Datavault immuable contre droit à l'effacement : le piège RGPD des satellites d'historisation
Le Datavault est conçu pour ne rien perdre. Le RGPD impose d'effacer. Cette contradiction frontale fait du consultant un acteur clé de la conformité du client.
- Le Datavault historise par principe : il conserve chaque version de la donnée, y compris les données personnelles.
- Le droit à l'effacement RGPD impose au contraire de supprimer une donnée personnelle sur demande, ce qui heurte la philosophie immuable.
- Concevoir l'entrepôt sans prévoir l'effacement expose le client à une non-conformité, et le consultant à une réclamation.
- Une violation de données dans un entrepôt sur-historisé aggrave l'impact d'un incident : l'assurance cyber devient un complément clé.
Une contradiction de principe entre Datavault et RGPD
La méthodologie Datavault repose sur une idée forte : on ne perd jamais rien. Les satellites empilent les versions successives d'un attribut, chaque changement crée une nouvelle ligne, et l'on ne supprime jamais l'historique. C'est la condition de l'auditabilité et de la traçabilité qui font la valeur de l'approche.
Le RGPD, lui, consacre un droit opposé : le droit à l'effacement (article 17). Une personne peut exiger la suppression de ses données personnelles, et le responsable de traitement doit s'exécuter dans des délais contraints. À cela s'ajoutent la limitation de conservation (on ne garde pas une donnée indéfiniment) et la minimisation.
Le Datavault dit : je garde tout, pour toujours. Le RGPD répond : tu dois pouvoir tout effacer, à la demande. Le consultant est exactement à l'intersection de ces deux logiques.
Ignorer cette tension au moment de la modélisation, c'est livrer un entrepôt structurellement non conforme. Et c'est souvent au consultant qu'on demandera des comptes.
Où le risque se matérialise dans la modélisation
Concrètement, le piège se referme quand des données personnelles sont placées dans des structures conçues pour être immuables, sans stratégie d'effacement. Plusieurs erreurs de conception reviennent :
- Données personnelles dans les business keys du hub : un email ou un numéro de sécurité sociale utilisé comme clé métier devient quasi impossible à effacer sans casser tous les liens.
- Satellites sans mécanisme de purge : aucune stratégie prévue pour neutraliser une ligne historique sur demande d'effacement.
- Absence de séparation des données sensibles : le PII (données à caractère personnel) est mêlé aux données techniques, rendant tout effacement ciblé impossible.
La bonne pratique consiste à isoler le PII dans des satellites dédiés, à privilégier des clés techniques (hash keys) plutôt que des identifiants personnels, et à concevoir dès le départ un mécanisme d'effacement logique ou de chiffrement révocable (crypto-shredding). Ne pas le faire, c'est exposer le client.
La responsabilité du consultant face à la non-conformité
Le responsable de traitement au sens du RGPD reste le client. Mais le consultant qui a conçu une architecture rendant l'effacement impossible n'est pas hors de cause. Si, lors d'une demande d'effacement ou d'un contrôle de la CNIL, le client constate qu'il ne peut pas se mettre en conformité à cause du design livré, il se retournera vers vous.
Le préjudice peut être lourd : coût de refonte pour rendre l'entrepôt effaçable, mais aussi exposition du client à une sanction. Votre devoir de conseil est ici central : un consultant data avisé alerte par écrit son client sur les implications RGPD de la modélisation et propose des solutions. Cette alerte documentée est à la fois une bonne pratique professionnelle et un élément de défense.
Les conséquences financières d'un défaut de conseil ou de conception relèvent de votre RC Pro. Mais le risque ne s'arrête pas à la faute de design.
Quand la sur-historisation aggrave une violation de données
Voici le volet le plus sous-estimé. Un entrepôt Datavault qui historise tout devient une mine de données personnelles : non seulement les valeurs actuelles, mais toutes les versions passées. Adresses, historiques de comportement, scores, données effacées ailleurs mais toujours présentes dans les satellites.
Si cet entrepôt subit une violation de données (intrusion, fuite, accès non autorisé), l'impact est démultiplié par rapport à une base classique : l'attaquant n'accède pas à un instantané, mais à l'intégralité de l'histoire des personnes concernées. La gravité de la notification CNIL, le volume de personnes à informer et le préjudice augmentent d'autant.
C'est précisément le terrain de l'assurance cyber : elle prend en charge la gestion de crise, les frais de notification, l'investigation forensique et les éventuelles réclamations consécutives à une fuite. Pour un consultant qui conçoit et parfois opère ces entrepôts riches en données personnelles, c'est un complément naturel de la RC Pro.
Concevoir un Datavault RGPD-ready : la check-list
Bonne nouvelle : auditabilité et conformité ne sont pas inconciliables. Un Datavault peut être conçu pour respecter le RGPD sans renoncer à sa valeur. Voici les réflexes à intégrer dès le cadrage.
| Principe RGPD | Traduction Datavault |
|---|---|
| Droit à l'effacement | PII isolé en satellites dédiés + crypto-shredding |
| Minimisation | Clés techniques (hash) plutôt qu'identifiants personnels |
| Limitation de conservation | Stratégie de purge par satellite selon la durée légale |
| Sécurité (art. 32) | Chiffrement des satellites PII, cloisonnement des accès |
Mettre en place ces patterns, c'est protéger votre client et vous-même. La rigueur de conception réduit le risque de réclamation ; l'assurance couvre le résidu. Cette double protection est ce que recherchent les donneurs d'ordre exigeants quand ils sélectionnent un consultant Datavault.
Devoir de conseil et partage de responsabilité avec le client
La question qui revient le plus souvent est celle de la répartition des responsabilités. Si le client est le responsable de traitement, jusqu'où le consultant est-il engagé ? La réponse tient en un mot : le devoir de conseil.
Un consultant data n'est pas un simple exécutant. Il est reconnu comme un professionnel sachant, dont le client attend qu'il l'alerte sur les implications de ses choix techniques. Concevoir une architecture qui rend l'effacement impossible sans en avertir le client, c'est manquer à ce devoir, indépendamment du fait que le client soit, lui, responsable de traitement.
Le silence du consultant sur une contrainte RGPD majeure peut suffire à engager sa responsabilité, même si le client n'a jamais posé la question.
À l'inverse, le consultant qui a tracé ses alertes se protège efficacement. Quelques bonnes pratiques rendent ce devoir de conseil démontrable :
- Mentionner explicitement, dans la note de cadrage, le traitement réservé aux données personnelles et la stratégie d'effacement retenue.
- Documenter par écrit toute décision du client de déroger à une recommandation de conformité (par exemple, repousser la mise en place du crypto-shredding pour tenir un délai).
- Conserver la trace des échanges où le sujet RGPD a été soulevé.
Cette discipline ne relève pas de la paranoïa : elle est le pendant naturel d'un métier où la donnée personnelle est omniprésente. Et lorsque, malgré tout, une réclamation survient, c'est la combinaison de cette traçabilité et d'une couverture adaptée, RC Pro pour le défaut de conseil et assurance cyber pour les conséquences d'une fuite, qui protège durablement votre activité.
Questions fréquentes
Oui, à condition de le concevoir pour. La philosophie immuable du Datavault heurte le droit à l'effacement, mais des patterns existent : isolation du PII en satellites dédiés, crypto-shredding, clés techniques. La conformité se construit dès la modélisation.
Le client reste responsable de traitement, mais si l'architecture que vous avez livrée rend l'effacement impossible, votre responsabilité de concepteur et votre devoir de conseil peuvent être engagés. D'où l'importance d'alerter le client par écrit.
Parce qu'un entrepôt sur-historisé concentre toutes les versions des données personnelles. En cas de violation, l'impact est démultiplié. L'assurance cyber couvre la gestion de crise, les notifications et l'investigation, en complément de la RC Pro.
En documentant votre devoir de conseil : alerter par écrit sur les implications RGPD de la modélisation et proposer des solutions conformes. Cette trace est une bonne pratique et un élément de défense. La RC Pro couvre les conséquences d'un défaut de conseil.
C'est une approche reconnue : on chiffre la donnée personnelle et l'on détruit la clé pour la rendre définitivement illisible, sans casser la structure historique. Bien implémenté, il concilie auditabilité Datavault et droit à l'effacement, mais doit être documenté.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Consultant Datavault — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Consultant Datavault →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.