« Une fois le formulaire conforme, le traitement est conforme pour toujours. »
La protection des données accompagne tout le cycle de vie : conception, collecte, utilisation, partage, conservation, changement et suppression.
01Commence avant la collecte
besoin métier
→ finalité précise
→ données strictement nécessaires
→ base légale à justifier
→ acteurs et destinataires
→ durée
→ sécurité
→ informationLa protection dès la conception évite de corriger trop tard un système qui collecte ou conserve plus que nécessaire.
02Applique la minimisation
Pose une question pour chaque champ :
Cette donnée est-elle nécessaire à la finalité ?Si la réponse est seulement « cela pourrait être utile un jour », la justification est insuffisante.
La minimisation porte aussi sur les accès : une donnée nécessaire au traitement n’est pas nécessairement accessible à tous les utilisateurs.
03Rends le traitement compréhensible
L’information doit permettre aux personnes de comprendre notamment :
qui traite
pourquoi
sur quelle base
quelles données
pour quels destinataires
combien de temps
quels droits
comment contacter le point de contact pertinentUn texte générique sans lien avec le traitement réel ne démontre pas la transparence.
04Prévois l’exercice des droits
La conception opérationnelle doit prévoir un chemin vérifiable :
réception de la demande
→ vérification adaptée de l'identité
→ qualification de la demande
→ recherche des données et systèmes concernés
→ décision
→ réponse
→ preuve de traitement de la demandeLe technicien n’invente pas la réponse juridique : il fournit les éléments techniques nécessaires au processus défini.
05Limite la conservation
Une durée doit être reliée à la finalité ou à une obligation applicable.
base active
→ données nécessaires au service
archivage intermédiaire éventuel
→ accès et motif limités
fin de durée
→ suppression ou anonymisation selon la règle définie« On garde tout au cas où » n’est pas une stratégie de conservation.
06Protège pendant tout le cycle
Réutilise les contrôles déjà appris :
classification
chiffrement
moindre privilège
journalisation
sauvegarde
restauration
gestion des vulnérabilités
contrôle des fournisseursLa conformité et la sécurité ne sont pas deux dossiers séparés : elles se rencontrent sur le système réel.
07Réévalue lors d’un changement
Exemples :
nouvelle catégorie de donnée
nouveau destinataire
nouveau sous-traitant
nouvelle finalité
allongement de durée
migration vers un autre pays ou environnement
nouvelle technologie modifiant le risqueUn registre à jour doit suivre ces changements.
08Analyse le scénario du lab
lab=/tmp/soria-bts-data-identity-$USER
bash module6-bts-data-identity-evidence.sh run "$lab"
column -s, -t "$lab/output/lifecycle-review.csv"Les décisions sont pédagogiques et ne constituent pas un audit juridique réel.
Ferme les écarts du cycle de vie
Pour les scénarios marqués ACTION_REQUIRED, propose la correction minimale, le propriétaire de décision, le test et la preuve attendue. Signale explicitement ce qui nécessite une validation juridique ou DPO.
✓À retenir
La protection des données s’applique du besoin initial jusqu’à la suppression ou l’archivage. Finalité, minimisation, transparence, droits, sécurité et conservation doivent rester cohérents dans le temps.