Domain Security Workday : la fuite de salaires que le RGPD sanctionne

La sécurité dans Workday ne fonctionne pas par cases à cocher fiche par fiche. Elle repose sur un modèle structuré autour de trois briques : les Security Groups (qui rassemblent des utilisateurs selon leur rôle), les Domains (qui regroupent des données par nature : compensation, données personnelles, performance) et les Domain Security Policies qui relient les deux en accordant des permissions View ou Modify.

Le domaine Worker Data: Compensation est l'un des plus sensibles : il gouverne l'accès aux salaires, primes, bonus et plans de rémunération. Lorsqu'un consultant accorde une permission View sur ce domaine à un Security Group trop large — par exemple un groupe « tous les managers » au lieu du seul « responsable RH compensation » — il ouvre la consultation des rémunérations à une population entière.

Le piège est que Workday n'émet aucune alerte : la configuration est techniquement valide. La fuite ne se révèle souvent qu'au moment où un utilisateur s'étonne de voir le salaire d'un collègue, parfois des semaines après la mise en Production. C'est le risque « sécurité défaillante » identifié pour le métier : un Domain Security Policy mal configuré qui expose les rémunérations ou les données RH confidentielles.

Une exposition non autorisée de rémunérations n'est pas un simple incident technique : c'est une violation de données à caractère personnel au sens de l'article 4 du RGPD. Les données de rémunération sont des données personnelles dont la divulgation porte atteinte à la vie privée des salariés.

Plusieurs obligations s'enclenchent alors pour le responsable de traitement, c'est-à-dire l'employeur client :

• Notification à la CNIL sous 72 heures dès que la violation présente un risque pour les droits et libertés des personnes (article 33).
• Information des personnes concernées lorsque le risque est élevé (article 34).
• Documentation de la violation dans un registre interne, que l'autorité peut contrôler.

La CNIL apprécie alors la diligence du responsable de traitement et de ses sous-traitants. Une exposition de salaires due à un paramétrage négligent peut nourrir un grief de défaut de sécurité (article 32), passible de sanction. Et même sans amende, le préjudice réputationnel et le climat social interne sont considérables.

Il faut mesurer la spécificité des données de rémunération. Contrairement à une adresse ou à un numéro de téléphone, le salaire est une donnée à forte charge sociale : sa divulgation interne peut déclencher des revendications, des tensions entre équipes, voire des contentieux prud'homaux sur l'égalité de traitement. Un salarié qui découvre, à la faveur d'une faille de configuration, qu'un collègue au même poste est mieux rémunéré dispose d'un élément concret pour contester sa propre situation. Le coût réel d'une fuite de salaires ne se limite donc jamais à la sanction administrative : il se diffuse dans toute la relation employeur-salariés, sur des mois.

Une fuite de salaires ne se voit pas dans les logs serveurs : elle se voit dans les couloirs. C'est souvent le bouche-à-oreille interne qui révèle la faille, longtemps après la mise en Production.

Juridiquement, c'est l'employeur qui est responsable de traitement et porte l'obligation RGPD. Mais le consultant Workday qui paramètre la sécurité n'est pas hors-jeu pour autant :

• Il intervient comme prestataire technique de la mise en œuvre des mesures de sécurité. Une faute de configuration de sa part peut engager sa responsabilité professionnelle envers le client.
• Selon la nature du contrat, il peut être qualifié de sous-traitant au sens RGPD (article 28), avec des obligations propres de sécurité et de notification au responsable de traitement.
• Le client lésé par la fuite — coût de gestion de crise, sanction, atteinte à l'image — peut se retourner contre le consultant si la cause racine est une politique de sécurité qu'il a mal cadrée.

Autrement dit, le consultant ne porte pas l'amende CNIL à la place du client, mais il s'expose à une réclamation au titre du préjudice causé par sa faute de paramétrage. C'est exactement le terrain de la RC Pro.

Une fuite de rémunérations met en jeu deux logiques d'indemnisation distinctes, qui appellent deux garanties complémentaires :

La RC Pro répond quand le client vous reproche le préjudice de sa fuite. La garantie cyber prend en charge la mécanique de crise — souvent la part la plus coûteuse et la plus urgente — que la RC Pro ne finance pas. Pour un consultant qui paramètre régulièrement des domaines sensibles, disposer des deux volets n'est pas un luxe.

La conformité se construit dans le paramétrage, pas après l'incident. Ces pratiques réduisent fortement le risque d'exposition :

1. Appliquer le principe de moindre privilège : n'accorder View sur le domaine Compensation qu'aux Security Groups strictement nécessaires.
2. Auditer les Domain Security Policies avant chaque passage en Production, à l'aide des rapports de sécurité natifs de Workday (Security Analysis).
3. Tester avec le « View Security for Securable Item » et la fonction Proxy pour vérifier ce que voit réellement chaque rôle.
4. Documenter la matrice d'habilitations et la faire valider par le DPO ou le RSSI du client.
5. Tracer chaque activation de policy dans le journal de configuration, pour établir qui a accordé quel accès et quand.

Ces contrôles ne garantissent pas l'absence d'erreur, mais ils démontrent votre diligence — un élément clé tant pour la défense que pour l'appréciation de la CNIL côté client.

Un dernier point distingue le bon paramétrage du paramétrage dangereux : la gestion des droits hérités. Dans Workday, un utilisateur peut accéder à un domaine non pas directement, mais par appartenance à plusieurs Security Groups dont les permissions se cumulent. Une politique apparemment restrictive sur un groupe peut être contournée par l'adhésion à un second groupe plus large. C'est l'angle mort classique : on vérifie la policy qu'on vient de modifier, sans réaliser qu'un autre groupe ouvre déjà l'accès. Seul un test par l'exécution réelle — se mettre à la place d'un utilisateur type via la fonction Proxy — révèle ce que la lecture des policies isolées ne montre pas.

La sécurité Workday est un risque insidieux : invisible tant qu'elle n'a pas fuité, dévastatrice dès qu'elle se révèle. Contrairement à une erreur de paie qui se voit au prochain run, une mauvaise Domain Security Policy peut rester dormante des mois avant d'éclater au grand jour.

Pour le consultant, la parade tient en deux temps : un paramétrage rigoureux et tracé en amont, et une couverture combinant RC Pro et cyber en aval. À partir de 19,90 €/mois pour un profil certifié Workday Pro, cette protection est sans commune mesure avec le coût d'une fuite de rémunérations sur un grand compte. La fiche du métier de consultant Workday précise les garanties à privilégier selon votre exposition aux données sensibles.