Une clé remise pour un nettoyage du soir, et voilà une société extérieure qui circule dans vos bureaux sans témoin. Le problème n'a rien de théorique. Dossiers RH, contrats clients, devis, postes restés ouverts : tout ce qui traîne sur un bureau devient accessible à quelqu'un qui n'est pas de la maison. La confiance envers l'entreprise compte, bien sûr, mais elle ne suffit pas. Ce qu'il faut, ce sont des garanties écrites, vérifiables et limitées dans le temps. Voici lesquelles exiger avant de signer, et quoi contrôler une fois le contrat en route.
Pourquoi la confidentialité devient un sujet dès qu'une clé change de main
Tant que la clé reste dans le trousseau du directeur, personne ne se pose la question. Le jour où elle passe à un prestataire, tout change. Un bureau ne se résume pas à des meubles et de la moquette. On y trouve des fiches de paie, des propositions commerciales encore confidentielles, parfois un mot de passe griffonné sur un post-it collé à l'écran.
- Les dossiers RH et les contrats de travail : salaires, évaluations, avertissements, parfois des arrêts maladie.
- Les devis et les données clients : tarifs négociés, coordonnées, conditions accordées à tel ou tel compte.
- Les écrans restés allumés et les sessions ouvertes : messagerie, outil de gestion, tableaux de bord lisibles par n'importe qui.
- Les armoires qu'on croyait fermées à clé, et dont la clé est parfois rangée dans le tiroir voisin.
Il faut aussi distinguer deux risques. Un accès physique et un accès informatique ne se contrôlent pas de la même façon. Une clé ouvre tout, et elle ne tient aucun journal. Personne ne sait qui est entré un mardi à 21 h, ni combien de fois. Le vrai point faible, c'est souvent l'absence de trace, bien plus que la malveillance elle-même.
Pensez aussi au cas du prestataire qui intervient seul, tôt le matin ou tard le soir. Et à celui qui change de salariés en cours de contrat, sans que vous en soyez informé. Une équipe peut s'agrandir ou se renouveler sans que le donneur d'ordre en ait la moindre idée.
Ce que dit le cadre légal et ce qu'il ne dit pas
Le RGPD est le premier texte à regarder. Dès que le prestataire peut voir des données personnelles, il faut qualifier la relation. S'agit-il d'un simple accès, ou d'un traitement réalisé pour le compte de l'entreprise ? La réponse change le contrat à rédiger. Dans le second cas, un contrat de sous-traitance est attendu, avec les obligations de l'article 28. La CNIL publie des repères utiles sur le sujet, mais aucun modèle ne remplacera la lecture de votre situation réelle.
L'obligation de confidentialité existe bel et bien dans les contrats de prestation. Elle reste pourtant souvent générale. Une phrase du type « le prestataire respecte la confidentialité » protège moins qu'on ne le croit. Une clause précise, qui dit ce qui est interdit et ce qui se passe en cas de manquement, pèse beaucoup plus lourd.
Avant de signer, demandez aussi la politique de confidentialité du prestataire et comparez-la au contrat. Celle que publie nettoyagebureaux75.fr en donne un exemple : elle présente les engagements d'un prestataire sur le traitement des données, et vous pouvez vérifier que votre contrat les reprend bien.
Le droit ne règle pas non plus tout à votre place. La gestion des clés, le contrôle des horaires et la liste nominative des intervenants relèvent de l'organisation interne. Le contrat peut les prévoir, mais c'est vous qui les faites vivre.
Les garanties à exiger avant de signer
Voici le cœur du sujet. Quatre blocs de garanties tiennent la route. Ils se complètent, et aucun ne suffit seul.
Une clause de confidentialité écrite et nominative
Une clause qui parle « des salariés » sans jamais les nommer ne sert à rien le jour où l'un d'eux quitte la société. Elle doit engager l'entreprise et chaque personne intervenante, pendant toute la durée du contrat et après sa fin.
- Interdiction explicite de photographier, copier, déplacer ou simplement lire un document.
- Sanctions prévues en cas de manquement, avec une échelle claire.
- Engagement signé par chaque intervenant, et non seulement par la direction du prestataire.
Une liste nominative des intervenants
Demandez le nom et le prénom de chaque personne qui détient une clé ou un code. Sur le papier, cela paraît lourd. En pratique, c'est la seule façon de savoir qui est passé.
- Information immédiate à chaque changement de personnel.
- Retrait des accès dès le départ d'un intervenant, avec un délai fixé par écrit dans le contrat.
- Interdiction de sous-traiter sans accord écrit, pour fermer la porte aux sous-traitants en cascade.
Des accès individuels et tracés
Un trousseau partagé entre cinq personnes ne permet de tracer personne. Privilégiez les clés nominatives ou les badges. Si le système d'alarme le permet, un code personnel avec journal de désactivation fait toute la différence.
Le registre de remise et de restitution, signé à chaque passage, paraît modeste. Il est pourtant redoutable en cas de litige, parce qu'il fixe une date et un nom.
Une assurance qui couvre le vol et la perte de clés
Demandez une attestation de responsabilité civile professionnelle en cours de validité. Une attestation périmée ne vaut rien, et les dates se lisent vite quand on prend la peine de regarder.
Vérifiez ensuite un point que beaucoup oublient : la garantie couvre-t-elle la perte de clés et le coût de remplacement des cylindres ? Notez aussi le délai de déclaration en cas de perte, car il s'applique souvent strictement.
Un cloisonnement des zones sensibles
Certaines pièces n'ont rien à faire dans le périmètre d'un prestataire de ménage. Définissez-les noir sur blanc, et affichez-les si besoin.
- Salle serveur, coffres et armoires RH.
- Bureau de direction et locaux de comptabilité.
- Règle du bureau propre : dossiers rangés, écrans verrouillés, postes éteints avant le passage.
Quand c'est possible, prévoyez des interventions hors présence du personnel, ou sous surveillance. Oui, cela complique un peu l'organisation. Mais un agent seul dans un open space vide, c'est précisément le moment où les dossiers sont les plus exposés.
Le cycle de vie de la clé : là où les garanties se perdent
Une bonne clause ne protège que si elle est appliquée à chaque étape. Le cycle de vie d'une clé compte trois temps, et chacun a ses failles.
Avant la remise
Commencez par vérifier les références, l'ancienneté de l'entreprise et sa manière de recruter. Puis testez la relation sur des créneaux limités avant d'élargir l'accès, en observant comment le prestataire réagit à vos demandes de registre et de liste nominative.
Pendant le contrat
Le contrôle ne doit pas se résumer à un rituel de début d'année. Un passage inopiné, un relevé des incidents et une revue de la liste nominative valent mieux que trois signatures au bas d'un document.
Si vous installez de la vidéosurveillance, informez au préalable les salariés et le prestataire, et respectez le cadre fixé par la CNIL. Une caméra posée dans la mauvaise pièce peut se retourner contre vous.
À la fin du contrat
Le départ est le moment le plus risqué. Exigez la restitution de toutes les clés et de tous les badges, puis comptez-les. Si une clé manque, ou si la fin de contrat s'est mal passée, faites changer le cylindre ou reprogrammer les codes sans attendre. Le coût reste modeste face au risque.
Les erreurs fréquentes et comment les éviter
Ce sont souvent de petites décisions, prises pour gagner du temps, qui ouvrent la porte aux problèmes.
- Remettre un double « pour les urgences » sans le noter dans un registre.
- Laisser un ancien salarié du prestataire avec son accès, parce que personne n'a pensé à le retirer.
- Faire confiance à une attestation sans regarder sa date de validité.
- Oublier les accès informatiques : badge sur le réseau, Wi-Fi, mots de passe visibles sur un post-it.
On pense à la serrure, rarement au Wi-Fi ou au badge qui ouvre le serveur. Pourtant, un identifiant lu sur un bloc-notes vaut parfois davantage qu'un double de clé.
Checklist à garder sous la main avant la signature
Cochez chaque point avant le premier passage. Si l'un reste vide, le contrat n'est pas prêt.
- Clause de confidentialité signée, nominative, avec sanctions.
- Liste des intervenants à jour, interdiction de sous-traiter.
- Registre des clés et des codes tenu et signé.
- Attestation d'assurance en cours de validité, garantie perte de clés vérifiée.
- Zones exclues définies et communiquées au prestataire.
- Procédure de restitution et de changement de cylindre prévue.
Conclusion : une garantie vaut ce qu'on peut vérifier
La confiance s'accorde, c'est vrai. Mais elle se contrôle, et c'est là que tout se joue. Un contrat bien rédigé, une liste à jour et un registre signé valent davantage qu'une poignée de main. Si vous voulez faire le point sur vos accès ou faire relire le contrat, l'équipe de FDSEO peut vous accompagner.
