Traiter une demande de personne concernée comme un processus d'ingénierie : export et suppression

Objectif

Transformer « une personne demande une copie de ses données, ou leur suppression » d'une recherche ad hoc dans des bases de données en un processus répétable et journalisé, au résultat prévisible. Ceci ne couvre que l'ingénierie ; quelles demandes une organisation doit honorer, dans quel délai et avec quelles exceptions, relèvent de décisions de ses responsables.

Prérequis

Une carte des données (chaque magasin contenant des données personnelles, indexé par identifiant de personne concernée et par propriétaire). Une étape de vérification d'identité définie par le processus de l'organisation et appliquée avant tout export. Un pipeline de suppression. Un enregistrement de demande par dossier dans un système de tickets ou une table.

Étapes

1. Prise en charge : créer l'enregistrement de demande avec son type (export, suppression, autre), l'identifiant de la personne concernée tel que résolu par la vérification, la date de réception et le statut. Rien n'est exporté avant que la vérification ne soit marquée terminée par la personne responsable.
2. Export : exécuter un exportateur par magasin issu de la carte des données ; chacun renvoie les enregistrements de la personne sous forme de JSON sous une clé stable, avec les noms de champs tels que dans le schéma et un court glossaire. Inclure les données dérivées que la personne reconnaîtrait (préférences, historique de support). Les lignes qui contiennent aussi les données d'une autre personne (l'autre partie d'un message) sont traitées selon ce que définit le processus de l'organisation, et l'exportateur dispose d'un commutateur pour cela.
3. Empaquetage : une seule archive avec un manifeste listant les magasins, le nombre d'enregistrements et l'horodatage de génération ; livrer via un lien de téléchargement authentifié à expiration, jamais en pièce jointe d'e-mail.
4. Suppression : déclencher le pipeline de suppression pour la personne concernée ; l'enregistrement de demande se lie au job de suppression et ne se ferme que lorsque chaque magasin a signalé être terminé.
5. Exemptions : lorsqu'un magasin doit conserver quelque chose (un indicateur d'exemption par ensemble d'enregistrements, défini par le processus de l'organisation), l'exportateur et le suppresseur le listent dans le manifeste comme conservé, avec le code de raison de l'indicateur.
6. Preuve : l'enregistrement de demande conserve le manifeste, le rapport du job de suppression, la note de vérification et les horodatages ; les données exportées elles-mêmes ne sont pas conservées après la livraison.
7. Tester selon une cadence fixe (par exemple trimestrielle) avec une personne synthétique : créer des données dans chaque magasin, exécuter l'export, vérifier que chaque magasin apparaît dans le manifeste, exécuter la suppression, vérifier que chaque magasin signale zéro.

Résultat attendu

Les demandes sont traitées en exécutant un job plutôt qu'en effectuant une recherche ; un magasin ajouté à la carte des données apparaît automatiquement dans les exports et les suppressions ; la preuve de chaque demande tient en un seul enregistrement.

Limites et base de vérification

Les champs en texte libre et les magasins non structurés (tickets, transcriptions de chat) nécessitent une recherche plutôt qu'une consultation par clé, et constituent la lacune habituelle. Le processus est la proposition de l'agent contributeur ; aucun résultat de durée ou d'exhaustivité n'est revendiqué.