Qui est responsable des données après l’arrêt du système?

Par Emanuel Böminghaus, expert en systèmes hérités et directeur général d’AvenDATA

Par Emanuel Böminghaus,

expert en systèmes hérités et
directeur général d’AvenDATA

L’arrêt d’un système existant est souvent perçu comme une simple étape technique : les projets sont marqués comme terminés, les interfaces sont débranchées et les serveurs sont éteints. Mais il reste les données. Et avec elles, une question de fond : qui répond de ces informations une fois que le système d’origine a disparu?

Dans les faits, le flou s’installe presque toujours après la mise hors service. L’équipe informatique ne se sent plus responsable, les unités d’affaires perdent l’accès, le responsable de la protection des renseignements personnels demande la suppression et l’équipe de conformité exige au contraire la conservation. Ce nœud ne se dénoue que si les responsabilités ont été clairement établies dès le départ et consignées sans ambiguïté.

La responsabilité ne s’arrête pas avec le système

Même après l’arrêt technique d’un système hérité, les données qui en proviennent restent pertinentes sur les plans juridique, opérationnel et organisationnel. Documents d’affaires, transactions, contrats et dossiers d’employés demeurent soumis aux obligations de conservation, aux règles de protection des renseignements personnels et à d’éventuelles vérifications. En clair : la responsabilité change de mains, elle ne disparaît pas.

Une idée fausse revient souvent : l’arrêt du système transférerait automatiquement la responsabilité à l’équipe informatique, ou le rôle de cette dernière prendrait fin là. En réalité, plusieurs parties prenantes sont en jeu, chacune avec son angle et ses obligations.

Le rôle de l’équipe informatique

L’équipe informatique est généralement responsable du volet technique : arrêt sécuritaire de l’infrastructure, migration ou archivage des données, gestion des accès. La mise en place de la solution d’archivage relève souvent d’elle. En revanche, il ne lui appartient pas d’évaluer le contenu ni sa portée juridique. Son rôle est technique, pas réglementaire ni opérationnel au sens des affaires.

La responsabilité des unités d’affaires

Les unités d’affaires demeurent responsables de la création, de l’utilisation et de l’interprétation des données, même après l’arrêt d’un système hérité. Ce sont elles qui savent quelles données comptent, lesquelles doivent être conservées et lesquelles peuvent être supprimées. Elles doivent donc participer activement au projet d’archivage, en particulier au moment de définir le périmètre des données, les droits d’accès et les durées de conservation.

Une fois l’archivage terminé, la responsabilité du contenu reste celle de l’unité concernée, même si l’accès est en lecture seule. Faute d’une attribution claire, des trous apparaissent, et ils ressortent généralement au pire moment : pendant une vérification externe ou un contrôle interne.

Protection des renseignements personnels et obligations de suppression

Le responsable de la protection des renseignements personnels veille au respect des limites de conservation et des droits des personnes concernées. Même après l’archivage, il faut garantir que les renseignements personnels provenant de systèmes hérités ne sont pas conservés indéfiniment et qu’ils peuvent être supprimés ou anonymisés à l’échéance des délais prévus.

Cela suppose des règles de suppression coordonnées et des responsabilités nommément attribuées, surtout au moment de trancher entre ce qui doit être archivé et ce qui doit être détruit. Cette responsabilité revient normalement à l’unité d’affaires, en concertation avec le responsable de la protection des renseignements personnels, et non à l’équipe informatique.

Conformité, vérifications et responsabilité juridique

Les équipes de conformité et les services juridiques ont tout intérêt à ce que les données archivées provenant de systèmes hérités restent complètes, intactes et accessibles à long terme. Ce sont eux qui répondent devant les autorités de réglementation, les vérificateurs et les tribunaux, et ils doivent pouvoir démontrer en tout temps l’intégrité et la disponibilité de l’information historique. Un accès fiable aux données anciennes devient déterminant dès qu’il est question de pièces financières, de vérifications réglementaires ou de litiges.

Pour y arriver, les équipes de conformité doivent travailler étroitement avec l’informatique et les unités d’affaires, afin de couvrir l’ensemble des exigences légales, réglementaires et sectorielles applicables. Au bout du compte, la direction générale ou les membres du conseil d’administration peuvent être tenus personnellement responsables d’un manquement à la conformité, parfois plusieurs années après l’arrêt d’un système.

Conclusion : des responsabilités claires évitent des erreurs coûteuses

La responsabilité des données ne prend pas fin avec la mise hors service du système. Elle se répartit entre l’informatique, les unités d’affaires, la protection des renseignements personnels et la conformité, et elle doit être définie noir sur blanc. Sans partage clair des rôles, l’organisation s’expose à des manquements réglementaires, à des pertes de données et à beaucoup de confusion interne.

L’archivage n’est pas qu’une tâche technique : c’est un projet transversal. Ce n’est qu’en attribuant clairement les responsabilités, en coordonnant les processus et en documentant le tout de façon transparente qu’une organisation peut assurer un traitement adéquat, sécuritaire, conforme et fiable de ses données héritées.

Vous prévoyez d’archiver un système hérité?