Ne laissez pas la conformité des données personnelles à la semaine du lancement
Les décisions sur les données personnelles sont des décisions d'architecture. Intégrer la conformité au design en réduit le coût.
La loi turque n° 6698 sur la protection des données personnelles arrive sur la table de la plupart des équipes durant la dernière semaine du projet. À ce moment-là, la conformité devient une couche de texte collée après coup sur le produit : une notice d'information est rédigée, une case à cocher est ajoutée, et le travail est considéré comme terminé.
Or ce que la loi demande réellement, ce ne sont pas des textes mais des décisions. Quelles données collectez-vous, sur quelle base légale, combien de temps les conservez-vous, avec qui les partagez-vous ? Les réponses à ces questions déterminent directement votre modèle de données et votre architecture.
Les questions à poser dès la conception
- Sommes-nous vraiment obligés de collecter ce champ ? (minimisation des données)
- Sur quelle base légale le traitons-nous — consentement explicite ou exécution d'un contrat ?
- L'enregistrement est-il supprimé automatiquement à l'expiration de la durée de conservation ?
- Comment répondrons-nous à une demande d'export ou d'effacement des données ?
- Y a-t-il un transfert hors du pays, et si oui selon quel mécanisme ?
Les équipes qui répondent à ces questions au début du projet inscrivent la durée de conservation comme une colonne en base de données et confient la suppression à une tâche planifiée. Celles qui tentent d'y répondre à la fin avancent avec des scripts lancés à la main, ce qui ouvre la porte aux erreurs comme au risque de contrôle.
