Un lien partagé il y a huit mois, jamais désactivé. Un ancien collaborateur qui a toujours accès à des dossiers clients trois ans après son départ. Un acquéreur qui a abandonné une négociation mais conserve son accès à la data room. Ce ne sont pas des scénarios rares — c'est la conséquence directe d'accès qui n'ont jamais été conçus pour s'éteindre. L'expiration automatique corrige ce point mort.
Qu'est-ce que l'expiration des accès ?
L'expiration des accès est une règle qui met fin automatiquement, à une date ou après une durée définie, à la capacité d'un destinataire de consulter un document ou un espace partagé — sans qu'une action manuelle soit nécessaire au moment de la coupure.
C'est fondamentalement différent de la révocation manuelle, qui dépend de la mémoire de quelqu'un pour être exécutée. L'expiration, elle, est programmée dès l'ouverture de l'accès : elle ne repose sur aucune vigilance humaine ultérieure.
Deux façons de définir une expiration
Par date fixe
L'accès s'arrête à une date précise, par exemple la date de clôture prévue d'une opération.
Par durée glissante
L'accès s'arrête après X jours d'inactivité ou X jours depuis l'octroi, utile quand l'échéance exacte n'est pas connue à l'avance.
Pourquoi ce réflexe est-il si souvent négligé ?
Parce qu'ouvrir un accès est une action volontaire et visible — on y pense au moment d'envoyer un document — alors que le fermer est une action différée, invisible, qui dépend de se souvenir d'y revenir plus tard. Entre les deux, il n'y a souvent personne en charge de la surveillance.
💡 Le constat le plus fréquent en audit documentaire : ce ne sont presque jamais des accès ouverts par erreur qui posent problème, mais des accès légitimement ouverts... et jamais refermés une fois leur raison d'être disparue.
Ce phénomène s'accentue avec le nombre de dossiers traités et le turnover des équipes : plus un cabinet grandit, plus le nombre d'accès actifs — et oubliés — augmente silencieusement.
Quels risques concrets quand un accès ne s'éteint jamais ?
Ancien collaborateur
Conserve l'accès à des dossiers clients après son départ, y compris chez un cabinet concurrent, si l'accès n'a pas été explicitement coupé.
Acquéreur écarté
Reste inscrit dans une data room de due diligence après le choix d'un autre repreneur, avec un accès toujours actif à des informations sensibles.
Client historique
Conserve un accès à son espace après la fin de la mission, ce qui pose la question de la durée de conservation des données qui y figurent.
Lien partagé oublié
Un lien de partage envoyé par email il y a plusieurs mois reste valide indéfiniment si personne ne pense à le désactiver.
Dans chacun de ces cas, le risque n'est pas hypothétique : il est directement proportionnel au nombre d'accès non expirés qui s'accumulent, dossier après dossier, année après année.
Quels documents nécessitent une expiration automatique ?
Toutes les données ne présentent pas le même niveau de risque. Voici une grille de lecture pratique :
| Type de partage | Expiration recommandée | Justification |
|---|---|---|
| Data room de due diligence | À la date de clôture prévue de l'opération | L'accès n'a plus de raison d'être une fois la décision prise |
| Accès collaborateur à un dossier | Au départ du collaborateur ou à la clôture du dossier | Éviter un accès résiduel non lié à une mission en cours |
| Lien de partage ponctuel (pièce isolée) | Quelques jours à quelques semaines | Le partage ponctuel n'a pas vocation à durer |
| Espace client actif | Tant que le dossier est ouvert, avec révision périodique | Suivi de dossier vivant, pas d'expiration automatique stricte nécessaire |
| Accès partie adverse en contentieux | À la clôture de la procédure ou de la phase concernée | Limiter l'exposition des pièces au strict temps utile |
Pour approfondir la structuration des accès en amont d'une opération, voir notre guide complet sur les data rooms sécurisées et notre article sur le partage de documents avec un client en toute sécurité.
Expiration automatique ou révocation manuelle ?
Les deux mécanismes sont complémentaires, pas concurrents.
Révocation manuelle
- → Nécessaire quand un événement imprévu impose une coupure immédiate
- → Dépend d'une action humaine, donc d'un oubli possible
- → Utile en complément, jamais suffisante seule
Expiration automatique
- → S'applique même si personne n'y pense au bon moment
- → Définie dès l'ouverture de l'accès, pas après coup
- → Constitue le filet de sécurité par défaut
⚠️ Point de vigilance : une politique reposant uniquement sur « on pensera à révoquer l'accès à la fin » ne survit pas à la charge de travail réelle d'un cabinet. L'expiration automatique doit être la règle par défaut ; la révocation manuelle, l'exception pour les cas imprévus.
Comment définir une politique d'expiration pour votre cabinet ?
Fixez une durée par défaut selon le type de partage
Par exemple : 30 jours pour un lien ponctuel, jusqu'à la date de clôture prévue pour une data room, immédiatement au départ pour un accès collaborateur.
Intégrez la coupure d'accès à votre checklist de clôture de dossier
La révocation des accès doit être une étape formelle de fin de mission, au même titre que l'archivage du dossier.
Auditez périodiquement les accès actifs
Une revue trimestrielle des accès ouverts permet de repérer ceux qui n'ont plus de justification, avant qu'ils ne deviennent un angle mort durable.
Prévoyez une prolongation explicite, jamais tacite
Si un accès doit durer plus longtemps que prévu, la prolongation doit être une décision consciente, pas l'absence d'action de coupure.
Ce réflexe rejoint directement les exigences de sécurité des traitements et de limitation de la conservation posées par le RGPD : ne conserver un accès à des données que le temps nécessaire à la finalité poursuivie. Les ressources de la CNIL détaillent ces principes de minimisation applicables à tout traitement de données personnelles, y compris documentaires.
Chez NetJuris
Chaque accès partagé depuis NetJuris — espace client, data room ou lien de partage — peut recevoir une date d'expiration dès sa création, avec révocation immédiate possible à tout moment et journal d'audit conservé après coupure.
FAQ
Que devient un document une fois l'accès expiré ?
Le document reste dans votre système et dans le dossier du cabinet. Seul l'accès du destinataire externe est coupé — vous ne perdez rien, vous fermez simplement une porte devenue inutile.
Un accès expiré peut-il être réactivé ?
Oui, si le besoin réapparaît (reprise de négociation, nouvelle question sur un dossier clos), un accès peut être rouvert explicitement, avec une nouvelle date d'expiration.
Faut-il prévenir le destinataire avant l'expiration ?
C'est une bonne pratique lorsque l'accès concerne un suivi actif : un message automatique quelques jours avant l'échéance évite les mauvaises surprises et permet de demander une prolongation si elle est justifiée.
L'expiration s'applique-t-elle aussi aux pièces jointes déjà téléchargées ?
Non — c'est une limite importante à connaître : l'expiration coupe l'accès à la source, mais ne peut pas supprimer une copie déjà téléchargée sur l'appareil du destinataire. C'est un argument supplémentaire pour restreindre le téléchargement des documents les plus sensibles.
Publié le 2026-02-21. Contenu informatif destiné aux professionnels du droit. Pour les principes de minimisation et de conservation des données, consultez les ressources de la CNIL.