Pourquoi une entreprise doit-elle savoir où se trouvent les données personnelles ?
Presque toutes les obligations du droit de la protection des données présupposent ce savoir. Le registre des activités de traitement (art. 12 LPD, art. 30 RGPD) décrit quelles données sont traitées et où. Une réponse à une demande d'accès (art. 25 LPD, art. 15 RGPD) doit couvrir toutes les données d'une personne. Et les données personnelles doivent être détruites ou anonymisées dès qu'elles ne sont plus nécessaires au regard de la finalité (art. 6, al. 4, LPD, art. 5, al. 1, let. e, RGPD).
Qui ne considère que les systèmes connus passe à côté des copies, des exports et des anciens espaces de stockage. C'est justement là que se trouvent souvent les données les plus sensibles – et les plus grands risques en cas de violation de la sécurité des données.
Où se trouvent typiquement les données personnelles ?
Dans les environnements informatiques construits au fil du temps, les données personnelles ne se trouvent pas seulement dans les applications métier :
- Les applications métier et leurs bases de données, par exemple pour les clients, les contrats, le personnel ou les dossiers.
- Les partages de fichiers avec des exports, des listes, des tableaux et des documents numérisés.
- Les boîtes aux lettres, dans lesquelles des documents circulent en pièce jointe.
- SharePoint, OneDrive et Teams – souvent partagés plus largement que prévu.
- Les environnements de test et d'analyse contenant des copies de données de production.
- Les services d'IA : prompts, historiques de chat et transcriptions de réunions.
Quelles informations sont des données personnelles ?
Les données personnelles ne se limitent pas aux noms. Les identifiants qui permettent d'identifier une personne en font aussi partie. Un aperçu :
| Type | Exemples |
|---|---|
| Identifiants | Numéro AVS, IBAN, numéros de pièce d'identité, d'assuré, de client et de police |
| Personne et contact | Nom, adresse, date de naissance, adresse e-mail, numéro de téléphone, numéro de personnel |
| Données sensibles (art. 5, let. c, LPD) | Santé, opinions religieuses, philosophiques ou politiques, activités syndicales, sphère intime, origine ethnique, données génétiques, données biométriques identifiant une personne de manière univoque, poursuites et sanctions pénales et administratives, mesures d'aide sociale |
Le RGPD connaît une liste similaire sous le nom de « catégories particulières de données à caractère personnel » (art. 9 RGPD).
Comment trouver les données personnelles de manière fiable ?
La recherche ne devient fiable qu'en combinant plusieurs méthodes. Des règles détectent les identifiants à structure fixe, comme le numéro AVS ou un IBAN. Une détection adaptée au texte libre trouve les noms et adresses. La reconnaissance de texte rend les documents numérisés consultables. Des modèles de recherche personnalisés complètent ce qui n'existe que dans votre propre entreprise, par exemple les numéros de client ou de contrat.
Le traitement des résultats est tout aussi important : les faux positifs doivent pouvoir être écartés durablement, et les analyses répétées devraient montrer ce qui est apparu et ce qui a disparu. Et comme la recherche lit les contenus, elle doit se dérouler dans votre propre environnement – les données ne devraient pas quitter l'entreprise pour cela.
Data Discovery : ce qu'un scanner doit savoir faire
Les outils de data discovery et de classification sont nombreux. Pour la protection des données, ce sont surtout ces points qui comptent :
- La diversité des sources : partages de fichiers, bases de données et Microsoft 365, pas un seul système.
- Des identifiants suisses et européens, pas seulement américains.
- Lecture seule : rien n'est modifié dans les sources.
- Enregistrer les résultats, pas les contenus.
- Confirmer des résultats ou les écarter comme faux positifs – et conserver cette décision lors de l'analyse suivante.
- Réutiliser les résultats : pour le registre, pour les demandes d'accès et pour la suppression.