Il y a un an, le Parlement européen et le Conseil de l’Union européenne (UE) ont présenté le Règlement général sur la protection des données (RGPD). Le RGPD entend renforcer et harmoniser la législation en matière de protection des données pour tous les citoyens de l’UE, tout en s’attaquant aux problèmes de protection de la vie privée résultant de l’évolution rapide du paysage contextuel des données à l’ère des données de masse (Big Data).
Le RGPD englobe de nouveaux principes de protection des données afin de permettre aux individus de contrôler leurs données personnelles, tels que le droit de s’opposer au profilage ou le droit à la portabilité des données. Cependant, le droit le plus controversé est le droit à l’effacement des données (ou droit à l’oubli), nouvellement introduit. Le droit à l’oubli permet au citoyen de demander l’effacement rétroactif de ses données personnelles de tous les endroits accessibles où elles ont pu être diffusées.
Les incidences du droit à l’oubli sur les processus de sauvegarde et d’archivage au sein de chaque unité organisationnelle traitant les données personnelles sont particulièrement intéressantes. Notamment, les procédures de sauvegarde et d’archivage déjà bien établies sont considérablement touchées par les exigences du RGPD. Eugenia Politou et ses collègues de l’Université du Pirée, en Grèce, ont analysé dans cet article les conséquences de la mise en œuvre du droit à l’oubli sur les procédures de sauvegarde physique et sur l’infonuagique (cloud computing), ainsi que ses conséquences sur les protocoles et les normes largement répandus et adoptés dans la conception de la plupart des systèmes.
Implication pour les normes
Bien que le RGPD autorise certaines exemptions à l’égard du droit d’être oublié, il est attendu que les procédures de sauvegarde spécifiques des normes internationales bien établies (telles que la série de normes ISO / CEI 27000) soient probablement contestées en vertu de la loi. Cela est dû au fait que le concept de sauvegarde spécifié par ces normes impose de stocker des copies exactes des données en tant que mécanisme de secours, que les organisations devraient utiliser que lorsque les choses « tournent mal ». Par conséquent, les normes considèrent que les sauvegardes sont immuables et ne peuvent donc pas ou ne doivent pas être modifiées, car chaque modification de données affecterait non seulement les données, mais également la sauvegarde entière.
Implication pour les politiques de rétention des données
Bien que le RGPD ne prescrive pas de délai spécifique pour la conservation des données personnelles, les données ont en réalité une durée de vie spécifique. En fait, les périodes de conservation des données sont déterminées par les exigences commerciales propres à certains secteurs et les législations nationales pertinentes. Cependant, le RGDP oblige les responsables du traitement des données à veiller à ce que la période de stockage des données personnelles soit limitée de manière stricte. Ces nouvelles exigences peuvent présenter certains problèmes techniques, principalement parce que les données des utilisateurs ne sont pas stockées dans un système unique, mais plutôt réparties sur plusieurs applications et stockages et peuvent se trouver sous différentes formes : courriels, fichiers, enregistrements de bases de données, etc. Cela sous-entend que les responsables du traitement doivent rechercher, identifier et supprimer de manière efficace et en temps utile toutes les données personnelles pertinentes qu’un individu demande d’effacer.
Implications pour les supports de stockage
Les procédures de sauvegarde ont pour habitude d’obliger les entreprises à conserver leurs sauvegardes sous forme de disques, qui peuvent varier d’un CD optique à un DVD en passant par les disques Blu-ray et les disques durs, ou sur bandes. Altérer les sauvegardes n’est en aucun cas une procédure simple, car les données stockées pourraient être dans un format obsolète, ce qui nécessite des efforts supplémentaires pour effectuer une recherche efficace dans le contenu, augmentant ainsi le coût et la complexité.
Implications pour les services de recherche
La technologie actuelle semble prendre du retard dans les méthodes d’algorithmes de recherche efficaces, capables de parcourir l’ensemble du paysage contextuel de données sans retard notable. Par conséquent, pour mettre en œuvre efficacement des services de recherche et de sauvegarde conformes à la RGDP et à l’archivage, il est clair que les limites technologiques du traitement des données doivent être élargies.
Implications pour les ERP et l’analyse de données
Les organisations du monde entier ont adopté le logiciel ERP (Enterprise Resource Planning) afin d’automatiser et de gérer leurs processus d’affaires. Une solution logicielle qui collecte, stocke et analyse des données personnelles (des données concernant les clients, par exemple) doit obligatoirement se conformer aux lois sur la protection des données et donc à la disposition du doit à l’oubli de la GDPR. La recherche de données personnelles sur des systèmes d’une telle ampleur et si complexes pourrait nécessiter énormément de temps et d’efforts.
L’altération des sauvegardes n’est pas un processus simple et elle est fortement tributaires des réglementations en matière de conservation des données et des supports utilisés pour les sauvegardes. En conséquence, appliquer les exigences du droit à l’oublie au stockage archivistique à long terme des organisations risque non seulement de toucher les opérations commerciales de suivi des données personnelles, mais aussi d’imposer des défis majeurs à l’analyse avancée des données ERP et aux décisions commerciales automatisées. Les normes de sauvegarde, qui devront inévitablement être alignées sur les dispositions du RGPD, auront de profondes implications.
Citer: Politou, E., Michota, A., Alepis, E., Pocs, M. et Patsakis, C. (2018). Backups and the right to be forgotten in the GDPR: An uneasy relationship. Computer law & security review, 34, 1247-1257.
Source: https://www.sciencedirect.com/science/article/pii/S0267364918301389?via%3Dihub
