Points clés
- La traçabilité des traitements couvre les accès, les modifications, les exports et les suppressions de données personnelles.
- Les logs constituent des preuves réglementaires que les autorités peuvent requérir dans des délais contraints.
- La conservation et l'intégrité des logs sont des exigences techniques qui doivent être planifiées dès la conception des systèmes.
- La traçabilité est aussi un outil d'investigation interne qui permet d'analyser les incidents et d'identifier les comportements anormaux.
Ce que couvre la traçabilité des traitements
La traçabilité des traitements de données personnelles va bien au-delà de la tenue d'un registre. Elle couvre l'ensemble des événements significatifs liés aux données : qui a accédé à quelles données, à quel moment et depuis quelle application ? Quelles modifications ont été apportées ? Quelles données ont été exportées ou transmises à des tiers ? Quelles suppressions ont été effectuées et dans quel contexte ? Cette granularité de traçabilité est nécessaire pour répondre aux exigences réglementaires, investiguer les incidents et détecter les comportements anormaux avant qu'ils ne produisent des violations déclarables.
Les logs comme preuves réglementaires
Les autorités de protection des données peuvent demander, lors d'une enquête, la production de journaux d'accès aux données personnelles sur une période déterminée. Cette demande implique que les logs soient conservés, structurés et accessibles dans des délais pouvant être très courts. Les organisations qui maintiennent des logs insuffisants, non intègres ou inaccessibles ne peuvent pas répondre à ces demandes et s'exposent à une présomption défavorable. La qualité des logs est une exigence réglementaire implicite qui découle du principe d'accountability posé par le RGPD.
Les exigences techniques de la traçabilité efficace
La traçabilité efficace des traitements repose sur des choix techniques qui doivent être faits dès la conception des systèmes. Les événements à journaliser doivent être définis (accès, modifications, exports, suppressions). Les logs doivent être produits dans un format structuré et interrogeable. Leur intégrité doit être garantie par des mécanismes qui empêchent leur modification a posteriori. Leur durée de conservation doit être cohérente avec les délais de prescription des obligations réglementaires applicables. Et leur accessibilité doit permettre une restitution rapide, même pour des périodes anciennes.
La traçabilité comme outil d'investigation
Au-delà de la conformité réglementaire, la traçabilité est un outil d'investigation précieux. Quand un incident survient, les logs permettent de reconstituer la chronologie des événements, d'identifier les données affectées, de comprendre les vecteurs d'attaque et de déterminer les mesures correctives appropriées. Une organisation qui dispose de logs complets et intègres peut mener une investigation précise et limiter l'incertitude sur l'ampleur d'un incident. Une organisation dont les logs sont lacunaires ou absents doit assumer l'incertitude maximale sur l'impact de l'incident — ce qui conduit généralement à des notifications réglementaires plus larges et plus coûteuses.
Surveiller activement les logs pour détecter les anomalies
Collecter des logs sans les surveiller est une amélioration partielle. La valeur des journaux se réalise quand ils sont analysés en temps quasi réel pour détecter des patterns anormaux : accès à des volumes inhabituels de données, connexions depuis des géographies inhabituelles, comportements d'accès hors des heures normales. Ces analyses de comportement permettent de détecter des violations en cours avant qu'elles n'atteignent l'échelle d'un incident déclarable. L'investissement dans la surveillance active des logs est souvent amorti par l'évitement d'un seul incident significatif.