entre six mois et un an, pour détecter les attaques. Un financeur peut demander la preuve d’une action jusqu’à la fin de la troisième année qui suit l’exercice, selon l’article L. 6362-8-2 du Code du travail .
Si vous voulez regarder avec nous ce que l’historique de vos cours permettra de montrer en 2029, prenez trente minutes.
Sur le même sujet
La rentrée ne devrait pas être un exploit. Parlons de la vôtre.
Prenez rendez-vous pour voir ce que ça change dans votre école, et un chiffrage sur vos volumes.