RGPD : repenser l’architecture des données client
Le règlement général sur la protection des données est entré en application en mai 2018. Huit ans plus tard, la plupart des organisations ont traité le volet juridique — registre, mentions, contrats — mais beaucoup moins le volet architecture. C’est pourtant là que se jouent la plupart des difficultés rencontrées lors d’un contrôle.
Quatre principes qui sont des contraintes techniques
Le règlement énonce des principes juridiques. Chacun se traduit par une exigence sur la façon dont vos données sont organisées.
| Principe | Traduction technique |
|---|---|
| Minimisation | Ne collecter que les champs utiles, et savoir lesquels le sont |
| Limitation de la conservation | Une durée par catégorie de données, et une purge qui s’exécute |
| Exactitude | Une source de référence par donnée, pas cinq copies divergentes |
| Intégrité et confidentialité | Chiffrement, cloisonnement, journalisation des accès |
À ces quatre principes s’ajoutent les droits des personnes : accès, rectification, effacement, portabilité. Les honorer suppose de savoir où se trouve chaque donnée concernant une personne. C’est une question d’architecture avant d’être une question de procédure.
Le point de blocage : la dispersion des copies
Dans la plupart des organisations, une même donnée client existe dans l’outil de gestion de la relation client, dans le système de facturation, dans un tableur sur le poste d’un collaborateur, dans des pièces jointes de messagerie, et dans un dossier partagé.
Cette dispersion rend trois obligations très difficiles à tenir : la purge à échéance, puisqu’il faudrait purger partout ; le droit à l’effacement, pour la même raison ; et la notification de violation sous 72 heures, puisqu’on ne sait pas quelles copies étaient exposées.
Les deux gisements les plus difficiles à maîtriser sont presque toujours les mêmes : les pièces jointes des messageries, et les fichiers déposés sur des services de partage non recensés.
Par où commencer
- Cartographier les flux, pas seulement les bases. Une donnée qui sort par courriel ou par un service de transfert échappe à une cartographie qui ne regarde que les applications.
- Fixer une durée de conservation par catégorie, et vérifier qu’une purge automatique l’applique réellement. Une durée écrite dans le registre mais non appliquée aggrave la situation plutôt qu’elle ne la règle.
- Réduire le nombre de copies en remplaçant l’envoi de fichiers par le partage d’un accès. Un lien vers un document unique ne crée pas de copie chez le destinataire.
- Recenser et encadrer les outils d’échange. Les services adoptés spontanément par les équipes figurent rarement au registre.
- Journaliser les accès et les sorties, pour pouvoir répondre en cas de violation.
Le cas particulier des échanges avec l’extérieur
Questions fréquentes
Le RGPD impose-t-il une architecture particulière ?
Non, il n’impose aucune technologie. Il énonce des principes — minimisation, limitation de la conservation, exactitude, intégrité — dont le respect suppose en pratique de savoir où se trouvent les données et de pouvoir les purger.
Combien de temps peut-on conserver des données client ?
Le règlement ne fixe pas de durée universelle : elle doit être justifiée par la finalité. Les durées de prescription applicables et les référentiels de la CNIL servent de repères, et la durée retenue doit figurer au registre puis être réellement appliquée.
Que faire des pièces jointes contenant des données personnelles ?
Elles constituent l’un des gisements les plus difficiles à maîtriser, car chaque envoi crée une copie hors de votre contrôle. Remplacer l’envoi par le partage d’un accès révocable et daté réduit fortement le problème.
Qu’est-ce que le droit à la portabilité implique techniquement ?
De pouvoir extraire les données fournies par une personne dans un format structuré et lisible par machine. Cela suppose de savoir les localiser et de disposer d’un export, ce qui n’est pas acquis quand les données sont dispersées.
Par quoi commencer si rien n’a été fait sur l’architecture ?
Par la cartographie des flux sortants, qui est à la fois le point le plus souvent oublié et celui qui pose le plus de difficultés lors d’un contrôle ou d’une violation.
