Gouvernance Data RGPD Qualité Donnees

Cycle de vie des données et gestion des durées de conservation

La gestion du cycle de vie des données (DLM — Data Lifecycle Management) couvre les phases : Création/collecte — données créées ou collectées selon la politique de minimisation (ne collecter que ce qui est nécessaire), classification et étiquetage lors de la création ; Stockage et utilisation — contrôles d'accès selon la classification, chiffrement selon la sensibilité, utilisation limitée aux finalités déclarées ; Archivage — données non actives mais dont la conservation est requise (obligations légales, litiges) transférées vers un stockage d'archivage moins coûteux avec contrôles appropriés ; Suppression — suppression sécurisée des données à l'issue de leur durée de conservation (effacement cryptographique ou destruction physique des supports selon la classification).

Les durées de conservation constituent l'un des défis pratiques de conformité RGPD les plus importants : le RGPD impose des durées de conservation limitées à la finalité du traitement, mais les organisations peinent souvent à mettre en œuvre techniquement la suppression automatique des données à l'issue de leur durée de conservation. Des procédures de purge automatique (DELETE SQL planifié, politiques d'expiration dans les systèmes de stockage objet comme AWS S3 Lifecycle Rules, politiques de rétention dans SharePoint/Teams) doivent être mises en place et testées régulièrement.

Data Catalog et gestion des métadonnées

Un Data Catalog est un inventaire centralisé des actifs de données d'une organisation : quelles données existent, où sont-elles stockées, quelle est leur classification, qui en est le propriétaire, et quelle est leur signification métier. Des solutions de Data Catalog (Alation, Collibra, Microsoft Purview Data Catalog, Atlan, OpenMetadata) permettent d'indexer et de rendre découvrable l'ensemble des données de l'organisation, facilitant la gouvernance et la conformité.

Pour la conformité RGPD, le Data Catalog facilite la réponse aux droits d'accès : lorsqu'une personne exerce son droit d'accès, le DPO peut utiliser le Data Catalog pour identifier rapidement tous les systèmes contenant des données de cette personne, plutôt que d'interroger manuellement chaque équipe IT. Le Data Catalog doit être maintenu à jour et peut s'intégrer avec le registre des traitements RGPD (art. 30) pour une vue complète des traitements et des données associées.

RGPD et gouvernance des données techniques

Le RGPD impose des exigences de gouvernance des données qui nécessitent des mesures techniques spécifiques : exactitude des données (art. 5d) — processus de validation et de mise à jour, détection des anomalies de qualité, gestion des doublons ; limitation de la conservation (art. 5e) — purge automatique des données à l'issue de leur durée de conservation, gestion des exceptions (litiges, obligations légales) ; intégrité et confidentialité (art. 5f) — mesures de sécurité appropriées (chiffrement, contrôle d'accès, journalisation) ; responsabilité (art. 5.2) — capacité à démontrer la conformité aux principes du RGPD (accountability), ce qui nécessite une documentation et une traçabilité des traitements.

La gouvernance des données est un enjeu transversal impliquant les équipes IT (architecture des données, qualité des données, sécurité), les équipes métier (Data Stewards, propriétaires des processus), la conformité et le DPO (conformité RGPD), et la direction (responsabilité et ressources). Une organisation sans gouvernance des données mature ne peut pas être pleinement conforme au RGPD — les exigences de transparence, d'exactitude, de limitation de la conservation, et de réponse aux droits des personnes nécessitent une connaissance précise et structurée de ses propres données.