Après incident : supprimer les copies d'investigation
Copies d'investigation après incident : recensez les images, exports et journaux, justifiez les conservations et supprimez les copies inutiles.
Pour analyser un incident, l’équipe copie des disques, des bases et des journaux. Une fois le service rétabli, ces ensembles restent parfois sur les postes des intervenants ou dans des espaces temporaires. La clôture doit distinguer les preuves nécessaires des copies de travail devenues inutiles.
Inventorier les copies créées pendant l’enquête
Reprenez les opérations depuis le début : collecte technique, transfert au prestataire, décompression, extraction, captures et rapports. Une image complète peut contenir bien plus de données que les éléments réellement analysés.
| Copie | Questions de clôture |
|---|---|
| Image de système | Quelle preuve exige encore sa conservation intégrale ? |
| Export de base | Le périmètre peut-il être réduit ? |
| Journaux | Quelle période est pertinente et pour quelle durée ? |
| Extraits de travail | Ont-ils été intégrés au dossier de preuve ? |
| Capture ou rapport | Contient-il des données ou secrets inutiles ? |
| Copie chez un tiers | Qui la conserve, à quel titre et avec quels accès ? |
Rattachez chaque élément à un détenteur et à un emplacement. Un inventaire limité au dossier principal manque souvent les téléchargements locaux.
Justifier les durées par le besoin résiduel
L’Art. 33(5) impose la documentation des faits, effets et mesures de la violation. Il ne prescrit pas la conservation indéfinie de toutes les images complètes. Les Art. 5(1)(c)/(e) imposent minimisation et limitation de conservation. Source : RGPD.
Un besoin probatoire, une procédure en cours ou une obligation particulière peut justifier certaines conservations. Identifiez les pièces, le fondement, les lecteurs et la prochaine revue. Le gel contentieux ciblé permet de formaliser ces exceptions sans figer toutes les copies de l’enquête.
Préserver l’intégrité de ce qui doit rester
Une réduction du périmètre ne doit pas détruire les éléments nécessaires à la preuve. Faites décider le sort des originaux et des extraits par les personnes compétentes pour le dossier. Conservez le contexte, les versions et les opérations utiles à l’explication des faits.
Exemple hypothétique. Une image complète a servi à confirmer un accès. Le rapport et des journaux ciblés suffisent à certaines actions internes, mais une procédure identifiée exige encore l’image. Celle-ci reste dans un espace probatoire restreint, tandis que les copies de manipulation sont supprimées.
La CNIL recommande de protéger les journaux et d’éviter la duplication excessive de données dans les traces. Ces principes aident à organiser le dossier résiduel.
Fermer les espaces des intervenants
Supprimez les comptes temporaires, les liens et les secrets de transfert devenus inutiles. Pour un sous-traitant, appliquez les instructions et les clauses pertinentes, notamment l’Art. 28(3)(g), sous réserve des conservations légalement imposées.
Un avocat, expert ou autre responsable autonome peut avoir un régime propre. Clarifiez les responsabilités et finalités résiduelles au lieu de promettre un effacement total sur simple demande. La procédure de fin d’accès d’un partenaire aide à distinguer ces situations.
Documenter les opérations réalisées
Le compte rendu peut indiquer les catégories supprimées, les espaces concernés, la date, la méthode et les exceptions maintenues. Les preuves d’effacement chez le prestataire doivent être proportionnées au risque et au périmètre.
Vérifiez aussi les sauvegardes des espaces temporaires et le sort des clés de chiffrement. Une suppression du lien visible ne prouve pas la suppression de la copie stockée.
Attribuez un responsable aux conservations restantes. Un dossier technique clos sans prochaine revue peut devenir une archive permanente contenant les données mêmes que l’incident cherchait à protéger.
Ce qu’il faut retenir
- Recensez les copies de travail, pas seulement le rapport final.
- Documenter la violation n’exige pas de conserver toutes les données brutes.
- Préservez les preuves nécessaires et supprimez les autres copies avec traçabilité.
FAQ
Peut-on supprimer les images dès que le service fonctionne ?
Pas sans vérifier les besoins d’enquête, de preuve et les obligations applicables. La restauration technique et la fin du besoin probatoire sont deux événements distincts.
Le rapport final peut-il contenir des données nominatives ?
Lorsque c’est nécessaire à son objectif, avec des accès et durées adaptés. Les captures et annexes doivent être revues pour éviter les données étrangères à l’analyse.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.