Le droit d'accès et de suppression des données est proche des exigences universelles en matière de réglementation de la confidentialité à travers le monde. Si les deux projets de loi fédéraux sur la protection des données récemment déposés au Congrès américain divergent largement sur la question de savoir si les consommateurs devraient bénéficier d'un droit d'action privé en cas de violation de la vie privée et si les PDG devraient être tenus responsables des violations de données, ils s'accordent étroitement sur l'importance centrale des droits individuels en matière de données : accès, notification et suppression.
Avant même la promulgation de ces projets de loi fédéraux concurrents sur la protection de la vie privée, les responsables de la protection de la vie privée (ainsi que les acteurs informatiques et de la sécurité chargés de leur mise en œuvre) s'inquiétaient discrètement de la disposition relative au droit à l'oubli du RGPD de l'UE. Avec l'arrivée de nouvelles réglementations et la date limite approche pour la loi californienne sur la protection de la vie privée des consommateurs avec ses droits de suppression de données, la consternation quant au respect des demandes de suppression de données s'intensifie.
La raison de cette préoccupation est que les droits de suppression des données sont distincts des autres droits d'accès aux donnéesPlutôt que d'exiger des entreprises qu'elles établissent simplement un rapport sur les données qu'elles collectent et traitent, la suppression des données nécessite en réalité un degré continu de spécificité, de compréhension et de contexte dans le traitement réel des données.
Les entreprises pourraient être en mesure de traiter une demande d'accès aux données (DSAR) plus ou moins manuellement avec des ressources suffisantes, pour un nombre limité de sources de données et un faible volume de demandes d'accès aux données (DSAR). Ce n'est tout simplement pas une solution envisageable pour les droits de suppression des données.
L'une de ces choses n'est pas comme les autres
Si les processus de suppression des données ne sont pas mis en œuvre efficacement, les entreprises sont confrontées à quelques conséquences désagréables :
– Tout d’abord, une seule demande de suppression de données peut consommer du temps et des ressources si les entreprises n’ont pas une idée claire des données à supprimer et de leur emplacement.
– Deuxièmement, les organisations s’exposent à des sanctions si elles ne mettent pas en œuvre un processus complet et vérifiable pour au moins retirer les données du traitement dans le délai prévu par la réglementation applicable.
– Et enfin, ils courent le risque d’une insatisfaction du client, ainsi que d’un impact négatif sur la marque, si un consommateur qui a fait une demande parvient à déterminer que ses données n’ont pas été supprimées.
Mais il y a plus encore : les entreprises doivent être en mesure de déterminer qu’elles ne collectent pas de nouvelles données une fois qu’elles ont reçu une demande de suppression de manière continue – pour ces personnes spécifiques qui ont fait une demande de suppression.
Par exemple, le procureur général de Californie stipule que les entreprises soumises à la loi californienne sur la protection de la vie privée des consommateurs (CCPA) répondant à une demande de suppression de données « n'ont pas à supprimer les données des systèmes d'archivage ou de sauvegarde (tant qu'elles n'y ont pas effectivement accédé ou utilisé ces systèmes) ». Cependant, comment les entreprises concernées peuvent-elles garantir que les données concernées par une demande de suppression ne seront pas traitées si elles sont transférées depuis une sauvegarde ou consultées par une application marketing ou analytique ?
Mettre en place un plan
Pour répondre efficacement aux demandes de suppression de données, les propriétaires de données et les équipes informatiques doivent savoir où les données sont réellement stockées avec un degré élevé de spécificité, corréler les données à un individu et intégrer le contexte commercial, réglementaire et commercial pour pouvoir déterminer si un élément de données spécifique doit être supprimé.
De plus, les entreprises doivent être en mesure de déterminer avec quels tiers les données de cet individu ont été partagées.
Pour éviter les catastrophes, il est conseillé d'établir un plan avant de recevoir votre première demande de suppression de données. Mais à quoi ressemble ce plan ? D'après notre expérience auprès de certaines des plus grandes entreprises mondiales, le processus type ressemble à ceci :
– Déterminer si la demande de suppression de données est légitime
– Vérifier l’identité du demandeur et valider sa demande
– Déterminer quelles catégories de données et quels attributs sont supprimés
– Déterminer où les données sont stockées
– Déterminer qui sont les propriétaires des données techniques et commerciales
– Définir comment supprimer les données
– Déterminer avec qui les données sont partagées et émettre une demande de suppression
– Définir des intervalles pour valider qu’aucune nouvelle donnée n’est traitée
– Définir un calendrier pour la conclusion de la demande de suppression des données
Bien entendu, tout plan doit définir comment répondre à la demande, qui est responsable de la gestion du processus et qui est responsable à chaque étape de la demande, depuis le point de réception jusqu’à la suppression effective des données.
Cependant, les droits de suppression des données ne peuvent pas être résolus par une politique ou un rapport : ils nécessitent une solution technique qui s'intègre dans un programme de gestion de la confidentialité plus large, avec une découverte de données orchestrée, un engagement client et une gouvernance.
L'approche de BigID
BigID construit (et met à jour) automatiquement un inventaire des informations personnelles dans l'ensemble de l'entreprise, en tirant parti des algorithmes de corrélation et d'apprentissage automatique pour classer et indexer les résultats par individu. Cette base permet aux analystes d'identifier rapidement les données concernées par une demande de suppression, d'intégrer le contexte commercial et réglementaire pour déterminer les données à supprimer, puis de localiser physiquement ces données.
Les analystes peuvent ensuite définir des workflows de délégation de tâches pour les propriétaires de données afin de couvrir toutes les informations clients applicables pouvant être purgées ou mises en attente de suppression : attributs spécifiques, catégories de données et emplacements physiques. L'architecture API first de BigID permet une intégration automatisée avec les systèmes de gestion des tickets afin de suivre et de gérer les tâches associées aux éléments de données individuels devant être masqués, chiffrés, expurgés ou supprimés définitivement.
Enfin, grâce à une requête d’inventaire configurable et individualisée, les entreprises peuvent valider qu’aucune nouvelle donnée n’est traitée, que ce soit par le biais de transferts de données tiers, de transferts à partir de sauvegardes ou d’accès par des applications.
Les demandes de suppression de données ne doivent donc pas être considérées comme un défi isolé, mais plutôt comme un aspect d'une initiative plus large de gestion de la confidentialité qui couvre plusieurs domaines et est soutenue par une intelligence des données soucieuse de la confidentialité qui fonctionne à grande échelle.
Téléchargez notre fiche technique pour en savoir plus sur la manière dont BigID permet l'exécution automatisée des droits d'accès aux données et facilite la validation continue des demandes de suppression de données individuelles.
Auteur
