Traçabilité des données chez les tiers

Une entreprise de distribution a partagé l’historique d’achats de ses clients avec un fournisseur d’analyse marketing. L’accord de traitement des données couvrait le traitement des données par le fournisseur principal. Ce que l’entreprise ignorait, c’est que le fournisseur principal avait, dans les conditions de sa plateforme, une clause standard l’autorisant à transmettre des données à des sous-traitants ultérieurs d’infrastructure à des fins de traitement. L’un de ces sous-traitants ultérieurs était une plateforme d’analyse dans le cloud située dans une juridiction que l’entreprise n’avait pas autorisée pour les transferts de données. Cette plateforme d’analyse disposait d’une fonctionnalité d’apprentissage automatique qui utilisait des données clients anonymisées pour améliorer les performances des modèles pour l’ensemble de ses clients, faisant de fait de l’historique d’achats de l’entreprise une donnée d’entraînement pour des modèles utilisés par les concurrents du fournisseur. Rien de tout cela n’avait été divulgué dans le cadre de la relation avec le fournisseur principal. La traçabilité des données s’étendait quatre étapes au-delà du périmètre approuvé par l’entreprise avant que quiconque ne la reconstitue. L’entreprise avait approuvé le premier saut. Les données étaient allées bien plus loin.

Qu’est-ce que la traçabilité des données entre tiers, réellement ?

Le lignage des données est la trace vérifiable de l’origine des données, de leurs transformations et de leurs déplacements : une chaîne de traçabilité qui identifie chaque système, processus et partie ayant eu affaire aux données depuis leur création jusqu’à leur état actuel. Dans le contexte du risque lié aux tiers, le lignage des données décrit précisément le chemin que suivent les données du client depuis ses systèmes jusqu’à l’environnement du fournisseur et à toutes les parties en aval auxquelles le fournisseur fait appel pour traiter, stocker ou analyser ces données. Comprendre le lignage des données, c’est pouvoir répondre à la question suivante : après avoir partagé ces données avec le fournisseur, où sont-elles allées, qu’en a-t-on fait et qui d’autre y a eu accès ?

Le problème du lignage en aval dans les relations avec les fournisseurs vient de ce que la visibilité contractuelle du client s’arrête généralement au fournisseur principal. Le fournisseur principal entretient une relation directe avec le client : un contrat, un accord de traitement des données, une responsabilité quant aux obligations de traitement. Les sous-traitants ultérieurs, fournisseurs d’infrastructure, plateformes analytiques et services cloud du fournisseur principal qui reçoivent des données du client dans le cadre des activités du fournisseur n’ont aucune relation directe avec le client. Ils sont invisibles pour le programme de gouvernance du client, sauf si celui-ci demande expressément au fournisseur principal de les divulguer, et la visibilité du fournisseur principal sur son propre lignage peut être limitée : il sait avec qui il a passé des contrats, mais n’a pas forcément une visibilité complète sur les flux en aval de ses propres sous-traitants ultérieurs.

La dimension réglementaire a considérablement accentué ce problème. L’article 28 du GDPR exige que les sous-traitants obtiennent l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement avant de faire appel à des sous-traitants ultérieurs. Les dispositions du CCPA relatives aux prestataires de services créent des obligations équivalentes. Les cadres propres au secteur de la santé exigent des entités couvertes qu’elles obtiennent des accords d’associé commercial de la part des sous-traitants de leurs fournisseurs qui ont accès à des PHI. Ces exigences réglementaires créent pour le responsable du traitement, c’est-à-dire l’organisation cliente, l’obligation non seulement de disposer d’un DPA avec le fournisseur principal, mais aussi de comprendre et d’approuver la chaîne de sous-traitants ultérieurs par laquelle transitent ses données. Un DPA qui rend le fournisseur « responsable de sa chaîne d’approvisionnement » sans nommer ni autoriser cette chaîne ne satisfait pas à l’exigence réglementaire de divulgation des sous-traitants ultérieurs.

Les défaillances de traçabilité des données dans les relations avec les tiers se concentrent autour de cinq lacunes de visibilité précises :

• Chaînes de sous-traitance ultérieure non divulguées : fournisseurs principaux qui font appel à des sous-traitants ultérieurs pour l’analyse, l’infrastructure ou le traitement sans communiquer la liste de ces sous-traitants aux clients ni obtenir d’autorisation spécifique
• Flux de données transfrontaliers : données transférées à des sous-traitants ultérieurs situés dans des juridictions non approuvées dans l’accord de traitement des données, créant des situations de transfert transfrontalier non autorisé au regard du GDPR et de cadres équivalents
• Transformation et enrichissement des données : traitements du fournisseur qui enrichissent les données des clients ou les combinent avec des sources de données tierces, créant des jeux de données dérivés aux caractéristiques différentes de celles des données initialement partagées
• Réutilisation des données par les sous-traitants ultérieurs : plateformes de sous-traitants ultérieurs qui utilisent les données des clients à des fins dépassant le cas d’usage déclaré du fournisseur principal, notamment l’entraînement de modèles, l’amélioration de produits ou l’analyse comparative entre jeux de données de clients
• Extension indéfinie du lignage : sous-traitants ultérieurs qui font eux-mêmes appel à leurs propres sous-traitants, créant des chaînes de lignage des données qui s’étendent au-delà de ce que le fournisseur principal ou le client peuvent retracer

Pourquoi c’est important

Le lignage des données chez les tiers est important pour la TPRM parce que les obligations réglementaires qui s’appliquent aux données des clients (limitations du traitement, restrictions géographiques, exigences d’autorisation des sous-traitants ultérieurs, droits des personnes concernées) s’appliquent aux données quel que soit le nombre d’intermédiaires qui les séparent du client. Le droit à l’effacement d’une personne concernée prévu par le GDPR ne s’arrête pas à la base de données du fournisseur principal. Il s’applique à chaque copie de ses données dans chaque système de la chaîne de lignage. Une restriction géographique du transfert de données n’exclut pas les sous-traitants ultérieurs opérant dans des juridictions non autorisées. Une limitation de la finalité de l’utilisation des données ne permet pas à un sous-traitant ultérieur d’utiliser les données à une autre fin que celle autorisée par le responsable du traitement.

La conséquence pratique est que les obligations du client en matière de protection des données s’étendent aussi loin que les données circulent, mais que la visibilité du client en matière de gouvernance s’arrête généralement au premier saut. Cela crée un écart systématique entre les obligations que le client a acceptées et celles qu’il peut réellement surveiller et faire respecter. Un client qui a obtenu un DPA de son fournisseur principal mais n’a aucune visibilité sur la chaîne des sous-traitants ultérieurs dispose d’un cadre contractuel qui ne couvre qu’une fraction de l’écosystème réel de traitement des données par lequel transitent les données de ses clients.

C’est sur la dimension du risque de quatrième partie que cela devient un véritable défi pour le programme de gestion des risques de l’entreprise. Le risque de quatrième partie, c’est-à-dire le risque découlant du fournisseur du fournisseur de votre fournisseur, est structurellement difficile à évaluer, car il n’existe aucune relation directe entre le client et la quatrième partie. Le client ne peut pas l’auditer, ne peut pas contracter directement avec elle et peut même ignorer son existence s’il ne pose pas la question au fournisseur principal, puis au sous-traitant ultérieur de ce fournisseur principal. Pour la traçabilité des données en particulier, cela signifie que la chaîne complète peut être inconnue à tout moment, et qu’un événement survenant à n’importe quel maillon de la chaîne (une violation, un changement de juridiction, une mise à jour de fonctionnalité permettant la réaffectation des données) crée une exposition pour le client, quel que soit le nombre de niveaux de relation qui l’en séparent.

Là où la plupart des équipes se trompent

L’échec le plus constant consiste à considérer l’accord de traitement des données comme la limite de la gouvernance de la traçabilité des données. Un DPA qui rend le fournisseur responsable de la conformité de ses sous-traitants ultérieurs crée une obligation de responsabilité, mais ne crée pas de visibilité. Le client sait que le fournisseur est responsable. Il ne sait pas qui sont les sous-traitants ultérieurs, quelles données chacun reçoit, ni quels contrôles s’appliquent à chaque maillon. La responsabilité sans visibilité n’est pas de la gouvernance : c’est la capacité d’attribuer la responsabilité une fois que quelque chose a mal tourné, plutôt que la capacité d’empêcher que quelque chose tourne mal.

Le deuxième échec consiste à ne pas exiger la divulgation des sous-traitants ultérieurs comme élément standard de l’intégration des fournisseurs et de la gouvernance continue. La plupart des DPA comprennent une clause générale d’autorisation de la sous-traitance ultérieure : le fournisseur peut faire appel à des sous-traitants ultérieurs soumis à des obligations de protection des données équivalentes. Très peu exigent du fournisseur qu’il tienne et communique une liste à jour de ses sous-traitants ultérieurs, qu’il informe le client lorsque des sous-traitants ultérieurs sont ajoutés ou modifiés et qu’il obtienne l’accord du client avant d’ajouter des sous-traitants ultérieurs dans des juridictions non autorisées. Sans ces exigences précises, la clause d’autorisation générale est un chèque en blanc pour le partage de données en aval par le fournisseur.

• Traiter le DPA comme la gouvernance de la traçabilité des données : le DPA crée une responsabilité, pas une visibilité sur la chaîne réelle des sous-traitants ultérieurs
• Aucune exigence de liste des sous-traitants ultérieurs : DPA qui autorisent la sous-traitance ultérieure de manière générale sans exiger la divulgation des sous-traitants ultérieurs précis ni de leur traitement des données
• Aucune exigence de notification des changements : fournisseurs pouvant ajouter de nouveaux sous-traitants ultérieurs sans en informer le client, ce qui étend silencieusement la chaîne de lignage des données
• Aucune autorisation géographique : DPA qui ne précisent pas les juridictions approuvées pour le traitement des données, laissant sans gouvernance les flux transfrontaliers vers les sous-traitants ultérieurs
• Aucune évaluation des quatrièmes parties : programmes de TPRM qui évaluent le fournisseur principal sans aucune visibilité sur sa chaîne de sous-traitants ultérieurs

À quoi ressemblent les bonnes pratiques

Les programmes matures de gouvernance du lignage des données considèrent la visibilité sur les sous-traitants ultérieurs comme un droit contractuel, et non comme un geste de transparence facultatif. Les listes de sous-traitants ultérieurs sont tenues, communiquées et mises à jour lorsque des changements interviennent. Les restrictions géographiques sont précises. Les exigences de notification des changements créent un déclencheur de gouvernance lorsque la chaîne de lignage s’étend. Et pour les relations portant sur les données les plus à risque, l’examen périodique de la chaîne complète de sous-traitance ultérieure garantit que le lignage reste dans les limites approuvées au fil du temps.

• Obligation contractuelle de divulgation des sous-traitants ultérieurs : le fournisseur est tenu de tenir à jour et de fournir une liste actualisée de ses sous-traitants ultérieurs, mise à jour lorsque des sous-traitants ultérieurs sont ajoutés ou modifiés
• Notification des changements avec droit d’opposition : fournisseurs tenus d’informer le client au moins trente jours avant d’ajouter un nouveau sous-traitant ultérieur, le client conservant le droit de s’y opposer
• Restrictions géographiques de traitement : juridictions précises approuvées pour le traitement des données dans le DPA, tout traitement par un sous-traitant ultérieur dans une juridiction non approuvée exigeant une autorisation explicite
• Cartographie des flux de données vers les sous-traitants ultérieurs : documentation des données reçues par chaque sous-traitant ultérieur, de la finalité et des obligations contractuelles applicables
• Examen périodique de la chaîne de sous-traitance ultérieure : examen annuel ou déclenché par un événement de la liste complète des sous-traitants ultérieurs afin de confirmer qu’elle reflète la réalité actuelle et reste dans les limites approuvées
• Interdiction de la réaffectation des données : interdiction contractuelle explicite faite aux sous-traitants ultérieurs d’utiliser les données du client à des fins dépassant le cas d’usage autorisé du fournisseur principal

Outils

Gérer la traçabilité des données entre tiers exige de combiner des mécanismes contractuels et des outils techniques qui permettent de découvrir et de cartographier les flux de données au-delà de la relation avec le fournisseur principal.

Plateformes de TPRM avec suivi des sous-traitants ultérieurs : OneTrust, Prevalent, ProcessUnity

Les plateformes de TPRM d’entreprise intègrent de plus en plus des capacités de suivi des sous-traitants ultérieurs et des quatrièmes parties : elles tiennent des cartographies de la chaîne d’approvisionnement des fournisseurs qui montrent non seulement les fournisseurs principaux, mais aussi les sous-traitants ultérieurs et les fournisseurs d’infrastructure auxquels ils font appel. Le module de gestion des risques fournisseurs de OneTrust prend en charge la documentation de la divulgation des sous-traitants ultérieurs et les flux de notification des changements. Pour les praticiens de la TPRM, ces plateformes fournissent l’infrastructure opérationnelle nécessaire pour maintenir et examiner à grande échelle la visibilité sur les chaînes de sous-traitance ultérieure au sein d’un vaste portefeuille de fournisseurs.

Cartographie des flux de données : Microsoft Purview Data Map, Collibra, Alation

Les plateformes de catalogage et de traçabilité des données assurent une cartographie technique des flux de données, en retraçant la manière dont les données circulent entre les systèmes, les transformations qu’elles subissent et l’endroit où elles sont stockées. Dans le contexte des fournisseurs, ces plateformes facilitent la documentation des flux de données approuvés et la détection des écarts par rapport à ces flux. Pour les praticiens du TPRM, demander si un fournisseur tient à jour une cartographie des flux de données couvrant sa chaîne de sous-traitants ultérieurs constitue une question précise de documentation de la gouvernance, qui révèle si la traçabilité est suivie de manière systématique ou gérée de façon informelle.

Gestion de la protection des données personnelles : TrustArc, BigID, Securiti

Les plateformes de gestion de la confidentialité facilitent la tenue du registre des activités de traitement (ROPA) exigé par l’article 30 du GDPR et par des cadres équivalents, notamment l’identification des sous-traitants et des sous-traitants ultérieurs de la chaîne de traitement. Pour les clients qui cherchent à cartographier leurs propres obligations en matière de lignage des données, les plateformes de gestion de la confidentialité fournissent l’infrastructure d’inventaire et de documentation qui rend la gouvernance de la chaîne de sous-traitance ultérieure viable sur le plan opérationnel au sein d’un vaste portefeuille de fournisseurs.

Gestion des contrats avec clauses relatives aux sous-traitants ultérieurs : Ironclad, Icertis, DocuSign CLM

Les plateformes de gestion du cycle de vie des contrats permettent de standardiser les clauses de divulgation des sous-traitants ultérieurs dans l’ensemble des contrats fournisseurs, en garantissant que chaque DPA comprend les obligations requises relatives à la liste des sous-traitants ultérieurs, les exigences de notification des changements et les restrictions géographiques, plutôt que de s’en remettre à l’examen manuel de chaque contrat. Pour les programmes de TPRM qui négocient des centaines de contrats fournisseurs, les plateformes de CLM assurent l’application systématique des exigences de visibilité sur les sous-traitants ultérieurs, que l’examen individuel des contrats ne peut pas soutenir dans la durée.

Enjeux de gouvernance

Le défi de gouvernance que pose la traçabilité des données entre tiers tient à la nature dynamique des chaînes de sous-traitants ultérieurs des fournisseurs. Un fournisseur qui divulgue cinq sous-traitants ultérieurs au moment de la conclusion du contrat peut en avoir engagé trois de plus six mois plus tard, à la faveur de nouveaux partenariats d’infrastructure, de migrations de plateforme ou de l’ajout de fonctionnalités produit. Sans obligation contractuelle de notification des changements ni processus opérationnel d’examen de ces changements, la liste des sous-traitants ultérieurs approuvée lors de l’intégration du fournisseur est exacte à un instant donné, puis de moins en moins exacte à mesure que la relation évolue.

Pour les programmes de TPRM, la réponse pratique en matière de gouvernance consiste à combiner des exigences contractuelles de divulgation des sous-traitants ultérieurs avec des cycles d’examen périodiques qui confirment que la liste divulguée reste exacte et complète. Un examen annuel de la liste des sous-traitants ultérieurs, qui consiste à demander au fournisseur de confirmer sa liste actuelle et à la comparer à la liste divulguée précédemment, constitue un mécanisme léger mais efficace pour détecter les changements qui n’ont pas été notifiés. Pour les fournisseurs qui traitent des données sensibles au plus haut degré, des cycles d’examen plus fréquents ou des exigences de notification des changements en temps réel offrent une gouvernance plus solide sans nécessiter une réévaluation complète.

• Ajouter des exigences de divulgation des sous-traitants ultérieurs à tous les DPA : liste à jour, obligation de mise à jour, notification des changements avec droit d’opposition
• Préciser explicitement les restrictions géographiques de traitement : juridictions approuvées énumérées, juridictions non autorisées interdites sans autorisation spécifique
• Inclure l’examen de la liste des sous-traitants ultérieurs dans les réévaluations des fournisseurs : confirmation annuelle que la liste communiquée est à jour et complète
• Évaluer le risque de réutilisation des données pour les fournisseurs d’analyse et de ML : interdiction explicite d’utiliser les données des clients pour l’entraînement de modèles ou l’analyse comparative entre clients sans autorisation spécifique
• Cartographier l’exposition aux quatrièmes parties pour les relations fournisseurs les plus à risque : demander aux fournisseurs principaux de divulguer les sous-traitants ultérieurs de leurs sous-traitants ultérieurs pour les relations portant sur les données sensibles les plus critiques

Si vous êtes une petite équipe

Commencez par la question sur les sous-traitants ultérieurs pour vos cinq relations fournisseurs de partage de données les plus à risque : pouvez-vous fournir la liste à jour de tous les sous-traitants ultérieurs qui reçoivent des données que vous traitez pour notre compte, les données que chacun reçoit et les juridictions dans lesquelles ils opèrent ? Posée à vos fournisseurs les plus critiques, cette question révélera immédiatement la chaîne de lignage à laquelle la clause de responsabilité de votre DPA fait référence sans la décrire. Pour tout sous-traitant ultérieur opérant dans une juridiction non couverte par votre cadre de transfert de données, vous aurez identifié un transfert transfrontalier non autorisé qu’il faut soit traiter, soit autoriser formellement.

• Demander à vos fournisseurs les plus à risque leur liste à jour de sous-traitants ultérieurs : sous-traitants ultérieurs précis, données reçues et juridictions
• Ajoutez des exigences de divulgation des sous-traitants ultérieurs et de notification des changements lors du prochain renouvellement de votre DPA
• Pour les fournisseurs d’analyse et de ML, ajouter des interdictions explicites de réutilisation des données afin d’empêcher l’utilisation des données des clients pour l’entraînement de modèles
• Examiner les juridictions des sous-traitants ultérieurs communiquées au regard de votre cadre de transfert de données approuvé : les juridictions non autorisées constituent une lacune réglementaire qui exige une attention immédiate

Ce qu’il faut exiger

Demandez directement :

« Pouvez-vous fournir la liste à jour de tous les sous-traitants ultérieurs qui reçoivent des données que vous traitez pour notre compte, avec leur nom, leur localisation, les données qu’ils reçoivent et la finalité pour laquelle ils les reçoivent ? »

« Quel est votre processus pour nous informer lorsque vous ajoutez, modifiez ou retirez un sous-traitant ultérieur, et de quel droit disposons-nous pour nous opposer à un nouveau sous-traitant ultérieur avant qu’il ne reçoive nos données ? »

« Des sous-traitants ultérieurs de votre chaîne sont-ils autorisés à utiliser les données qu’ils reçoivent de vous à des fins dépassant le cas d’usage prévu par notre contrat, notamment l’entraînement de modèles, l’amélioration de produits ou l’analyse comparative entre jeux de données de clients ? »

Preuves attendues

• Liste actualisée des sous-traitants ultérieurs avec leurs noms, juridictions, données reçues et finalités de traitement
• Documentation du processus de notification des changements, avec droit d’opposition du client
• Confirmation de l’interdiction de réaffectation des données : sous-traitants ultérieurs contractuellement interdits d’utiliser les données du client à des fins non autorisées
• Confirmation des lieux de traitement : tous les sous-traitants ultérieurs opèrent dans des juridictions couvertes par les cadres applicables aux transferts de données

Un fournisseur qui répond à la question sur les sous-traitants ultérieurs par « nous faisons appel à des fournisseurs d’infrastructure cloud conformes aux normes du secteur » a décrit une catégorie sans nommer les fournisseurs, leurs juridictions ni les données qu’ils reçoivent. Demandez la liste. La description d’une catégorie ne vous dit rien sur la présence de ces fournisseurs précis dans des juridictions approuvées ni sur l’existence d’obligations contractuelles appropriées.

Comment le prouver

Les exigences d’autorisation des sous-traitants ultérieurs prévues à l’article 28 du GDPR, les obligations relatives à la chaîne des prestataires de services prévues par le CCPA et les exigences relatives aux sous-traitants des business associates prévues par la HIPAA créent toutes des obligations précises en matière de divulgation et d’autorisation des sous-traitants ultérieurs. Démontrer la diligence raisonnable exige de prouver que les chaînes de sous-traitants ultérieurs ont été divulguées, examinées et autorisées, et pas seulement que le fournisseur principal en était contractuellement responsable.

• Registres de divulgation des sous-traitants ultérieurs : listes actualisées reçues des fournisseurs lors de leur intégration et à chaque cycle de réévaluation
• Documentation des clauses du DPA relatives aux sous-traitants ultérieurs : droits de divulgation, de notification et d’opposition précisés contractuellement
• Registres d’autorisation géographique des transferts : juridictions des sous-traitants ultérieurs examinées au regard des cadres de transfert de données applicables
• Documentation de l’interdiction de réutilisation des données dans les contrats fournisseurs
• Registres de l’examen annuel de la liste des sous-traitants ultérieurs confirmant l’actualité et l’exhaustivité de la liste communiquée

À retenir

Les données ne cessent pas de circuler lorsqu’elles parviennent à votre fournisseur. Elles passent à ses sous-traitants ultérieurs, qui les transmettent à leurs fournisseurs d’infrastructure, qui peuvent les transmettre à des plateformes d’analyse, qui peuvent les utiliser à des fins que personne n’a autorisées. L’accord de traitement des données que vous avez signé rend votre fournisseur responsable de cette chaîne. Il ne vous dit pas en quoi consiste cette chaîne. La responsabilité sans visibilité relève de la gestion de la responsabilité juridique, pas de la gouvernance des données. La liste des sous-traitants ultérieurs est la carte de l’endroit où vos données vont réellement. L’exiger, l’examiner et l’autoriser de manière spécifique, plutôt que générale, est l’étape de gouvernance qui transforme un DPA en un véritable instrument de protection des données plutôt qu’en une formalité contractuelle.