Un outil, trois cadres juridiques
Une équipe de protection des données traite des fichiers clients européens sous le RGPD le lundi. Des dossiers médicaux sous HIPAA le mardi. Des données consommateurs californiens sous le CCPA le mercredi.
Chaque loi a ses propres règles. Chaque document nécessite une configuration différente.
Alterner entre trois référentiels chaque jour génère des erreurs. La mauvaise configuration sur le mauvais fichier entraîne soit une sur-anonymisation (perte de données) soit une sous-anonymisation (non-conformité).
Des profils de conformité nommés résolvent ce problème. Une configuration sauvegardée par loi. Aucune reconfiguration manuelle.
RGPD — Ce qu'il couvre
Le RGPD couvre toutes les données personnelles. Il s'applique à toute personne de l'UE qui peut être identifiée. Il n'existe pas de liste fixe de types de données. Toute information concernant une personne est en scope.
Les catégories spéciales — données de santé, convictions religieuses, opinions politiques — bénéficient d'une protection renforcée selon l'article 9.
Types d'entités courants pour le traitement documentaire : noms, adresses, identifiants nationaux, e-mails, numéros de téléphone, adresses IP, cartes de crédit.
La bonne décision dépend du contexte. Le RGPD n'impose pas de liste fixe.
HIPAA — Ce qu'il couvre
Le HIPAA Safe Harbor définit exactement 18 catégories d'identifiants. Les 18 doivent être retirés des dossiers médicaux.
Deux règles surprennent souvent les équipes :
- Les dates sont réduites à l'année seulement. Le mois et le jour sont supprimés. L'année reste.
- Les zones géographiques inférieures au niveau de l'État doivent être supprimées.
Ces règles s'appliquent uniquement aux entités couvertes et à leurs partenaires commerciaux.
CCPA — Ce qu'il couvre
Le CCPA couvre les informations personnelles des résidents californiens. Son champ d'application est large. Il inclut les identifiants directs, l'activité internet, l'historique d'achats, les données de géolocalisation, les données biométriques et les inférences de profil.
Pour le traitement documentaire, l'accent est mis sur les identifiants directs : noms, numéros de sécurité sociale, permis de conduire, numéros de passeport, e-mails, numéros de compte, adresses IP, identifiants d'appareils.
L'historique d'achats et les journaux de navigation n'apparaissent généralement pas sous forme de texte brut dans les documents.
Pourquoi la reconfiguration manuelle échoue
La reconfiguration manuelle génère des erreurs. Un fichier RGPD traité avec une configuration HIPAA intègre des règles sur les dates que le RGPD n'exige pas. Un fichier HIPAA traité avec une configuration RGPD manque les règles géographiques que le Safe Harbor exige.
Les études montrent que les changements manuels de cadre produisent des erreurs environ 15 % du temps. Chaque erreur est un manquement à la conformité ou une perte de données.
Les équipes doivent garder trois référentiels en tête et appliquer le bon à chaque fois. Ce n'est pas un processus. C'est une supposition quotidienne.
Trois configurations nommées
« RGPD Standard — Clients UE »
Détecte : noms, adresses, identifiants nationaux, e-mails, numéros de téléphone, adresses IP, cartes de crédit.
Méthode : Caviarder.
Exclure les dates sauf si la date de naissance est pertinente. Inclure les adresses IP pour les données en ligne.
« HIPAA Safe Harbor — Santé »
Détecte : noms de personnes, dates, localisations infra-étatiques, téléphone, fax, e-mail, numéros de sécurité sociale, numéros de dossier médical, identifiants de plan de santé, numéros de compte, numéros de certificat, identifiants de véhicule, identifiants d'appareil, URLs, adresses IP, identifiants biométriques. Cela couvre les 18 types Safe Harbor.
Méthode : Caviarder. Pour les dates : conserver l'année, supprimer le mois et le jour.
Ajouter un modèle personnalisé pour le format de numéro de dossier médical de votre établissement.
« CCPA — Consommateurs Californiens »
Détecte : noms, adresses, numéros de téléphone, e-mails, numéros de sécurité sociale, permis de conduire, passeports, cartes de crédit, adresses IP, URLs, numéros de compte, identifiants d'appareils.
Méthode : Remplacer (préférable pour l'analyse) ou Caviarder.
Chaque configuration sauvegardée prend la décision de conformité une seule fois. L'opérateur choisit le profil correspondant au contexte juridique du document. Aucune liste d'entités à construire. Aucune méthode à choisir.
Taux d'erreurs avant et après les profils nommés
Sans profils nommés : Les équipes reconfigurent manuellement pour chaque loi. Le taux d'erreurs avoisine 15 %. Les audits annuels relèvent des constats liés à l'application des cadres.
Avec profils nommés : Les équipes sélectionnent un profil sauvegardé. La configuration est figée. Le taux d'erreurs tombe sous les 2 %. Les erreurs restantes viennent d'un mauvais choix de profil. L'examen QA les détecte. Les audits passent sans constat.
Le changement clé : la décision de conformité passe de l'exécution quotidienne à la création du profil. Un spécialiste décide une fois. Chaque opérateur applique sans réfléchir.
Gérer une équipe multi-cadres
Attribuer la responsabilité. Un référent par loi. Le référent RGPD gère le profil RGPD. Le responsable HIPAA gère la configuration HIPAA. Chaque référent révise son profil chaque trimestre.
Orienter par source. Les données clients UE utilisent le profil RGPD. Les données médicales US utilisent le profil HIPAA. Les données consommateurs californiens utilisent le profil CCPA.
Journaliser chaque traitement. Les journaux de traitement consignent quel profil a été utilisé sur chaque lot. Quand un auditeur demande comment un fichier a été traité, la réponse est un nom de profil, une date et un journal de configuration.
Diffuser les mises à jour. Quand l'EDPB publie de nouvelles lignes directrices, le référent RGPD met à jour la configuration partagée. Tous les traitements futurs intègrent automatiquement la modification.
Pour approfondir la gouvernance des profils et les preuves pour les audits, voir cohérence des presets d'anonymisation pour les audits RGPD. Pour le détail de la couverture HIPAA Safe Harbor, voir dé-identification HIPAA Safe Harbor pour la recherche en santé.
Conclusion
Trois lois. Trois profils sauvegardés. Un outil.
La complexité réside au niveau de la définition des profils. Pas dans le flux de travail quotidien. Les opérateurs n'ont pas besoin de connaître les règles de date HIPAA. Ils ont besoin de savoir quel profil correspond au document devant eux.
Les configurations nommées réduisent la charge cognitive. Elles diminuent les erreurs. Elles rendent la conformité démontrable.