Pratiques de conservation des données des fournisseurs

Une compagnie d'assurance a mis fin à sa relation avec un fournisseur de gestion des sinistres en suivant sa procédure standard de fin de relation : envoi d'un avis de résiliation écrit, demande de suppression des données sous trente jours et réception d'une confirmation de suppression signée par le gestionnaire de compte du fournisseur. Deux ans plus tard, ce même fournisseur a déclaré une violation de données. La notification de violation mentionnait les assurés de la compagnie parmi les personnes touchées : nom, adresse, numéro de police et historique des sinistres. L'équipe juridique de la compagnie a aussitôt invoqué la confirmation de suppression reçue deux ans plus tôt. L'enquête forensique du fournisseur a établi que la suppression avait été effectuée sur la base de données de traitement principale, mais pas sur le système de sauvegarde, ni sur la copie de l'environnement de développement utilisée pour les tests, ni sur les exports de rapports archivés, ni sur les données détenues par le sous-traitant ultérieur d'analyse du fournisseur. Le gestionnaire de compte avait confirmé la suppression de ce dont il avait connaissance. Quatre référentiels dont il ignorait l'existence avaient conservé les données pendant deux ans après la suppression confirmée.

Pourquoi c’est important

La conservation des données par les fournisseurs importe pour le TPRM parce que les données détenues par un fournisseur au-delà de la durée nécessaire représentent un risque résiduel pur, un risque sans aucun bénéfice opérationnel en contrepartie. Les données dont le fournisseur n'a plus besoin pour aucune finalité de traitement n'apportent aucune valeur. Elles n'apportent que de l'exposition. Chaque jour où des données clients subsistent dans un système du fournisseur après que leur finalité de conservation a été atteinte est un jour pendant lequel elles peuvent faire l'objet d'une violation, être consultées par des tiers non autorisés, être découvertes lors d'un audit réglementaire ou faire l'objet d'une demande d'exercice de droits d'une personne concernée que le fournisseur ne peut satisfaire parce que ses registres de suppression ne reflètent pas l'emplacement de toutes les copies.

La dimension réglementaire est explicite et de plus en plus sanctionnée. Le principe de limitation de la conservation du GDPR (article 5(1)(e)) exige que les données personnelles ne soient pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées. Le CCPA crée des obligations équivalentes. La HIPAA fixe des durées de conservation précises pour les PHI et exige des partenaires commerciaux qu'ils suppriment les PHI lorsqu'elles ne sont plus nécessaires à la finalité précisée dans le BAA. Ces obligations s'étendent aux données détenues par les sous-traitants et sous-traitants ultérieurs pour le compte du responsable du traitement : l'obligation de conservation du client ne prend pas fin lorsque les données quittent ses systèmes pour entrer dans ceux du fournisseur. Elle se poursuit jusqu'à ce que les données soient correctement supprimées de chaque système de la chaîne de traitement.

Les conséquences sur le périmètre d'une violation constituent le facteur de risque le plus immédiatement tangible. Lorsqu'un fournisseur subit une violation, le périmètre des données touchées est déterminé par ce qu'il détient au moment de la violation : pas ce qu'il avait besoin de détenir, pas ce que le contrat l'autorisait à détenir, mais ce qui se trouvait réellement dans ses systèmes. Un fournisseur dont le système de sauvegarde conserve sept ans de données clients déclarera une violation portant sur sept ans de données, même si la relation opérationnelle ne nécessitait que l'année en cours. Le périmètre de la notification, l'exposition réglementaire et le préjudice subi par les personnes concernées sont tous à la mesure de l'accumulation historique qu'aucune gouvernance n'a jamais fait disparaître.

Là où la plupart des équipes se trompent

La défaillance la plus répandue consiste à assimiler la confirmation de suppression à une suppression vérifiée. Un fournisseur qui confirme la suppression des données d'un client confirme que quelqu'un a effectué une action qu'il considère comme une suppression. La question de savoir si cette action a couvert tous les systèmes où se trouvaient les données (bases de données principales, sauvegardes, environnements de développement, archives, sous-traitants ultérieurs) est distincte, et la confirmation n'y répond pas. La plupart des confirmations de suppression sont signées par des gestionnaires de compte ou des interlocuteurs opérationnels qui ont accès aux systèmes principaux mais aucune visibilité sur l'ensemble de l'empreinte des données. La confirmation est sincère. Elle n'est pas exhaustive.

La deuxième défaillance consiste à ne pas préciser d'exigences de conservation pendant la relation opérationnelle. La plupart des accords de traitement des données règlent ce qui se passe à la résiliation : données supprimées dans les trente jours, suppression confirmée par écrit. Ils restent en grande partie muets sur les pratiques de conservation pendant la relation : durée de conservation des sauvegardes, présence ou non de données clients dans les environnements de développement, soumission ou non des exports analytiques à des politiques de conservation, et pratiques de conservation des sous-traitants ultérieurs. La clause de résiliation régit la fin de la relation. L'absence d'exigences de conservation opérationnelles ne régit rien pendant toute sa durée.

Assimiler la confirmation de suppression à une suppression vérifiée : la confirmation d'un gestionnaire de compte n'est pas un audit de tous les systèmes où se trouvent les données
Exigences de conservation absentes des dispositions opérationnelles du DPA : des contrats qui traitent de la suppression déclenchée par la résiliation mais restent muets sur la conservation des sauvegardes, les données des environnements de développement et la gouvernance des archives analytiques
Aucun mécanisme de vérification de la suppression : aucun processus pour confirmer que la suppression a été complète dans tous les référentiels, avec une confiance entière dans l'auto-attestation du fournisseur
Suppression non déclenchée chez les sous-traitants ultérieurs : suppression exécutée par le fournisseur principal sans obligation correspondante ni vérification que les sous-traitants ultérieurs ont supprimé leurs copies
Aucun droit d'audit de la suppression : des DPA qui exigent la suppression sans donner au client le droit de la vérifier par un audit, un test ou une certification par un tiers

À quoi ressemblent les bonnes pratiques

Les programmes matures de gouvernance de la conservation par les fournisseurs définissent des exigences de conservation pour chaque étape du cycle de vie des données (traitement actif, conservation des sauvegardes, utilisation pour le développement et les tests, fin de relation) et intègrent la vérification de la suppression au processus de fin de relation plutôt que d'accepter une confirmation non vérifiée. La politique de conservation est précisée contractuellement. Le processus de suppression couvre tous les référentiels. La vérification est documentée.

Calendrier de conservation complet dans le DPA : durées maximales de conservation précisées pour les données principales, les sauvegardes, les environnements de développement, les exports analytiques et les données archivées, et pas seulement la suppression déclenchée par la fin du contrat
Obligation de suppression dans tous les référentiels : exigence de suppression précisée pour couvrir tous les emplacements où se trouvent les données, y compris les sauvegardes, les copies de DR, les environnements de développement et les sous-traitants ultérieurs
Vérification de la suppression au-delà de la confirmation : certificat de suppression établi par un responsable technique, preuves d'inventaire des données avant et après suppression, ou certification par un tiers pour les relations les plus à risque
Déclenchement de la suppression chez les sous-traitants ultérieurs : l'obligation de suppression du fournisseur principal doit contractuellement se répercuter sur tous les sous-traitants ultérieurs ayant reçu les données
Droit d'audit de la suppression : droit contractuel du client de vérifier la suppression par un audit ou une certification, offrant un moyen de contrôle allant au-delà de l'auto-attestation
Application automatisée de la conservation : politiques de conservation appliquées par des contrôles techniques plutôt que par des processus manuels, ce qui réduit la dépendance à la vigilance individuelle et au respect des procédures

Outils

Gouverner la conservation des données par les fournisseurs exige à la fois des mécanismes contractuels et des contrôles techniques capables d'imposer et de vérifier la suppression sur l'ensemble de l'empreinte des données.

Gestion du cycle de vie des données : Microsoft Purview, OpenText, Veritas

Les plateformes de gestion du cycle de vie des données automatisent l'application des politiques de conservation : application des calendriers de conservation à l'ensemble des systèmes de stockage, déclenchement de la suppression à l'expiration des durées de conservation et tenue de journaux d'audit des suppressions. Pour les fournisseurs qui utilisent des plateformes DLM d'entreprise, l'application automatisée de la conservation offre une assurance plus solide que les processus de suppression manuels, car elle supprime l'étape humaine que représentait le gestionnaire de compte de la compagnie d'assurance. Pour les professionnels du TPRM, demander si le fournisseur recourt à une application automatisée des politiques de conservation, plutôt qu'à une suppression manuelle déclenchée par les demandes des clients, permet de mesurer la maturité technique de son programme de conservation.

Découverte des données pour définir le périmètre de suppression : BigID, Varonis, Spirion

Avant de pouvoir supprimer complètement des données, il faut connaître chaque emplacement où elles se trouvent. Les plateformes de découverte des données identifient où se trouvent les données personnelles dans les systèmes de stockage d'une organisation et fournissent l'inventaire qui rend possible une suppression complète. Un fournisseur qui effectue une analyse de découverte ciblée sur les données d'un client avant d'exécuter une suppression peut en confirmer l'exhaustivité, ce que ne peut pas faire un fournisseur dépourvu de capacité de découverte. Pour les professionnels du TPRM, demander si le fournisseur utilise des outils de découverte des données pour repérer tous les emplacements des données du client avant d'exécuter les demandes de suppression est une question de capacité précise qui détermine si une suppression complète est techniquement réalisable.

Certificat de suppression : cabinets d'audit tiers, suppression certifiée ISO 27001

Pour les relations fournisseurs les plus à risque, une suppression certifiée par un tiers offre une assurance plus solide que l'auto-attestation du fournisseur. Des services spécialisés de destruction de données et de certification de suppression délivrent, après vérification indépendante, des certificats de suppression signés cryptographiquement couvrant des systèmes déterminés. Pour les organisations qui mettent fin à des relations fournisseurs impliquant de grands volumes de données sensibles à un très haut degré, exiger un certificat de suppression établi par un tiers plutôt qu'une confirmation du gestionnaire de compte crée un enregistrement de suppression documenté et vérifié de manière indépendante.

Gestion du cycle de vie des contrats : Ironclad, Icertis

Les plateformes CLM dotées d'un suivi automatisé des obligations contractuelles peuvent déclencher les processus de fin de relation à la résiliation des contrats : génération automatique des demandes de suppression, suivi des délais de confirmation et signalement des réponses en retard. Pour les programmes de TPRM qui gèrent de vastes portefeuilles de fournisseurs, le suivi automatisé des obligations de fin de relation évite les failles des processus manuels qui laissent des confirmations de suppression non obtenues ou des données subsister indéfiniment après la fin des relations.

Enjeux de gouvernance

La difficulté de gouvernance de la conservation des données par les fournisseurs tient à l'invisibilité de l'accumulation. Pendant une relation active avec un fournisseur, les données s'accumulent dans les systèmes de sauvegarde, les environnements de développement et les archives par des processus tout à fait normaux et en grande partie invisibles pour le client. Personne n'envoie de notification lorsqu'une nouvelle sauvegarde contenant les données du client est créée. Personne ne déclenche de revue lorsqu'un environnement de développement est alimenté avec une copie des données de production. L'accumulation est silencieuse et continue, et son ampleur reste généralement inconnue jusqu'à ce qu'une demande de fin de relation révèle l'écart entre ce que détient le système principal et ce que détiennent l'ensemble des systèmes.

Pour les programmes de TPRM, l'approche de gouvernance pratique consiste à rendre les exigences de conservation explicites et complètes dès la contractualisation : définir des durées maximales de conservation pour toutes les catégories de données et tous les types de systèmes, exiger une application automatisée lorsque c'est possible, et prévoir un droit de vérification que le client peut exercer à la fin de la relation. Un fournisseur qui a fonctionné sous des exigences de conservation explicites tout au long de la relation aura, à la résiliation, une empreinte de données plus réduite et mieux gouvernée que celui qui a tout conservé par défaut et à qui l'on demande de tout supprimer à la fin.

Définir les exigences de conservation dès la contractualisation : durées maximales pour tous les types de données et toutes les catégories de systèmes, avant que l'accumulation ne commence
Exiger une application automatisée de la conservation lorsque c'est techniquement possible, afin de réduire la dépendance à des processus de suppression manuels exécutés par les gestionnaires de compte
Prévoir un droit de vérification de la suppression : droit contractuel d'exiger des preuves de suppression allant au-delà de l'auto-attestation, exerçable à la fin de la relation
Inclure la suppression par les sous-traitants ultérieurs dans la liste de contrôle de fin de relation : confirmation que les sous-traitants ultérieurs ont été informés et que la suppression a été vérifiée, et pas seulement la suppression par le fournisseur principal
Mener des audits périodiques de conservation pour les relations de longue durée : demander aux fournisseurs de confirmer leur empreinte de données actuelle et de vérifier sa conformité aux attentes de la politique de conservation avant la fin de la relation

Si vous êtes une petite équipe

Modifiez dès maintenant un élément de votre processus de fin de relation : remplacez le circuit demande de suppression et confirmation par un circuit demande de suppression, confirmation et vérification. Pour les fins de relation les plus à risque, ajoutez une étape après réception de la confirmation de suppression : demandez au fournisseur de prouver le périmètre de la suppression. Quels systèmes précis ont été inclus, et l'environnement de développement, le système de sauvegarde et les données des éventuels sous-traitants ultérieurs l'ont-ils été ? Cette seule question supplémentaire fera apparaître une suppression incomplète avant qu'elle ne devienne une notification de violation deux ans plus tard.

Ajouter la vérification du périmètre de suppression à votre processus de fin de relation : quels systèmes ont été inclus, et pas seulement si la suppression a été effectuée
Ajouter explicitement la suppression des sauvegardes, des environnements de développement et des données des sous-traitants ultérieurs à votre modèle de demande de suppression
Pour les fins de relation les plus à risque, exiger que la confirmation de suppression soit signée par un responsable technique plutôt que par un gestionnaire de compte
Ajouter des durées maximales de conservation des sauvegardes lors du prochain renouvellement de votre DPA, afin d'éviter le problème de l'accumulation de sauvegardes sur sept ans

Ce qu’il faut exiger

Demandez directement :

« Lorsque nous demandons la suppression de nos données à la fin du contrat, quels systèmes précis votre processus de suppression couvre-t-il, et inclut-il les systèmes de sauvegarde, les copies de reprise après sinistre, les environnements de développement et de test, les exports analytiques et les données des sous-traitants ultérieurs ? »

« Quelle est votre durée maximale de conservation des sauvegardes, et les sauvegardes des données clients sont-elles soumises au même délai de suppression que les données du système principal lorsqu'une demande de suppression est reçue ? »

« Quelles preuves pouvez-vous fournir pour vérifier que la suppression a été complète sur l'ensemble des systèmes, au-delà de la confirmation du gestionnaire de compte, par exemple une attestation d'un responsable technique, une comparaison d'inventaires de données ou un certificat de suppression établi par un tiers ? »

Preuves attendues

Documentation du périmètre de suppression : tous les systèmes inclus dans le processus de suppression, avec confirmation explicite que les sauvegardes, les environnements de développement et les sous-traitants ultérieurs sont couverts
Politique de conservation des sauvegardes : durées maximales de conservation et purge éventuelle des sauvegardes à la suite des demandes de suppression
Preuves techniques de vérification de la suppression : au-delà de la confirmation du gestionnaire de compte, un enregistrement techniquement vérifiable du périmètre de suppression
Confirmation du déclenchement de la suppression chez les sous-traitants ultérieurs : les demandes de suppression se répercutent sur les sous-traitants ultérieurs

Un fournisseur qui répond à la question sur le périmètre de suppression par « nous supprimons toutes vos données sur demande » doit être invité à préciser si cela inclut les bandes de sauvegarde ou les instantanés de sauvegarde cloud, les copies des environnements de développement et les données détenues par ses sous-traitants ultérieurs d'analyse ou d'infrastructure. La déclaration générale exprime l'intention. Le périmètre couvert pour chaque type de système constitue la preuve.

Comment le prouver

La limitation de la conservation du GDPR, le droit à la suppression du CCPA et les exigences d'élimination des PHI de la HIPAA créent tous des obligations de suppression vérifiée des données personnelles lorsqu'elles ne sont plus nécessaires. Démontrer sa diligence raisonnable exige de prouver que la suppression a été complète et vérifiée, et non simplement demandée et confirmée au niveau du système principal.

Dossiers des demandes de suppression précisant explicitement un périmètre couvrant tous les systèmes
Confirmation du périmètre de suppression incluant les sauvegardes, les environnements de développement et les sous-traitants ultérieurs
Preuves de vérification allant au-delà de la confirmation du gestionnaire de compte pour les fins de relation les plus à risque
Documentation du calendrier de conservation du DPA couvrant tous les types de systèmes
Confirmation de la répercussion de la suppression sur les sous-traitants ultérieurs pour les relations résiliées

À retenir

Une suppression confirmée et une suppression vérifiée ne sont pas le même événement. Un gestionnaire de compte qui confirme une suppression confirme ce à quoi il avait accès et ce dont il avait connaissance. Le système de sauvegarde, l'environnement de développement, l'archive analytique et le sous-traitant ultérieur disposaient de leurs propres copies, dont le gestionnaire de compte ignorait peut-être l'existence. Les données censées avoir disparu ont survécu dans ces systèmes et, deux ans plus tard, elles figuraient dans une notification de violation. La gouvernance de la conservation des données par les fournisseurs n'est pas achevée lorsque la demande de suppression est envoyée et la confirmation archivée. Elle l'est lorsque chaque système ayant détenu les données (principal, sauvegarde, développement, archive, sous-traitant ultérieur) a été inclus dans la suppression et que celle-ci a été vérifiée au-delà de l'auto-attestation. Demandez le périmètre. Demandez les preuves. Une confirmation qui ne décrit pas ce qu'elle couvre confirme quelque chose de plus restreint que la suppression qui était nécessaire.