Framapas, le gestionnaire de mots de passe intégré à l’écosystème Framaspace, attire les équipes qui cherchent une alternative libre aux coffres-forts propriétaires. Avant de le déployer, une question mérite d’être posée avec précision : quelles obligations RGPD restent à la charge de l’équipe, même quand l’hébergeur affiche une politique de confidentialité transparente ?
Framaspace et responsabilité RGPD : qui porte quoi dans la chaîne de traitement
Framasoft se positionne comme sous-traitant au sens du RGPD. L’association publie un document contractuel distinct de sa politique de confidentialité, intitulé « Conditions spécifiques d’hébergement des données à caractère personnel », qui lie juridiquement Framasoft et les utilisateurs de la plateforme Framaspace.
Cette architecture a une conséquence directe : le responsable de traitement reste l’organisation qui adopte l’outil. Framasoft minimise les données collectées et s’engage à ne pas les exploiter commercialement, mais la conformité du déploiement (finalités, durées de conservation, droits des personnes) incombe à l’équipe.
| Obligation RGPD | Framasoft (sous-traitant) | Votre équipe (responsable de traitement) |
|---|---|---|
| Minimisation des données collectées | Oui, par conception | Doit vérifier que les usages internes restent proportionnés |
| Registre des traitements | Tient son propre registre | Doit documenter le recours à Framapas dans son registre |
| Analyse d’impact (AIPD) | Fournit les informations techniques nécessaires | Doit la réaliser si les critères de risque sont réunis |
| Droits des utilisateurs (accès, rectification, suppression) | Met à disposition les fonctions d’export et de suppression | Doit organiser le processus de réponse aux demandes |
| Notification de violation de données | Informe le responsable de traitement | Notifie la CNIL sous 72 h et informe les personnes concernées |
Analyse d’impact RGPD : quand Framapas en exige une
Depuis l’été 2026, la CNIL a durci sa doctrine sur les outils collaboratifs en ligne. Le cadre publié vise les espaces numériques, le cloud et les plateformes de travail à distance, avec une exigence renforcée d’analyse d’impact dès que plusieurs critères de risque sont réunis.
Les critères déclencheurs incluent le traitement à grande échelle, l’implication de personnes vulnérables (mineurs, salariés en situation de subordination) et le stockage de données sensibles. Une AIPD sera probablement nécessaire si Framapas devient le hub principal d’échange de l’équipe, dès lors qu’il centralise des identifiants, mots de passe professionnels, accès à des dossiers RH ou à des documents contenant des données personnelles.
La conformité déclarée de Framasoft ne dispense pas de cette évaluation formelle. Le responsable de traitement doit documenter les risques et être capable de produire cette analyse en cas de contrôle.
Ce que l’AIPD doit couvrir pour un coffre-fort de mots de passe
- La nature des secrets stockés : identifiants bancaires, accès à des outils contenant des données de santé ou des données RH augmentent le niveau de risque
- Le périmètre des personnes concernées : si les mots de passe partagés donnent accès indirect à des données de clients, de patients ou de mineurs, le périmètre s’élargit
- Les mesures de sécurité complémentaires mises en place par l’équipe (authentification à deux facteurs, politique de rotation des mots de passe, chiffrement côté client)
Droits des utilisateurs et durées de conservation sur Framapas
Framasoft structure sa politique autour de la minimisation. L’association s’efforce de collecter le moins de données personnelles possible, et distingue clairement, dans sa documentation, les données nécessaires au fonctionnement du service de celles qui relèvent du choix de l’utilisateur.
Les droits garantis par le RGPD (consultation, modification, suppression, portabilité) sont accessibles via les fonctions intégrées de Framaspace. L’équipe doit cependant formaliser un circuit interne de traitement des demandes : qui reçoit la requête, dans quel délai elle est traitée, comment la suppression effective est vérifiée.
Sur les durées de conservation, Framasoft documente les siennes. En revanche, si votre équipe stocke dans Framapas des identifiants liés à des projets terminés ou à d’anciens collaborateurs, c’est à elle de définir et appliquer une politique de purge. Un coffre-fort qui accumule des accès obsolètes pendant des années pose un problème de proportionnalité au regard du RGPD.
Personnes mineures et contextes éducatifs
Framaspace mentionne explicitement la question des mineurs dans sa politique de confidentialité. Si votre équipe intervient dans un contexte éducatif ou associatif impliquant des jeunes de moins de 16 ans, le consentement parental est requis pour le traitement de leurs données. Ce point est souvent négligé lors du déploiement d’un gestionnaire de mots de passe partagé dans une structure périscolaire ou une association de jeunesse.
Framasoft et RGPD : le décalage entre engagement éthique et conformité formelle
Le wiki interne de Framasoft documente un fait peu connu : en octobre 2021, l’association reconnaissait ne pas être encore pleinement conforme au RGPD, malgré un engagement de longue date en faveur de la vie privée. De 2018 à 2021, plusieurs relances internes ont été nécessaires pour avancer sur la cartographie des données, l’établissement du registre des traitements et la formalisation des fiches structurées (projet Framadata).
Ce décalage n’invalide pas la démarche de Framasoft. Il illustre en revanche une réalité que toute équipe doit intégrer : une politique de confidentialité lisible ne vaut pas conformité RGPD complète. L’association a progressé depuis, notamment avec la publication des conditions spécifiques d’hébergement sur Framaspace, mais la transparence de Framasoft sur ses propres lacunes passées devrait inciter les équipes à ne pas confondre confiance et délégation de responsabilité.
La question pertinente avant d’adopter Framapas n’est pas « Framasoft est-il de confiance ? » (la réponse est largement positive). C’est plutôt : « Mon équipe a-t-elle documenté ses propres obligations, indépendamment de la bonne volonté de l’hébergeur ? » Un registre des traitements à jour, une AIPD si les critères l’exigent, un circuit de réponse aux demandes d’exercice des droits et une politique de purge des accès obsolètes constituent le socle minimal. Framasoft fournit l’infrastructure, pas la conformité de votre organisation.
