Legal Hold et le gel des données

1) Qu'est-ce que Legal Hold et pourquoi il est nécessaire

Legal Hold (moratoire légal sur la suppression/modification des données) est un « gel » géré de données spécifiques potentiellement importantes pour une enquête, un audit, une réclamation, un processus judiciaire ou réglementaire. L'objectif est de préserver l'intégrité de la preuve : empêcher la destruction, la modification ou le nettoyage automatique selon les calendriers de retraite tant qu'il y a un risque juridique.

• Délai : hold est introduit sans retard après une « attente raisonnable » du différend/vérification.
• Précision : seuls les ensembles pertinents (minimisation des données) sont gelés.
• Observabilité et auditabilité : toutes les activités sont logées et vérifiables.
• Réversibilité : Il existe une procédure compréhensible pour retirer hold et revenir à des horaires de retrait normaux.

2) Quand Legal Hold est introduit : déclencheurs typiques

Avis de réclamation, plainte du régulateur, ordonnances de surveillance.
Enquête interne (conformité/sécurité/finances/AML).
eDiscovery/demandes de consultants externes.
Incidents de sécurité (fuite, fraude).
Signaux des lignes de protection : Juridique, DPO, CISO, Audit interne.

3) Volume de gel : sources de données

Entrepôts d'exploitation : bases de données des transactions, logs de paiement, KYC/KYB, signaux AML.
Communications d'entreprise : courrier, chats, enregistrements d'appels, tickets.
Dépôts de fichiers et DWH/dataleks : couches brutes et dérivées.
Backups et archives : snapshots, stockage WORM, S3 Object Lock/immutabilité.
Processeurs tiers : fournisseurs KYC, PSP, plateformes de marketing, cloud.

Important : le gel s'applique aux copies et aux dérivés (ETL/guichets/cachets).

4) Rôles et responsabilités (RACI)

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Processus de bout en bout (SOP)

1. Initiation : Legal enregistre une affaire, forme un « scope » : sujets, dates, sujets, systèmes.
2. Évaluation et cartographie : Data Owners + Legal Ops crée une liste de sources/tables/backups.

• Activer les balises/règles hold dans DLP/EDRM/archivage.
• Bloquer l'auto-suppression/anonymisation dans les schémas touchés.
• Pour les backaps, appliquer immutabilité/WORM ; enregistrer la rétention override.
• 4. Notifications (mentions légales) : destinataires (custodiens) - qui sont tenus de conserver et de ne pas supprimer.
• 5. Contrôle de l'exécution : confirmations, rappels, formation, suivi des violations.
• 6. Examen périodique : minimum mensuel - si hold est à jour, s'il n'y a pas de couverture excessive.
• 7. Retrait hold : décision écrite Legal ; chèque de récupération des politiques habituelles.
• 8. Dispositif de défense : reprise des suppressions planifiées et de l'anonymisation, fixation dans les journaux.

6) Politiques de retraite et de « gel » : comment elles se combinent

Règle : Hold suspend les délais de rétractation appropriés uniquement pour les objets concernés.
Conflit avec Privacy by Design : extension minimale de la scope ; ne pas bloquer les kits « non privés ».
Granularité : objet (ID/sujet), table/lot, espace/baquet, type de document.

7) Mesures techniques de contrôle

Stockage immuable : WORM/S3 Object Lock, Write-Once volumes, systèmes de fichiers journalisés.
Contrôle d'intégrité : hachis, chaînes de preuves, journal d'audit (append-only).
Geler dans la base de données : drapeaux de politique et déclencheurs qui interdisent UPDATE/DELETE avec les clés spécifiées.
Archivage des communications : auto-journal du courrier/chat avec l'API Legal Hold (journalisation, AIP/EDRM).
Intégration DLP/EDRM : étiquettes « LegalHold = true », interdiction de suppression, exportation par case.
Backups : hold-backaps séparés, avec une durée de vie prolongée, test de récupération.
Observabilité : dashboard hold-case, SLA, erreurs d'application, « dérive » des politiques.

8) Points d'intégration (architecture de référence)

Gestion des cas (Legal) : système de cas ↔ catalogue de données ↔ orchestrateur de politiques.
IAM/Secrets : délégation de l'accès minimum requis pour l'exportation/visualisation.
Data Catalogue/Lineage : « coloration » automatique des datacets dépendants.
Configurations CI/CD de rétroaction : règles hold - comme code (policy-as-code), revues/versions.
SIEM/SOAR : alertes sur les tentatives de suppression/modification sous hold.

9) Conflits et comment les résoudre

DSAR/droit d'effacement vs Legal Hold : la demande de l'entité peut légitimement être retardée si les données doivent être conservées pour remplir les obligations légales ; nous enregistrons la justification et informons l'entité du retard.
Minimisation et proportionnalité : réviser le scope ; séparer les données personnelles non liées.
Transferts croisés : si nous détenons des copies dans d'autres juridictions, nous vérifions les fondements juridiques et les mécanismes de transfert (CSC/BCR/registres locaux).
Cryptage et clés : vous ne pouvez pas « contourner » la destruction des clés ; Les rotations KMS sont documentées.

10) Contexte réglementaire (à titre de référence)

eDiscovery/civil process standards (par exemple, FRCP 37 (e)) - sanctions pour perte d'ESI.
GDPR/lois locales sur les données : légalité du stockage, notifications, limitation des objectifs.
Finances/AML : périodes de conservation prescrites (transactions, KYC) qui peuvent être plus longues que d'habitude.

(Les normes actuelles sont précisées par Legal pour votre juridiction/marchés.)

11) Métriques et SLA

Time-to-Hold : du déclencheur à l'application dans tous les systèmes cibles (objectif : ≤24 h).
Coverage :% des clients/systèmes confirmés sous hold (objectif : 100 %).
Drift/Violations : tentatives de suppression/modification bloquées par des stratégies.
Scope Creep : proportion d'objets non pertinents - réduire par un examen mensuel.
Time-to-Release : de la décision Legal à retrait complet (le but : ≤48-72).

12) Chèque de lancement Legal Hold

• Enregistrer la case et les motifs juridiques.
• Former un scope (sujets, dates, systèmes, types de données).
• Mettre à jour la carte de données et lineage.
• Inclure les règles hold dans DLP/archives/OBD/fichiers/backaps.
• Envoyer l'avis et les instructions de l'Établissement juridique.
• Inclure la surveillance et les alertes.
• Valider les backups tolérants aux pannes (immutabilité) et tester la restauration.
• Plan d'examen régulier et date de la prochaine vérification.

13) Modèle d'avis de détention juridique (court)

Objet : Legal Hold : obligation de préserver les données

Destinataires : [Liste des clients/détenteurs de données]

Base : [No case/type de procédé]

Quoi enregistrer : [systèmes/dossiers/tables/boîtes aux lettres/plage de dates]

Interdit : Supprimer, modifier, nettoyer, écraser, crypter sans accord

Instructions : où et comment stocker, étiquettes/étiquettes, contact Legal Ops

Délai : jusqu'à un avis de retrait distinct

Confirmation : lien/formulaire pour confirmer la lecture et l'exécution

14) La procédure de retrait de Legal Hold (Libération)

1. Solution Legal + description des raisons.
2. Exportation finale/consolidation des preuves (si nécessaire).
3. Révocation des notifications, horodatage.
4. Restaurer les politiques habituelles de rétractation et d'anonymisation.
5. Rapport de clôture : ce qui était sous hold, qui a été informé des suppressions renouvelées.

15) Erreurs fréquentes et comment les éviter

Un scope flou → le stockage excessif, les risques de confidentialité et les coûts.
Ignorer les backaps et les cajas → le gel incomplet, la vulnérabilité de l'affaire.
Aucune immutabilité → risque de modification non autorisée.
Une mauvaise communication avec les custodiens → le facteur humain et les perturbations.
L'absence d'examen régulier → les holds « éternels » sans besoin.

16) Mini-playbook « au sol » (opérationnel)

DBA : appliquer les attributs 'legal _ hold = true' sur les lots/clés concernés ; Activer les déclencheurs d'audit ; Bloquer les modifications de schéma DDL.
Stockage : mettre les réservoirs/dossiers correspondants en mode WORM/Retentation Lock ; Créer des snapshots.
Mail/Chat : inclure le journal et l'exportation sous la case ; interdiction du purge.
DWH/ETL : marquer les tables comme read-only ; geler les purges planifiées des partis historiques.
Backups : répliques surlignées à durée prolongée ; vérification hebdomadaire de la récupération.
Monitoring : alertes dans Slack/Email sur tout événement DELETE/TTL par scope.

17) Politique (modèle de formulation)

L'organisation introduit Legal Hold immédiatement en cas d'attente raisonnable d'un litige/vérification.
Le volume hold est déterminé par les principes de nécessité et de proportionnalité.
Tous les employés sont tenus de se conformer aux avis et de confirmer l'exécution.
La stabilité technique est assurée par l'immutabilité et l'audit-logging.
Hold est révisé au moins 1 fois tous les 30 jours.
Le retrait de hold est écrit et accompagné de la restauration des politiques standard.

18) Sections wiki connexes

Privacy by Design et minimisation des données

Graphiques de stockage et de suppression des données

Suppression et anonymisation des données

Legal/Regulatory Requests & eDiscovery

Gestion de l'incident et Forensica

DLP/EDRM et archivage des communications

Résultat

Legal Hold est un « gel » géré, mesurable et vérifiable de données strictement définies. Un programme solide repose sur : (1) un déclencheur rapide et un scope précis, (2) une invariance technique (WORM, object lock, audit), (3) des rôles transparents et des SLA, (4) un examen régulier et un retrait sécurisé de hold avec un retour à la rétroaction normale.