Piste d'audit et contrôle d'accès dans le DMS pour zones de police

La loi sur la gestion de l'information policière (WPI) encadre la manière dont les services de police enregistrent, traitent, archivent et détruisent leurs informations. L'organe de contrôle de l'information policière (COC) en surveille l'application. La loi ne se limite pas à des principes abstraits: elle impose des mesures techniques démontrables au niveau du document. Qui a consulté quel procès-verbal, quelle pièce jointe ou quel dossier du personnel, à quel moment et avec quelle action? Vous devez être en mesure de le prouver.

La WPI se distingue fondamentalement du RGPD. Là où le RGPD autorise diverses bases légales de traitement, les données policières sont soumises à un strict principe de limitation des finalités. La journalisation n'est pas facultative: chaque consultation d'un dossier sensible doit être traçable, y compris en interne. Les systèmes de gestion documentaire standard sont rarement suffisants à cet égard.

Un système de gestion documentaire conforme à la WPI doit au minimum prendre en charge les éléments suivants:

Contrôle d'accès basé sur les rôles (RBAC) par fonction et par service, afin qu'un inspecteur de la zone A ne puisse pas consulter les dossiers de la zone B

Journal d'audit complet par consultation, modification, export et impression, avec horodatage et identité de l'utilisateur

Politique de rétention par type de document, pour que chaque catégorie suive son propre calendrier de conservation

Stockage immuable (technologie WORM) pour les documents à valeur probante

Chiffrement des données au repos (AES-256) et en transit (TLS 1.3)

Destruction contrôlée et documentée à l'expiration des délais de conservation

Déploiement sur site ou en cloud privé pour les données particulièrement sensibles, sans dépendance à des centres de données extérieurs à la juridiction belge

Chacune de ces exigences est vérifiable par le COC. Un DMS qui ne les prend pas en charge nativement transfère la charge de la preuve sur votre équipe informatique, de manière manuelle et propice aux erreurs.

iGuana iDM propose une authentification basée sur JWT et une intégration Active Directory pour un contrôle d'accès granulaire. Les droits sont définis non seulement par utilisateur, mais aussi par type de document, par label de classification et par entité organisationnelle. Chaque interaction avec un document est journalisée au niveau de l'API: consultation, modification, export et suppression génèrent chacun un enregistrement immuable dans le journal d'audit.

Les règles de rétention sont configurées par classe documentaire. À l'expiration d'un délai, le système déclenche un workflow de destruction nécessitant une approbation obligatoire. La destruction elle-même est documentée, avec horodatage, responsable identifié et dossiers concernés. iGuana iStore ajoute le stockage WORM pour les documents d'archive devant rester inaltérables.

L'installation sur site est disponible pour les zones de police qui ne souhaitent pas héberger leurs données hors de leur propre infrastructure. L'intégration avec les environnements GPI ou ISLP existants est possible via API.

Posez ces cinq questions à votre système actuel. Si la réponse à l'une d'elles est «non» ou «manuellement», vous prenez un risque en cas de contrôle du COC:

Le système peut-il indiquer, par utilisateur, quels dossiers ont été consultés au cours des 90 derniers jours?

Les exports et impressions sont-ils journalisés avec l'identité de l'utilisateur et un horodatage?

La rétention est-elle configurée par type de document et automatiquement applicable?

La destruction est-elle centralement documentée et approuvée?

Les données sont-elles chiffrées aussi bien au repos qu'en transit?

Si votre gestion documentaire actuelle présente des lacunes sur l'un de ces points, contactez-nous via notre page de contact pour un entretien de mise en conformité. Pour en savoir plus sur les exigences NIS2 et l'architecture technique d'iGuana iDM v7, consultez notre article NIS2.