FrenchTech SAAS

I. Constat : lacune des systèmes de gestion de base de données relationnelle (SGBDR)

A. L’évolutivité faible

Le schéma d’une base relationnelle est prévu pour répondre à toutes les requêtes possibles mais en contrepartie de cette généricité il est très structuré : non duplication de données, jointures entre les tables, colonnes des tables normalisées, contraintes d’intégrité, etc. La structure ne peut pas être modifiée (ajout, suppression, modification de tables, de jointures, de colonnes) sans modifier le code de l’application. La réciproque est également vraie : les modifications du code de l’application nécessitent souvent de modifier le schéma de base de données.

En synthèse, le couplage entre l’application et son schéma est très fort, ce qui rend la partie données d’une application coûteuse à faire évoluer.

B. Faible adaptation aux typologies de données modernes

Certaines applications ont besoin d’ingérer des données de différentes sources, par exemple : tweets, données de localisation, emails, etc. Cependant ces données ne sont pas structurées. Pour les intégrer dans un schéma relationnel, il faut utiliser des palliatifs pour plaquer les données sur un schéma préexistant, ce qui génère alors des problèmes de performance.

Concrètement, comment se préparer ?

Etape 1 – Désigner un pilote

Pour piloter la gouvernance des données personnelles de votre entreprise, vous aurez besoin de recruter ou de nommer un responsable délégué à la protection des données pour exercer une mission, à la fois d’information, de conseil en interne.

Etape 2 – Cartographier vos traitements de données personnelles

Pour mesurer concrètement l’impact du règlement européen sur la protection des données que vous traitez, commencez par recenser de façon précise vos traitements de données personnelles.

L’élaboration d’un registre des traitements vous permet de faire le point. Il détaille précisément la façon dont vous collectez les données, vous les utilisez, la façon dont vous avez collecté le consentement, le lien entre le consentement et la donnée.

La CNIL est consciente du travail lourd et chronophage et a donc décidé de le rendre obligatoire uniquement pour les entreprises de plus 250 salariés. Pour les autres, une simple cartographie des données suffit.

Etape 3 – Prioriser les actions à mener

Sur la base de votre registre ou de la cartographie de vos traitements, identifiez les actions à mener pour vous conformer aux obligations actuelles et à venir. Priorisez ces actions au regard des risques que font peser vos traitements sur les droits et libertés des personnes concernées.

Etape 4 – Gérer les risques

Si vous avez identifié des traitements de données personnelles susceptibles d’engendrer des risques élevés pour les droits et libertés des personnes concernées, vous devrez mener, pour chacun de ces traitements une analyse d’impact sur la protection des données (PIA).

Etape 5 – Organiser les processus internes

Pour assurer un haut niveau de protection des données personnelles en permanence, mettez en place des procédures internes qui garantissent la prise en compte de la protection des données à tout moment, en prenant compte de l’ensemble des événements qui peuvent survenir au cours de la vie d’un traitement (ex : faille de sécurité, gestion des demandes de rectification ou d’accès…).

Etape 6 – Documenter la conformité

Pour prouver votre conformité, vous devez constituer et regrouper la documentation nécessaire. Les actions et documents réalisés à chaque étape doivent être réexaminés et actualisés régulièrement pour assurer une protection des données en continu. Cette documentation vous permettra également de répondre aux questions de la CNIL en cas de contrôle.

Dans ce 1er billet, on montre comment accéder à la zone de travail (Workspace) et créer la structure d’accueil d’un MCD.

Les autres billets traitent des sujets suivants :

– Le MCD, création des entités-types

– Le MCD, création des associations

— Le MLD, le script SQL, génération du MLD et du script SQL de création des tables

— Le MCD, spécialisation /généralisation des entités-types (héritage)

— Le MCD, identification relative

— Le MCD, vues (urbanisation du MCD), CIF (contrainte d’intégrité fonctionnelle), les contraintes de chemin, d’inclusion (en cours de rédaction)

— Rétro-conception : produire un MLD puis un MCD à partir du script SQL de création des tables (en cours de rédaction)

Sept principes sont donc à respecter pour les entreprises :

• Le principe d’accountability (ou logique de conformité), c’est l’entreprise qui doit prouver la conformité de la nouvelle règlementation RGPD.
• Le principe de sécurité, l’entreprise doit mettre en place toutes les mesures nécessaires pour sécuriser les données personnelles.
• Le principe de sécurité by design, la sécurité des données personnelles doit être prise en compte dès la phase de conception de toute activité.
• Le principe d’information, les personnes doivent être informées de leurs droits et consentir explicitement à la collecte et au traitement de leurs données personnelles. Si ces données sont amenées à fuiter ou si un incident est constaté, les personnes concernées ainsi que la CNIL doivent être prévenues, sauf exceptions justifiées, dans les 72 heures maximum.
• Le principe de licéité, les données à caractère personnel ne peuvent être recueillis et traitées que pour un usage déterminé et légitime, correspondant aux missions du responsable de traitement
• Le principe de minimisation qui oblige les entreprises à ne garder que les données personnelles qui leurs sont nécessaire pour l’exercice de leur activité.
• Le principe de conservation limité, les données personnelles ne peuvent être conservées que le temps nécessaire à l’exécution du contrat. A savoir que les données personnelles d’un prospect ne répondant à aucune sollicitation ne peuvent être conservées plus de 3 ans.

Ce processus est découpé en trois grandes étapes :

• Prétraitement : nettoyage, enrichissement des données... ;
• Traitement : rapprochement des évènements, enrichissement du dataset... ;
• Publication : validation et publication du dataset final
  Frameworks.

Pour réaliser les différents traitements nous utilisons Spark 2.1.

Nous analysons nos données avec Apache Drill. Cet outil est un moteur SQL qui permet de consulter simplement des datasets. Il a l’avantage de prendre en charge de nombreux formats de stockage : CSV, Parquet, JSON, SGBD, NoSQL...