Le partage de documents dans un réseau alumni ne pose presque jamais un problème technique. Il pose un problème de copies. Un fichier envoyé en pièce jointe se duplique dans autant de boîtes mail que de destinataires, un lien de drive ouvert à toute personne qui en dispose transforme l'URL en mot de passe, et dans les deux cas la suppression relève de la fiction. Un partage défendable tient en trois exigences : le contrôle d'accès est porté par le fichier lui-même, aucune adresse n'est devinable, et supprimer supprime vraiment. La CNIL y ajoute deux principes structurants : la minimisation, et une durée de conservation justifiée plutôt qu'indéfinie. Sur Terrilink, les pièces jointes en messagerie répondent à ces exigences, et elles ne figurent que dans les offres Premium et Business Club.
Le problème n'est pas le document, c'est la copie
Quand un responsable alumni envoie un fichier à quarante personnes, il ne partage pas un document : il en fabrique quarante exemplaires, dont il perd instantanément le contrôle. Chacun vit désormais sa vie propre, dans une boîte mail professionnelle, sur un téléphone personnel, dans un dossier de sauvegarde automatique, parfois dans une pièce jointe transférée à quelqu'un qui n'était pas destinataire. Aucun de ces exemplaires ne peut être rappelé.
C'est cette multiplication qui rend le sujet difficile, et non la sensibilité du document. Un tableau de suivi des cotisations n'a rien de secret pris isolément ; réparti en quarante copies dont aucune ne porte de date de péremption, il devient un traitement que personne ne maîtrise ni ne saura décrire le jour où on le lui demandera.
Le renversement à opérer est simple à formuler et exigeant à tenir : on ne distribue pas le document, on donne accès à un exemplaire unique. Tant que le fichier voyage, la conformité est hors d'atteinte, quelle que soit la qualité du reste du dispositif. Tant qu'il reste en place et que seuls les droits varient, tout le reste devient traitable, y compris le retrait d'un accès et l'effacement.
Ce qu'un délégué à la protection des données reproche au mail groupé
Le mail groupé concentre plusieurs défauts que l'on ne voit pas au moment de l'envoi, et qui apparaissent tous au moment du contrôle. Le premier est l'absence de retrait : une fois parti, un fichier ne se reprend pas, et la seule action possible consiste à demander poliment aux destinataires de le supprimer, ce qui n'est pas une mesure de sécurité mais un espoir.
Le deuxième défaut est l'exposition des destinataires entre eux : un envoi en copie visible communique à chaque personne les adresses de toutes les autres, divulgation que rien ne justifiait. Le troisième est l'absence de traçabilité utile : la boîte d'envoi dit à qui le message est parti le jour où il est parti, elle ne dit rien de qui détient encore le document six mois plus tard.
Le quatrième est le plus insidieux. Le mail groupé encourage à joindre le document complet, parce qu'extraire la partie utile demande un effort que personne ne fournit un vendredi soir. On envoie donc l'export intégral de l'annuaire quand la question portait sur trois contacts, et l'on crée un problème de conformité par pure économie de manipulation.
Le lien de partage ouvert transforme l'URL en mot de passe
Le drive partagé passe pour la version propre du mail groupé. Il l'est sur un point : le document reste unique et se met à jour pour tout le monde. Il ne l'est plus du tout dès que le partage est réglé sur le mode le plus commode, celui qui autorise toute personne disposant du lien.
Dans ce réglage, l'adresse du document devient le seul secret qui protège son contenu. Or une adresse se transfère, se colle dans un fil de discussion, se retrouve dans un message d'invitation à un événement, et survit indéfiniment à la raison qui avait motivé le partage. Personne n'a besoin de deviner quoi que ce soit : il suffit qu'un lien circule une fois de trop. Un contrôle d'accès qui ne vérifie aucune identité n'est pas un contrôle d'accès, c'est une obscurité.
Le second problème du drive partagé est la dérive silencieuse des droits. Un dossier créé pour trois personnes en accueille onze deux ans plus tard, dont deux ne sont plus membres du bureau, et rien dans l'interface ne signale que la situation a changé. Personne ne relit jamais les autorisations d'un dossier partagé. C'est la même mécanique de sédimentation que celle qui fait dériver un annuaire tenu sous tableur, décrite dans notre comparaison entre un annuaire sous Excel et un annuaire sous plateforme.
Minimisation : la question à se poser avant de partager, pas après
La CNIL définit la minimisation en une phrase qu'il vaut la peine de citer littéralement, parce qu'elle contient tout le raisonnement : « Les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. » L'exemple que donne la CNIL sur cette page est éclairant par sa banalité : collecter et conserver la situation maritale d'un salarié n'est pas nécessaire à la gestion des ressources humaines.
Transposé au partage de documents dans un réseau alumni, ce principe se traduit par une question unique, posée avant l'envoi et non après l'incident : de quoi mon destinataire a-t-il réellement besoin pour faire ce que je lui demande ? Le responsable d'une antenne régionale qui organise un afterwork a besoin des membres de sa région et de leur adresse de contact. Il n'a pas besoin de leur date de naissance, de leur employeur, du montant de leur cotisation ni de leur historique de connexion, tous champs qui se retrouvent pourtant dans l'export par défaut parce que l'export par défaut sort tout.
La minimisation a un effet secondaire rarement mis en avant : elle réduit mécaniquement la gravité de ce qui peut mal tourner. Un fichier limité au nécessaire reste embarrassant s'il fuit, il ne devient pas une affaire. C'est le meilleur argument à opposer au réflexe du tableau complet, et il ne demande qu'une minute de tri avant l'envoi. Le reste des obligations documentaires figure dans notre check-list RGPD pour un annuaire alumni.
Supprimer, et que la suppression soit vraie
Le droit à l'effacement est le point où les dispositifs improvisés cèdent le plus vite. Un ancien demande que ses données disparaissent, et le responsable alumni supprime consciencieusement sa fiche dans la plateforme. Pendant ce temps, le curriculum vitae que l'intéressé avait transmis pour une offre d'emploi dort dans le fil de discussion d'un référent carrière, la liste d'émargement de l'événement où il figure circule dans trois boîtes mail, et le fichier de préparation de l'assemblée générale qui reprend son nom est archivé dans un drive dont personne ne connaît plus l'existence.
La suppression n'a de sens que là où il n'existe qu'un exemplaire atteignable par une action de l'administrateur. C'est une propriété d'architecture, pas une bonne volonté. Si votre dispositif ne sait pas répondre en une opération à la question « où sont tous les documents contenant les données de cette personne », la réponse au demandeur sera approximative, et vous le saurez.
La même logique gouverne la sortie d'une plateforme, quand l'organisation change d'outil et doit obtenir la restitution puis l'effacement de l'ensemble : c'est le sujet de la réversibilité des données, où la question des documents joints est souvent oubliée au profit de la seule base de membres. Un export qui ramène les fiches mais laisse les pièces jointes derrière lui n'est pas un export complet.
Combien de temps conserver un document partagé
La CNIL rappelle un principe que les réseaux alumni appliquent rarement à leurs documents : « Les données personnelles ne peuvent pas être conservées indéfiniment. » La durée se détermine « en fonction de l'objectif ayant conduit à la collecte », ce qui interdit la réponse commode consistant à tout garder par précaution.
La CNIL distingue trois phases dans le cycle de vie d'une donnée, et la distinction est directement transposable à un document. En base active, la donnée est conservée le temps nécessaire à la réalisation de l'objectif, et elle reste accessible aux équipes opérationnelles : c'est le cas du fichier de préparation d'un événement tant que l'événement n'a pas eu lieu. En archivage intermédiaire, les données « ne sont plus utilisées pour atteindre l'objectif fixé » mais gardent un intérêt administratif, et leur accès est restreint à des personnes spécifiquement habilitées : c'est le statut naturel d'un procès-verbal d'assemblée générale une fois la séance close. En archivage définitif, la conservation est pérenne pour un intérêt historique ou stratégique, ce qui concerne une part très étroite des documents d'un réseau alumni.
Reste la question que tout le monde pose. Lorsque aucun texte ne fixe de durée, la CNIL indique qu'il revient au responsable de traitement de justifier celle qu'il retient. Le sujet n'est donc pas de trouver le bon nombre d'années quelque part, mais d'être capable d'expliquer son choix et de l'avoir écrit avant qu'on ne le demande. Une durée décidée et documentée, même discutable, vaut mieux qu'une absence de durée. La même exigence vaut pour l'hébergement et la sous-traitance, détaillés dans notre guide RGPD et hébergement.
Quand le partage simple reste le bon choix
Il serait malhonnête de conclure que tout partage par mail ou par lien est fautif. Une grande partie des documents qui circulent dans un réseau alumni ne contiennent aucune donnée personnelle, et pour ceux là, la lourdeur n'apporte rien. Le programme d'un événement, la plaquette de présentation de l'association, un modèle de convention vierge, les statuts publics de la structure : ces documents sont faits pour circuler, et un lien ouvert est le bon outil.
De même, envoyer un document à une seule personne identifiée, dans le cadre d'un échange qu'elle a elle même engagé, ne pose pas de difficulté particulière tant que le document se limite à ce qu'exige l'échange. Le partage devient un sujet à partir du moment où trois conditions se réunissent : le document contient des données personnelles, il s'adresse à un groupe plutôt qu'à une personne, et il a vocation à rester disponible dans le temps.
Le bon réflexe n'est donc pas de tout verrouiller, ce qui produit invariablement un contournement, mais de savoir reconnaître ces trois conditions. Un dispositif qui impose la même rigueur au programme du gala qu'à la liste des cotisants finit abandonné au profit du drive personnel d'un bénévole, le pire résultat possible.
Mettre en place un partage conforme, en sept étapes
- Qualifiez le document avant de le partager. Contient il des données personnelles ? Si non, un lien ouvert convient. Si oui, la suite s'applique.
- Réduisez le contenu au nécessaire. Supprimez les colonnes et les pages dont le destinataire n'a pas besoin pour la tâche demandée. C'est l'application directe de la minimisation.
- Choisissez un canal qui porte le contrôle d'accès. Le fichier doit rester unique et les droits doivent s'attacher à lui, pas à la connaissance d'une adresse.
- Désignez un périmètre, pas une liste de personnes. Les participants d'une conversation, les membres d'un bureau : un périmètre se met à jour tout seul, une liste nominative se périme dès la première élection.
- Fixez la durée au moment du dépôt. Décidez à quelle échéance le document passe en accès restreint puis disparaît, et écrivez cette décision quelque part de retrouvable.
- Vérifiez ce que voit réellement un destinataire. Ouvrez le document depuis un compte qui n'est pas le vôtre, et depuis une session sans connexion. C'est le seul test qui révèle un partage trop ouvert.
- Repassez les accès en revue à date fixe. Une fois par an, à l'occasion du renouvellement du bureau, relisez qui a accès à quoi et retirez ce qui n'a plus de raison d'être.
Ce que change une pièce jointe en messagerie, et dans quelles offres
Sur Terrilink, un document se partage à l'intérieur d'une conversation plutôt qu'à côté d'elle. La différence n'est pas cosmétique : le fichier n'est lisible que par les participants de la conversation, le contrôle d'accès est porté par le fichier lui même, et il n'existe aucune adresse publique qui permettrait d'y accéder sans passer par le contrôle. Un lien recopié dans un autre contexte ne donne rien à qui n'a pas les droits.
Les limites sont explicites plutôt qu'implicites : 5 fichiers par message et 10 Mo par fichier. Une limite connue vaut mieux qu'un plafond découvert au mauvais moment, et elle a un effet vertueux de sélection : on joint le document utile, pas le dossier entier. Le retrait d'un membre d'une conversation lui retire l'accès aux pièces qui y sont attachées, ce qui rend la révocation réelle plutôt que déclarative.
Un point à ne pas confondre, parce qu'il détermine le choix de l'offre. La messagerie existe dans toutes les offres Terrilink, y compris Starter. Les pièces jointes en messagerie, elles, ne figurent que dans les offres Premium et Business Club. Si votre réseau est en Starter ou en Pro, vos membres peuvent échanger des messages, mais pas y attacher de documents : c'est exactement le genre de détail qu'il vaut mieux avoir vérifié avant de bâtir un processus dessus. La question de l'hébergement de ces fichiers relève quant à elle du choix d'architecture, que nous détaillons dans notre article sur la souveraineté des données alumni.
Aucun outil ne dispense du tri décrit plus haut. Ce qu'il apporte, c'est que les décisions prises une fois restent tenues sans dépendre de la vigilance de chacun, ce que ni la boîte mail ni le drive partagé ne savent faire : voir la page Terrilink for Alumni.
En bref
Peut-on envoyer l'annuaire alumni en pièce jointe d'un mail groupé ?
C'est le cas typique à éviter. L'envoi crée autant de copies que de destinataires, aucune ne peut être reprise, et l'export par défaut contient presque toujours plus de champs que nécessaire. La CNIL rappelle que les données doivent être limitées à ce qui est nécessaire au regard des finalités poursuivies : commencez par retirer les colonnes inutiles, puis donnez accès plutôt que d'envoyer.
Un lien de drive accessible à toute personne qui en dispose est il conforme ?
Dans ce réglage, l'adresse du document est le seul secret qui le protège, et une adresse se transfère sans laisser de trace. Ce n'est acceptable que pour un document sans donnée personnelle, destiné à circuler. Dès qu'il y a des données personnelles, l'accès doit être vérifié par une identité, pas par la connaissance d'une URL.
Combien de temps faut il conserver un document partagé dans un réseau alumni ?
La CNIL indique que les données personnelles ne peuvent pas être conservées indéfiniment et que la durée se détermine en fonction de l'objectif ayant conduit à la collecte, avec trois phases possibles : base active, archivage intermédiaire à accès restreint, archivage définitif. Lorsque aucun texte ne fixe de durée, il revient au responsable de traitement de justifier celle qu'il retient. Décidez donc une durée et écrivez la.
Les pièces jointes en messagerie sont elles disponibles dans toutes les offres Terrilink ?
Non. La messagerie est présente dans toutes les offres, y compris Starter, mais les pièces jointes en messagerie ne figurent que dans les offres Premium et Business Club. Les limites sont de 5 fichiers par message et de 10 Mo par fichier.
Note de méthode et sources. Les deux principes juridiques cités proviennent du site de la CNIL, consulté le 31 août 2026 : la définition de la minimisation et la page sur les durées de conservation des données, dont sont repris les trois phases et le principe de justification de la durée. Nous ne citons aucun article du règlement à l'appui de ces pages, qui n'en mentionnent pas. Les limites de 5 fichiers par message et de 10 Mo par fichier, ainsi que la disponibilité des pièces jointes en messagerie dans les seules offres Premium et Business Club, relèvent de la documentation produit Terrilink. Le reste de l'article décrit des constats d'organisation issus de notre pratique et non des mesures : nous n'avançons volontairement aucune statistique sur les pratiques de partage de documents. Cet article ne constitue pas un conseil juridique ; pour une question précise, référez-vous aux textes officiels ou à votre délégué à la protection des données.