Rôles custom Zendesk et RGPD : quand un périmètre trop large devient une fuite de données

Sur les offres Zendesk haut de gamme, le consultant peut créer des rôles custom qui définissent au bouton près ce qu'un agent peut voir et faire : quels tickets il consulte (les siens, ceux de son groupe, ou tous), s'il peut éditer les champs, accéder aux conversations annexes, exporter, gérer les utilisateurs finaux. C'est un outil de gouvernance puissant — et un nid à risques.

Le piège est presque toujours le même. Pour « débloquer » une équipe qui se plaint de ne pas voir certains tickets, on élargit le périmètre du rôle à « All tickets ». Le ticket de blocage est résolu, l'équipe est contente, et personne ne mesure que ce rôle vient potentiellement de donner à des agents de niveau 1 — ou à un prestataire externe — l'accès à des tickets contenant des numéros de carte, des données de santé, des bulletins de paie ou des éléments de litige RH.

En matière de droits d'accès, le confort opérationnel et la conformité RGPD tirent dans des directions opposées. Le rôle du consultant est de tenir la ligne du moindre privilège, pas de céder à la facilité.

Le RGPD pose un principe central, la minimisation : on ne traite et on n'expose que les données strictement nécessaires à une finalité précise. Décliné aux accès, cela devient le principe du moindre privilège : chacun ne voit que ce dont il a besoin pour sa mission.

Un rôle custom « All tickets » attribué trop largement viole frontalement ce principe. Et la conséquence n'est pas théorique. Dès qu'une personne non habilitée accède à des données personnelles, on est en présence d'une violation de données au sens de l'article 4 du RGPD — qu'il y ait eu malveillance ou non. La simple accessibilité non maîtrisée suffit à constituer l'incident.

Les conséquences pour le responsable de traitement (le client) sont lourdes : obligation d'analyse, éventuelle notification à la CNIL sous 72 heures, information des personnes concernées si le risque est élevé, exposition à une sanction. Le client, lui, va naturellement se retourner vers celui qui a configuré les accès.

On croit souvent qu'un outil de support ne contient que des questions techniques anodines. La réalité des tickets est tout autre, surtout chez les clients e-commerce, santé, fintech ou RH.

Les données de santé relèvent des « catégories particulières » : leur exposition est considérée comme plus grave et expose à des sanctions renforcées. Un rôle mal borné qui laisse un agent externe consulter ces tickets n'est pas une maladresse — c'est un incident de sécurité majeur.

Le danger est aggravé par le fait que ces données ne sont pas marquées comme sensibles dans l'interface. Un ticket de santé ressemble à n'importe quel autre ticket : rien ne signale visuellement à l'agent qu'il consulte une donnée particulière. C'est précisément pour cela que le cloisonnement doit être pensé en amont, par le paramétrage des rôles et des groupes, et non laissé à la vigilance individuelle des agents.

La question clé est : le consultant est-il juridiquement engagé par un paramétrage d'accès ? La réponse penche clairement vers le oui. Même s'il n'est pas le responsable de traitement, le consultant qui conçoit et applique la matrice de droits agit sur un levier de sécurité du traitement. À ce titre, il doit alerter sur les risques, documenter ses recommandations et refuser — par écrit — un paramétrage manifestement non conforme.

Si le consultant élargit un rôle à « tous les tickets » sans avertissement, sans analyse d'impact, et qu'une fuite survient, sa faute professionnelle est caractérisée : il n'a pas respecté les règles de l'art en matière de gestion des droits. Le « on m'a demandé d'aller vite » ne tient pas devant un préjudice RGPD.

À l'inverse, le consultant qui a écrit noir sur blanc « ce périmètre expose des données sensibles, je recommande un rôle restreint » se constitue une défense solide. La traçabilité de l'alerte est, ici encore, le meilleur bouclier.

Un autre angle est trop souvent oublié : la sous-traitance en chaîne. Si le consultant ouvre un accès à un prestataire externe (centre d'appels offshore, intégrateur tiers) via un rôle custom, il participe à un transfert de fait des données. Sans encadrement contractuel — clauses de sous-traitance, engagement de confidentialité, localisation des accès — il expose le client à une non-conformité supplémentaire, qui s'ajoute au risque technique du périmètre trop large.

Beaucoup de consultants pensent que leur RC Pro couvre tout. C'est partiellement vrai, mais une fuite de données mobilise des garanties spécifiques que seul un volet cyber apporte pleinement.

• Frais de notification et de gestion de crise : accompagnement pour la déclaration CNIL, communication aux personnes concernées, cellule de crise.
• Investigation forensique : déterminer qui a accédé à quoi, sur quelle période — indispensable pour qualifier la violation.
• Défense et réclamations de tiers : si le client final ou les personnes concernées réclament réparation, c'est la RC Pro et le volet cyber qui se relaient.

Pour un consultant Zendesk qui touche en permanence à des matrices d'accès sur des données sensibles, combiner RC Pro et cyber n'est pas du luxe : c'est l'alignement de la couverture sur le risque réel du métier. Découvrez l'offre dédiée sur notre page assurance consultant Zendesk.

Voici la méthode qui protège à la fois le client et votre responsabilité.

1. Partir du besoin, pas du confort : chaque rôle se définit par la mission réelle, jamais par « donnons-leur tout, ce sera plus simple ».
2. Isoler les tickets sensibles : utiliser des groupes, des marques (brands) ou des organisations dédiées pour cloisonner les données particulières.
3. Bannir « All tickets » par défaut : ce périmètre doit être l'exception justifiée, jamais le réglage de facilité.
4. Documenter chaque décision : qui a demandé, qui a validé, quels risques ont été signalés.
5. Prévoir une revue périodique : les rôles dérivent avec le temps ; une revue trimestrielle évite l'accumulation silencieuse de privilèges.

Un paramétrage de rôles propre est invisible quand tout va bien. Le jour d'un contrôle ou d'une fuite, c'est lui qui fait la différence entre un incident maîtrisé et une mise en cause coûteuse. Et si l'incident survient malgré tout, c'est la conjonction de cette rigueur et d'une couverture adaptée qui vous permet d'absorber le choc sans y laisser votre activité.