Quelle différence entre cotraitant et sous-traitant pour l'accès aux documents ?

Selon justice.fr, tous les membres d'un groupement sont en relation contractuelle avec l'acheteur, alors qu'un sous-traitant n'a de contrat qu'avec le titulaire. Les accès se règlent donc différemment : le groupement partage un dossier commun, le sous-traitant reçoit ce que le titulaire décide.

À quelle fréquence revoir les accès ?

La CNIL recommande une revue des habilitations au moins une fois par an, et le retrait des accès dès qu'une personne change de mission ou quitte l'organisation.

Un assistant doit-il voir tous les documents du projet ?

Non. Il ne doit lire que les documents que la personne qui l'interroge a elle-même le droit de consulter.

Gérer l'accès aux documents d'un projet entre cotraitants

Quand plusieurs bureaux répondent ensemble à une consultation, ils partagent un projet sans partager une entreprise. Chacun apporte ses propres documents : notes de calcul, hypothèses, devis, parfois des données personnelles de salariés ou de clients. La question « qui voit quoi ? » se pose dès le premier jour, et elle se pose encore à la fin, quand un membre part ou que le marché s'achève. Cette page propose un cadre simple, puis explique les précautions à prendre si un assistant lit le dossier.

Cotraitant, sous-traitant : ce que dit la règle

La fiche de justice.fr sur la réponse à un marché en groupement (mise à jour le 01/01/2025) rappelle que le groupement momentané d'entreprises est un accord temporaire sans personnalité morale, qui présente une offre commune. À la différence de la sous-traitance, tous les membres du groupement sont en relation contractuelle avec l'acheteur. Tout groupement désigne un mandataire, interlocuteur de l'acheteur pendant l'exécution. Le groupement peut être solidaire (chaque membre répond de l'ensemble du marché), conjoint (chaque membre répond de ses prestations), ou conjoint avec mandataire solidaire, qui est, selon la fiche, le format le plus fréquent.

Pour la gestion des documents, cela donne deux repères :

Le mandataire a naturellement une vue d'ensemble, parce qu'il représente le groupement.
Chaque cotraitant est responsable de ses prestations : il n'a pas à voir ce qui relève du périmètre des autres, sauf quand il en a besoin pour son propre travail.

La fiche ne traite pas de l'accès aux documents : c'est un choix d'organisation que le groupement fait dans sa convention, avec ses propres juristes.

Quatre zones de documents

Zone	Contenu	Qui y accède
Commune	Programme, plans de base, comptes rendus de réunion, calendrier	Tous les membres du groupement
Interfaces	Plans et hypothèses d'un lot dont les autres lots ont besoin	Les membres concernés par l'interface
Propre à un membre	Notes de calcul de travail, modèles, chiffrage interne	Le membre seul
Mandataire	Échanges avec l'acheteur, pièces contractuelles, facturation	Le mandataire, et les membres désignés

Écrivez cette répartition dans une page d'une feuille, signée au démarrage. Quand un doute survient (« puis-je transmettre ce plan à un autre lot ? »), la réponse figure déjà quelque part.

Les règles d'accès à fixer

La fiche « Gérer les habilitations » de la CNIL (13/03/2024) donne un cadre que l'on peut appliquer telle quelle :

Des profils d'habilitation qui séparent les tâches et ne donnent à chacun que les données strictement nécessaires.
Une validation de chaque demande d'accès par un responsable, par exemple le chef de projet.
Un retrait des accès dès qu'une personne n'est plus habilitée : changement de mission ou fin de contrat.
Une revue au moins annuelle pour supprimer les comptes inutilisés et réaligner les droits.

Dans un groupement, ajoutez la fin de marché : à la clôture, chaque membre perd l'accès aux zones commune et interfaces, après avoir récupéré ses propres pièces. Ce moment est aussi celui de l'archivage des notes de calcul et de la clôture du dossier d'affaire.

Si un assistant lit le dossier

Un assistant qui répond « à partir des documents du projet » pose une question de plus : si Pierre n'a pas le droit de lire la zone propre à un autre bureau, l'assistant ne doit pas lui en citer le contenu. Deux précautions simples :

Un assistant par périmètre. Plutôt qu'un seul assistant branché sur tout le dossier, un assistant pour la zone commune, et un assistant interne par bureau pour ses propres pièces. ALMA, la plateforme éditée par IArche, permet de créer plusieurs agents, chacun avec ses propres sources de documents (voir la page des forfaits pour les nombres d'agents et de sources par forfait).
Un accès à l'assistant qui suit la règle d'accès aux documents. La page des fonctionnalités d'ALMA décrit le partage d'un agent avec son équipe, avec gestion des rôles et des permissions. Elle ne dit pas qu'on puisse y inviter des personnes extérieures à l'organisation : si votre groupement en a besoin, posez la question à l'éditeur avant de vous engager.

Dans les deux cas, le principe est le même : l'assistant n'a pas plus de droits que la personne qui l'interroge.

Données personnelles

La CNIL indique, dans ses questions-réponses du 18/07/2024, que l'organisme qui relie un système d'IA à sa propre base de connaissances est responsable de ce traitement quand elle contient des données personnelles. Dans un groupement, c'est un sujet à trancher entre membres : qui est responsable de quelle zone, et qui répond si une personne demande l'accès à ses données ? Écrivez la réponse dans la convention du groupement.

Pour démarrer

Faites la feuille des quatre zones avant d'importer quoi que ce soit dans un outil. Puis nommez une personne responsable des accès, et fixez deux dates : une revue à mi-parcours et une clôture. Pour la suite, voir par où commencer.