Droit: les obligations de suppression du RGPD en lien avec les sauvegardes et les fichiers journaux

Un client allemand a exigé la suppression de toutes les données personnelles détenues par une entreprise, déclenchant un conflit juridique entre les lois sur la protection des données et les exigences de sécurité de l'information. La situation met en évidence la tension entre le règlement général sur la protection des données (RGPD) et la nécessité de pratiques de gestion sécurisée des données. Selon le cas décrit, le client a envoyé un e-mail mardi matin demandant la suppression de ses données. Alors que la société a rapidement supprimé l'entrée pertinente de son système de gestion de la relation client (CRM), les données avaient déjà été sauvegardées du jour au lendemain sur plusieurs bandes.

Les sauvegardes incrémentielles contenaient également les informations et l'adresse IP du client avec les horodatages apparaissait à plusieurs reprises dans les journaux du serveur. Maintenant, la question se pose: toutes ces données doivent-elles être effacées et, dans l'affirmative, comment? La question centrale réside dans la contradiction entre deux obligations juridiques. D'un côté se trouve le droit d'effacement en vertu de l'article 17 du RGPD, qui permet aux individus de demander la suppression de leurs données personnelles. Cela est soutenu par le principe de stockage limité en vertu de l'article 5, qui stipule que les données personnelles ne devraient être conservées que aussi longtemps que nécessaire aux fins du traitement.

Si cet objectif prend fin, par exemple en se désabonnant d'une newsletter, les données collectées à cette fin doivent être supprimées. De l'autre côté, il y a l'exigence de sécurité de l'information. Les entreprises opérant dans le cadre d'un système de gestion de la sécurité de l'information (ISMS), telles que celles certifiées par le Bundesamt für Sicherheit in der Informationstechnik (BSI) ou ISO / IEC 27001, sont tenues de maintenir des sauvegardes et de collecter des fichiers journaux. Le RGPD lui-même soutient indirectement ces pratiques par l'article 32, qui exige que les données doivent être récupérables après un incident. Cependant, les normes de sécurité exigent l'immuabilité et la résistance à la falsification.

Une sauvegarde à partir de laquelle des enregistrements individuels peuvent être supprimés ultérieurement n'est pas fiable, et un fichier de journal perd sa valeur probante si les données personnelles qu'il contient peuvent être supprimées. Ce dilemme présente un défi pour les organisations utilisant une technologie standard. Il est presque impossible de supprimer des données personnelles spécifiques tout en s'assurant que les sauvegardes et les journaux restent intacts. La situation souligne la complexité de se conformer à la fois à la protection des données et aux réglementations de sécurité de l'information simultanément.

Cependant, le maintien de l'intégrité opérationnelle nécessite de conserver des copies des données à des fins de récupération. Cela crée un conflit difficile à résoudre avec les outils et les processus actuels. Les experts juridiques ont noté qu'il n'existe pas de directives claires sur la façon de gérer de tels scénarios. Le Conseil européen de la protection des données (EDPB) a publié des lignes directrices, mais elles se concentrent davantage sur les principes généraux que sur des solutions techniques spécifiques. En conséquence, les entreprises se retrouvent souvent dans une zone grise, équilibrant la conformité avec des contraintes pratiques. En réponse à de tels cas, certaines entreprises ont commencé à explorer des approches alternatives.

Par exemple, ils pourraient mettre en œuvre des systèmes qui permettent la suppression sélective sans compromettre l'intégrité des sauvegardes. D'autres travaillent avec des conseillers juridiques pour élaborer des politiques qui clarifient la façon de gérer ces conflits. Cependant, ces mesures sont encore en évolution et il n'y a pas encore de solution universellement acceptée. À mesure que le débat se poursuit, les principaux intervenants, y compris les régulateurs, les professionnels du droit et les gestionnaires informatiques, sont susceptibles de subir un examen plus minutieux. Le résultat de ce cas particulier pourrait influencer les futures interprétations du RGPD et façonner les meilleures pratiques pour la gestion des données.

En attendant, le défi demeure: comment respecter les droits des individus tout en préservant la fiabilité des systèmes critiques.