Le droit à l'oubli

1) Qu'est-ce que le « droit à l'oubli » et quand il s'applique

Right to Erasure est le droit de la personne concernée de demander la suppression de ses données personnelles. Dans l'UE, l'article 17 du RGPD ; des équivalents existent dans un certain nombre de juridictions (CPPA/CPRA, LGPD, etc.).

• Les données ne sont plus nécessaires aux fins pour lesquelles elles ont été collectées.
• Le traitement est basé sur le consentement et le sujet l'a retiré.
• Le sujet s'oppose au traitement (il n'y a pas de motif légitime prédominant).
• Les données ont été traitées illégalement ou doivent respecter l'obligation légale de suppression.
• Les données sont collectées auprès de l'enfant lors de l'offre de services de la société de l'information (base spéciale).

2) Exceptions : Lorsque vous ne pouvez pas supprimer (ou pas tous)

• Responsabilités juridiques (p. ex. AML/KYC, comptabilité fiscale, documents comptables).
• L'établissement, l'exercice ou la défense de créances juridiques (litiges judiciaires/contentieux).
• Liberté d'expression/droit à l'information, intérêt public dans le domaine de la santé, objectifs scientifiques/historiques/statistiques avec garanties appropriées.

3) Suppression de vs désactivation de vs anonymisation

Suppression - Destruction irréversible des données personnelles.
L'anonymisation est une exclusion irréversible du lien avec l'identité ; les données peuvent rester dans l'analyse agrégée/ML sans identifiants.
Désactivation (fermeture du compte) - Désactivation de l'accès/des fonctions, les données restent jusqu'à expiration des délais/exceptions.

Recommandation : appliquer l'hybride - suppression maximale + anonymisation pour l'analyse des produits, le cas échéant.

4) Processus DSR pour la suppression : de la demande à la confirmation

1. Acceptez la demande via les canaux disponibles (formulaire Web, email, profil).
2. Vérification du demandeur (le niveau de vérification dépend du risque/sensibilité).
3. Vérification des exceptions (AML/taxes/litiges, chargeback actif/enquêtes frod).
4. Classification de la couverture : profil complet/catégories spécifiques/marketing.
5. Mark-for-Deletion + lancement de Deletion Orchestrator (voir § 7).
6. Notification aux fournisseurs/tiers (transformateurs/entrepreneurs) et enregistrement des réponses.
7. Confirmation au sujet : ce qui est supprimé, ce qui est anonymisé, ce qui est bloqué par exception, les délais par backup.
8. Loging : Journal WORM des preuves de suppression.

SLA (point de référence) : réponse dans les 30 jours (peut être prolongée de 60 jours supplémentaires avec préavis et justification).

5) Matrice « base → décision → explication »

6) Que supprimer exactement : couverture par couches

Couche transactionnelle : profil, coordonnées, tokens (où est autorisée), identifiants de paiement, artefacts KYC (sauf exceptions).
Couches de données dérivées : caches, index de recherche, files d'attente, feature store ML, DWH, vitrines BI, rapports.
Logs/traçages : où il y a des identifiants personnels - masque/suppression ; l'agrégation/anonymisation est autorisée.
Marketing/attribution : identifiants (cookie/SDK/MAID), affiliation post-back, audience publicitaire - nettoyage et suppression.
Profilage/modèles : Suppression des données de formation des futures itérations, marquage « do-not-use » dans la figue store.

7) Orchestration de suppression (cascade et backup)

• Mark-for-Deletion → Grace (7-30 jours) → Soft Delete (désactivation d'accès/communication) → Hard Delete/Anonymize dans les systèmes primaires → Cascade dans les caches/index/DWH/ML → Evidence Log.
• Backups : aucune modification directe des backups n'est autorisée ; l'élimination se fait par l'expiration de la fenêtre de stockage et l'interdiction des restaurations conduisant à la ré-identification. Lors de la restauration, le script de sanitization supprime à nouveau les ID marqués.

• Tâches idempotentes, retraits, déduplication des commandes.
• Trace lineage (où les copies et les agrégats).
• Une seule clé de sujet pour la cascade sur tous les systèmes.
• Archives WORM des actes de suppression.

8) Vendeurs/transformateurs : notifications et contrats

Dans DPA, obliger les processeurs à supprimer/renvoyer les données selon les instructions, aider avec DSR, loger la suppression, notifier les résultats.
Registre des sous-processeurs ; délai de réponse aux demandes de suppression (SLA).
Pour les plates-formes publicitaires/analytiques, les modes de traitement restreint, les signaux API 'delete/suppress'.

9) Modèles de communication (fragments)

• "Nous avons reçu votre demande de suppression de données. Pour protéger votre vie privée, nous devons vérifier votre identité. Veuillez vérifier brièvement via le lien/code"

• "Nous avons supprimé/impersonnel vos données personnelles dans les produits et systèmes d'analyse. Les dossiers qui sont tenus par la loi (par exemple, AML/taxes) sont bloqués et inaccessibles à d'autres fins jusqu'à l'expiration de N ans. Les données des sauvegardes seront supprimées selon leur calendrier de stockage. ID de requête : # XXXX"

• "Nous ne pouvons pas supprimer une partie des dossiers en raison de l'obligation légale de stockage (AML/taxes/litige). Ces enregistrements sont isolés et utilisés uniquement à des fins obligatoires. Nous avons supprimé le reste des informations et mis fin au traitement facultatif"

10) Matrice « catégorie de données → méthode → durée »

11) nuances UX et produits

Dans le profil, un bouton clair « Supprimer mes données/fermer mon compte » explique les conséquences (perte de progrès/bonus).
Option distincte « Opt-out Marketing » (non égale à la suppression du compte).
Statut de la demande (en cours/terminée), date limite, ID de la demande.
La suppression ne doit pas briser les états financiers : gardez les agrégats non personnels.

12) Métriques et contrôles

Deletion SLA : médiane/95e percentile de la demande à l'achèvement.
Cascade Completion Rate : proportion de systèmes où la cascade est terminée ≤SLA.
Backups Window Compliance : respect des fenêtres de stockage des backups.
Taux d'examen des holds légaux : l'opportunité de réviser les holds.
Taux de réparation DSR (pour des raisons) : proportion de refus avec justification.
Evidence Completeness : proportion de cas avec un paquet complet d'artefacts.
Suppression Effectiveness : aucun appel marketing après la suppression.

13) Chèques-feuilles (opérations)

Avant le début du processus

• Vérification de l'identité accomplie.
• Exceptions vérifiées (AML/taxes/litiges).
• La couverture (totale/partielle) est définie.
• Création d'une entrée dans Evidence Log.

Exécution

• Mark-for-Deletion et Grace sont définis.
• Fait par Hard Delete/Anonymize dans la couche transactionnelle.
• Une cascade est lancée dans les caches/index/DWH/ML.
• Notifications envoyées aux transformateurs/fournisseurs.
• Liste de suppression mise à jour.

Achèvement

• Confirmation à l'utilisateur avec les détails.
• Mise à jour de la matrice RoPA/Retraite si nécessaire.
• Rapport post-chèque : SLA/erreurs/répétitions.

14) Rôles et responsabilités (RACI)

Support/Privacy Ops : réception des demandes, vérification, communications.
DPO/Legal : évaluation des motifs/exceptions, legal hold.
Sécurité/CISO : audit d'accès, WORM logs, backups.
Data Engineering : orchestrateur de suppression, lineage, cascades.
Marketing/CRM : suppression, arrêt des communications.
Finances/Conformité : contrôle des responsabilités en matière de rapports/AML.

15) Feuille de route pour la mise en œuvre (6 étapes)

1. Politiques et registres : mettre à jour la Politique de confidentialité (section sur le droit de suppression), RoPA, Matrice de retraite.
2. Orchestrateur : sous-clé unique, cascades, idempotency, Evidence Log (WORM).
3. Vendeurs : Exigences DPA, canaux 'delete/suppress', SLA.
4. UX : demande de suppression compréhensible, statuts, modèles de lettres.
5. Backaps : fenêtres de stockage, interdiction des restaurations non autorisées, scripts de sanitization.
6. Mesure : SLA, Cascade, Evidence, Suppression ; audits trimestriels.

16) Distinctions par juridiction (résumé)

RGPD : large droit de suppression + exceptions claires ; Délai de réponse 1 mois.
CCPA/CPRA : droit de retrait des consommateurs ; exceptions obligatoires (sécurité/service/erreurs/obligations juridiques) ; la comptabilisation du GPC pour l'opt-out de « vente/partage » est requise, ainsi que les mécanismes de suppression des données qui ne font pas l'objet d'exceptions.
LGPD : suppression lorsque l'objectif est atteint/expiration du délai/retrait du consentement ; les exceptions et le « blocage » sont similaires dans l'esprit du RGPD.

Résultat

Le droit à l'oubli est non "le bouton", et le procès de part en part : l'estimation juridique des raisons et les exceptions → la vérification → l'éloignement d'opérette et/ou анонимизация dans toutes les couches → la gestion бэкапами et вендорами → la démontrabilité et les actes de naissance. En intégrant ce circuit dans l'architecture et les opérations, vous respecterez les exigences réglementaires, réduirez la surface de risque et préserverez la confiance des utilisateurs - sans compromettre la qualité de l'entreprise et du produit.