LGPD dans les applications : ce qui change en matière de confidentialité lorsque vous devez évoluer

Il y a un moment dans la vie d’une application où la problématique de confidentialité change de nature. Bien que l'application soit petite, la conformité à la LGPD semble être un problème de document, une politique de confidentialité, des conditions d'utilisation, un champ de consentement. Lorsque l’application évolue, elle cesse d’être papier et devient ingénierie, processus et exposition réelle.

La différence n’est pas une question de degré, mais de type. Un millier d'utilisateurs créent une nuisance en cas de fuite. Un million génèrent un incident de presse, une enquête de l'ANPD et une crise de confiance qui pourrait être fatale. Les données qui représentaient un détail sont devenues l’actif le plus sensible et le plus dangereux de l’opération. Et presque personne ne prévoit cela au bon moment, c’est-à-dire avant d’y arriver.

Ce texte s'adresse à ceux qui sont en croissance, ou sur le point de croître, et qui ont besoin de comprendre l'impact de l'échelle sur les obligations en matière de protection des données. Il ne s'agit pas d'un résumé de la loi. Il s'agit de ce que LGPD commence à exiger, en pratique, lorsque le volume augmente.

La mise à l'échelle multiplie les données, pas seulement les utilisateurs

La lecture naïve de l’échelle est « plus de personnes utilisant le produit ». La lecture honnête est "plus de données personnelles dont j'ai la charge, plus d'endroits où elles se trouvent, plus de personnes y ayant accès et plus de façons de se tromper".

Chaque nouvel utilisateur apporte des données. Chaque nouvelle fonctionnalité collecte des données supplémentaires. Chaque intégration avec un partenaire ouvre un nouveau flux de données sortant. Chaque nouvelle recrue ajoute une personne qui peut accéder à ce qu'elle ne devrait pas. Le volume ne grandit pas seul, il se ramifie. Et c'est la succursale, et non le numéro, qui crée le risque.

La thèse centrale de ce texte : LGPD ne punit pas la taille, elle punit le manque de contrôle sur ce que vous avez accumulé. Une petite application désorganisée est déjà en danger. Une application volumineuse et désorganisée est un incident qui attend son moment. Évoluer de manière responsable signifie accroître le contrôle avec le volume, de préférence devant lui.

La minimisation devient une stratégie de survie

À petite échelle, sauvegarder des données « qui pourraient être utiles un jour » semble inoffensif. À grande échelle, chaque élément de données sauvegardé est un handicap. Le principe de minimisation, établi par la LGPD, cesse d'être une bonne pratique abstraite et devient une stratégie de réduction des risques.

La logique est simple : les données que vous n’avez pas collectées ne peuvent pas être divulguées, n’ont pas besoin d’être protégées, n’apparaissent pas dans un audit et ne deviennent pas un problème lors d’une demande de suppression. Plus vous grandissez, plus il devient coûteux de protéger tout ce que vous avez accumulé, donc accumuler moins revient littéralement à économiser sur la sécurité et les risques.

La mise à l’échelle avec maturité nécessite un examen honnête de ce que vous collectez. Ce champ d'enregistrement que personne n'utilise, ce journal qui stocke inutilement des données sensibles, cette ancienne base d'utilisateurs inactifs que personne ne supprime. Chacun de ces éléments constitue un handicap croissant. Les politiques de conservation et d’élimination, qui dans une petite application ressemblaient à de la bureaucratie, deviennent des outils de défense lorsque le volume est important.

L'accès interne est le risque qui augmente le plus avec l'échelle

Lorsque l’entreprise compte cinq personnes, tout le monde fait confiance à tout le monde et l’accès aux données est informel. A cinquante ans, ce modèle est déjà dangereux. Quand il y en a cinq cents, c'est de la négligence. L’échelle fait de l’accès interne le vecteur de risque qui connaît la croissance la plus rapide et le plus sous-estimé.

LGPD aborde ce problème en partant du principe selon lequel chaque personne ne doit accéder qu'à ce qui est nécessaire à sa fonction. La mise en œuvre à grande échelle signifie un véritable contrôle d'accès : qui peut voir les données des utilisateurs, qui peut les exporter, qui peut accéder à la base de production. Sans cela, un seul accès compromis ou un seul employé malveillant expose l’ensemble de la base.

Il vaut également la peine d’enregistrer qui a accédé à quoi. Dans une grande entreprise, la capacité de contrôler les accès n'est pas un luxe, c'est ce qui permet de réagir, en cas d'incident ou d'inspection, à ce qui s'est réellement passé. « Nous ne savons pas qui y a accédé » est une réponse qui multiplie le problème.

Les tiers que vous avez emmenés

Les applications évolutives font rarement tout elles-mêmes. Vous utilisez des services cloud, des outils d'analyse, des fournisseurs de paiement, des solutions de notification, des partenaires marketing. Chacun d'entre eux traite les données de ses utilisateurs et, en vertu de la LGPD, la responsabilité ne disparaît pas lorsque les données sont transmises à des tiers.

C’est un point qui surprend de nombreuses entreprises en termes d’échelle. Vous êtes responsable des données que vous partagez avec vos opérateurs. Si l'un d'entre eux fuit, c'est aussi votre problème. Grandir sans cartographier ces flux, c’est devenir aveugle à une partie importante du risque.

La discipline ici est de maintenir un inventaire évolutif de qui traite les données en votre nom, sur quelle base, avec quel contrat et avec quelles garanties de sécurité. Des outils d'analyse qui collectent plus que vous ne l'imaginez, des intégrations existantes que personne n'a examinées, des partenaires qui ont disparu mais dont l'accès reste actif, tout cela devient des risques silencieux à grande échelle. Le flux international de données, courant lors de l'utilisation d'infrastructures mondiales, a ses propres règles dans la LGPD qui doivent être respectées.

Les droits du détenteur de la balance

Il est facile de répondre manuellement à un utilisateur demandant à accéder ou à supprimer ses données. Un millier de commandes par mois ne le sont pas. LGPD garantit aux titulaires les droits d'accès, de rectification, de suppression, de portabilité et leur respect est obligatoire, avec un délai. À grande échelle, cela ne fonctionne que s’il s’agit d’un processus et non d’une faveur.

Les entreprises qui grandissent sans préparer ce service se retrouvent noyées. Chaque requête devient une opération manuelle de recherche des données d'une personne réparties dans les banques, les journaux, les sauvegardes et les outils tiers. Lorsque vous ne savez pas où se trouvent les données d'un utilisateur, vous ne pouvez pas réellement les supprimer, ce qui constitue à la fois un échec de conformité et un échec opérationnel.

Planifier à grande échelle signifie construire, dès le début, la capacité de localiser et de traiter de manière fiable toutes les données d'une personne concernée. Ceux qui remettent cela pour plus tard découvrent, au pire moment, que l’architecture n’a jamais été conçue pour répondre à cette simple question : où est tout ce que nous savons sur cette personne ?

Le piège de traiter la conformité comme un projet

L'erreur la plus courante est de considérer le respect de la LGPD comme un projet avec un début et une fin, faisant appel à un consultant, produisant des documents, marquant la tâche comme terminée. À grande échelle, cela n’est pas durable. Le produit évolue chaque semaine, de nouvelles données sont collectées, de nouvelles intégrations arrivent. La conformité qui s'est arrêtée avec le temps est déjà obsolète.

La maturité réside dans le traitement de la vie privée comme faisant partie du développement, et non comme une couche appliquée ultérieurement. La confidentialité dès la conception, en pensant à la protection des données dès la conception de chaque fonctionnalité, est ce qui nous permet d'évoluer sans que la conformité ne devienne une dette qui croît plus vite que l'entreprise. Désigner un responsable du sujet, avec une réelle autorité, est ce qui maintient ce sujet en vie. Dans de nombreuses organisations, ce rôle est celui du responsable du traitement des données, comme le prévoit la loi elle-même.

Clôture

Faire évoluer une application, c'est tout multiplier : les utilisateurs, les revenus, la complexité et, surtout, les données personnelles dont vous avez la garde. La LGPD ne devient pas plus douce quand on grandit, elle devient plus pertinente, car les dégâts causés par les erreurs augmentent au même rythme. La confidentialité cesse d’être une clause et devient une architecture.

La question qui sépare ceux qui évoluent bien de ceux qui dégénèrent en incident est inconfortable et nécessaire : si une personne concernée demandait toutes ses données aujourd'hui, ou si une fuite se produisait ce soir, votre entreprise saurait-elle exactement à quoi elle a répondu ? Si la réponse faiblit, le contrôle n'augmente pas avec le volume, et c'est le travail à faire maintenant, pas plus tard.

Si votre activité se développe rapidement et que la gouvernance des données est à la traîne, cela vaut la peine de traiter cela comme une priorité stratégique et non comme une question juridique. Il existe d'autres articles ici sur le blog sur LGPD, la sécurité et l'architecture des données qui approfondissent chacun de ces fronts.