Confier des données à un prestataire d’annotation revient à les faire circuler entre des dizaines de personnes, sur autant de postes de travail, dans un pays parfois lointain. Ce que cette circulation exige se décrit mal par un logo de certification affiché sur une page d’accueil.
Cet article expose ces exigences. Il prolonge l’article consacré à l’
assurance qualité.
Ce que la circulation des données expose
Cinq moments présentent un risque dans un projet de labellisation de données.
Le transfert initial depuis les systèmes propres au client.
Le stockage pendant toute la durée effective du projet.
L’affichage sur les postes de travail des opérateurs.
La restitution du corpus une fois tout le travail terminé.
Et la destruction des copies subsistant chez le prestataire.
Une conséquence pratique importante en découle. Le dernier moment se contrôle le moins bien, une copie oubliée sur un poste ou dans une sauvegarde suffisant à vider de leur portée toutes les précautions précédentes.
Ce que la norme demande réellement
Cinq exigences structurent un système de management appliqué à la labellisation de données.
Une analyse formelle des risques pesant sur l’information traitée.
Des mesures choisies en réponse directe à ces risques identifiés.
Une documentation des politiques ainsi que des procédures appliquées.
Des audits internes vérifiant que ces procédures sont suivies.
Et une révision périodique portant sur l’ensemble du dispositif.
Une observation importante en découle pour un projet de labellisation de données. La norme impose une démarche plutôt qu’une liste de mesures, ce qui explique que deux organisations certifiées puissent présenter des niveaux de protection très différents selon les risques qu’elles ont identifiés.
Ce que le poste de travail impose
Cinq mesures encadrent l’environnement des opérateurs de labellisation de données.
Un accès nominatif strictement restreint aux personnes affectées au projet.
Une interdiction complète des supports amovibles sur les postes concernés.
Un blocage des services de stockage ainsi que de messagerie externes.
Une prévention de la capture d’écran ainsi que de la copie locale.
Et une salle entièrement dédiée lorsque la sensibilité l’exige.
Une conséquence pratique s’ensuit. La quatrième mesure se contourne toujours par un téléphone personnel, ce qui explique que les projets les plus sensibles imposent une salle sans appareil personnel plutôt qu’un simple verrouillage logiciel.
Ce que le périmètre d’une certification recouvre
Cinq éléments définissent l’étendue réelle d’un certificat.
Les sites physiques que l’audit a réellement et effectivement couverts.
Les activités incluses ainsi que celles laissées hors du périmètre.
Les systèmes d’information qui ont été réellement examinés.
La date du dernier audit ainsi que celle du prochain.
Et l’organisme certificateur ayant effectivement conduit l’évaluation.
Une conséquence pratique importante en découle pour un projet de labellisation de données. Le deuxième élément mérite d’être lu avant tous les autres, un certificat pouvant couvrir le siège d’une entreprise sans inclure le site où le travail sera effectivement produit, ce qui rend la lecture du périmètre plus instructive que la présence du logo.
Ce que la traçabilité doit couvrir
Cinq événements méritent d’être systématiquement enregistrés.
Chaque accès à un lot de données, avec son auteur ainsi que son horaire.
Chaque export ou bien téléchargement effectué depuis la plateforme.
Chaque modification apportée aux droits d’accès des opérateurs.
Chaque tentative d’accès finalement refusée par le système.
Et chaque opération de suppression conduite à la fin du projet.
Une observation en découle. Le deuxième événement constitue le point de contrôle le plus utile, un export inhabituel se repérant immédiatement dans un journal alors qu’une consultation ordinaire ne dit rien.
Ce que l’engagement des personnes suppose
Cinq dispositions encadrent les opérateurs eux-mêmes.
Un engagement de confidentialité signé de façon individuelle.
Une sensibilisation aux risques dispensée avant tout accès aux données.
Une vérification d’identité conduite lors du recrutement.
Un retrait immédiat des accès dès le départ d’une personne.
Et un rappel régulier des règles tout au long du projet.
Une conséquence pratique importante en découle pour un projet de labellisation de données. La quatrième disposition se néglige plus souvent que les autres, un accès resté ouvert après un départ constituant la faille la plus courante et la plus simple à éviter.
Aborder les exigences de sécurité
Cinq questions cadrent la sécurité d’un projet de labellisation de données.
Les données peuvent-elles sortir. Certaines ne le peuvent pas.
Qui accède aux données. La liste doit être nominative.
Que trace-t-on. Les exports comptent plus que les lectures.
Comment se fait la destruction. Elle se documente ou n’existe pas.
Et la certification couvre-t-elle ce périmètre. Souvent non.
Ces cinq réponses déterminent le niveau réel de protection. Les poser avant de transmettre évite de découvrir un écart après coup.
Ce que ce chapitre enseigne
Une observation transversale mérite de clore cet examen.
Un certificat atteste une démarche, non un niveau de protection.
Trois constats la composent.
La norme impose une méthode plutôt qu’une liste de mesures.
La destruction des copies se contrôle le moins bien de toutes les étapes.
Et un accès resté ouvert après un départ constitue la faille la plus courante.
Ce constat prolonge les chapitres précédents, la vérification portant ici sur le dispositif plutôt que sur son affichage.
Les erreurs les plus fréquentes
- Se contenter d’un logo de certification sans lire le périmètre.
- Omettre la procédure de destruction en fin de projet.
- Laisser des accès ouverts après le départ d’un opérateur.
- Négliger la question des appareils personnels en salle.
- Tracer les lectures sans tracer les exports.
- Transmettre des données sensibles avant d’avoir vérifié le dispositif.
- Supposer qu’un sous-traitant applique les mêmes règles.
- Confondre chiffrement du transfert et protection pendant le travail.
- Signer un engagement collectif plutôt que nominatif.
- Découvrir les contraintes réglementaires après le démarrage.
Ce que la sous-traitance change ici
Cinq points méritent d’être vérifiés lorsqu’un prestataire en emploie un autre.
L’existence même d’une sous-traitance portant sur le projet concerné.
Le niveau de protection réellement appliqué chez ce second acteur.
La transmission des engagements de confidentialité en cascade jusqu’au bout.
La localisation géographique effective du travail sous-traité.
Et le droit d’auditer ce second acteur si cela devient nécessaire.
Une observation importante en découle pour un projet de labellisation de données. Le premier point se découvre rarement spontanément, un client supposant travailler avec l’organisation qu’il a choisie alors qu’une part du corpus circule ailleurs, ce qui justifie de poser explicitement la question plutôt que d’attendre qu’on l’aborde.
Ce que la réglementation ajoute
Cinq contraintes viennent du droit plutôt que de la norme.
Une base légale justifiant clairement le traitement des données personnelles.
Une limitation du traitement à ce que la seule finalité exige.
Un encadrement strict du transfert vers un pays tiers.
Une durée de conservation clairement définie puis respectée.
Et une information des personnes concernées le cas échéant.
Une conséquence pratique importante en découle pour un projet de labellisation de données. La troisième contrainte tranche parfois sans discussion possible, aucune mesure technique ne rendant licite un transfert que le droit interdit, ce qui place cette vérification avant toute évaluation du dispositif de sécurité.
Trois décisions avant de transmettre
Trois décisions engagent la sécurité d’un projet de labellisation de données.
Vérifier le périmètre exact couvert par la certification affichée.
Écrire la procédure de destruction avant même le premier transfert.
Et exiger la liste nominative des personnes accédant aux données.
Ces trois décisions coûtent quelques heures, elles précèdent tout envoi de données, et leur absence conduit à découvrir un écart lorsque le corpus circule déjà.
La question qui cadre le dispositif
Une question détermine le niveau de protection nécessaire en labellisation de données.
Une fuite de ces données porterait-elle atteinte à une personne ou à l’entreprise.
Une atteinte à l’entreprise, un secret industriel ou un avantage concurrentiel, se traite par des mesures contractuelles et techniques proportionnées au préjudice économique.
Une atteinte à une personne, un dossier médical ou une identité reconnaissable, engage une responsabilité que ni le contrat ni la compensation ne réparent.
Cette question relève de la nature du préjudice et non de sa probabilité, elle se pose avant tout transfert, et elle sépare deux niveaux d’exigence sans commune mesure.
Trois vérifications sur un prestataire
Trois contrôles qualifient un dispositif de labellisation de données.
Le périmètre exact réellement couvert par la certification affichée.
L’existence d’une procédure écrite de destruction des copies.
Et la présence ou non d’une sous-traitance portant sur le projet.
Ces trois contrôles se posent en une question chacun, ils ne demandent aucune compétence technique, et leur absence indique un dispositif dont le client ne connaît que la façade.
Ce que le prestataire apporte ici
Quatre apports distinguent un dispositif de labellisation de données sérieux.
Un périmètre de certification communiqué spontanément sans qu’on le demande.
Une liste strictement nominative des personnes accédant au corpus.
Une attestation de destruction datée et remise en fin de projet.
Et une déclaration explicite de toute sous-traitance envisagée.
Une conséquence pratique importante en découle. Le troisième apport se néglige presque partout et se remarque immédiatement, une attestation datée fermant le projet aussi nettement que la livraison l’a fait, ce qui rassure un client bien plus qu’une clause contractuelle jamais vérifiée.
Ce que l’anonymisation permet et ne permet pas
Cinq observations encadrent cette pratique.
Elle réduit fortement le risque sans pour autant toujours l’éliminer.
Elle dégrade parfois la donnée au point de la rendre totalement inutilisable.
Elle demande un travail préalable qui possède lui-même un coût.
Elle laisse subsister des éléments contextuels parfaitement identifiants.
Et elle ne dispense jamais des autres mesures de protection.
Une observation importante en découle pour un projet de labellisation de données. La quatrième observation surprend souvent, un visage flouté laissant une silhouette, un décor ou une plaque parfaitement reconnaissables, ce qui rend l’anonymisation partielle bien moins protectrice qu’elle n’en donne l’impression.
Ce que ce chapitre laisse au suivant
Un dispositif protège des données que quelqu’un doit encore savoir décrire.
Trois questions restent ouvertes en labellisation de données.
Ce qu’une consigne doit contenir pour être appliquée partout de la même façon.
Pourquoi un exemple concret transmet mieux qu’un long paragraphe.
Et comment faire vivre un référentiel tout au long du projet.
Ces trois questions relèvent de la rédaction des consignes, qui constitue l’objet du chapitre suivant.
Trois erreurs propres à la sécurité
Trois défauts de labellisation de données tiennent au dispositif de protection.
Un certificat accepté sans que son périmètre ait jamais été lu.
Une destruction promise contractuellement et pourtant jamais attestée.
Et une sous-traitance découverte bien après la transmission des données.
Ces trois défauts ne se voient pas pendant le projet, ils se révèlent lorsqu’un incident survient ou qu’un auditeur les cherche, et leur point commun est de porter sur ce que personne n’a pris le temps de vérifier.
Ce que le client doit préciser ici
Cinq informations viennent du client plutôt que du prestataire.
La nature exacte des données transmises ainsi que leur sensibilité.
Les contraintes réglementaires pesant précisément sur leur traitement.
La durée pendant laquelle le prestataire peut les conserver.
Les pays vers lesquels un transfert demeure effectivement autorisé.
Et le niveau d’attestation qu’il attend à la fin du projet.
Une observation importante en découle pour un projet de labellisation de données. La deuxième information se transmet rarement et manque à tout le monde, un prestataire ignorant le cadre applicable ne pouvant proposer un dispositif adapté, ce qui laisse chacun supposer que l’autre a vérifié ce point.
Ce que ce chapitre partage avec les précédents
Trois constats reviennent depuis le début du parcours.
Ce qui n’est pas écrit ne se vérifie pas et n’existe donc pas.
Un affichage rassurant ne dit rien du dispositif qu’il recouvre.
Et le défaut le plus coûteux reste celui que personne ne cherche.
Une conséquence pratique importante en découle pour un projet de labellisation de données. Le deuxième constat trouve ici sa forme la plus nette, un logo de certification jouant exactement le rôle qu’un taux global jouait au chapitre précédent, ce qui appelle la même lecture critique dans les deux cas.
Ce que ce sujet a de particulier
Quatre traits distinguent cette question des autres du parcours.
Elle se juge sur un incident qui n’arrivera peut-être jamais du tout.
Elle se vérifie très mal depuis l’extérieur de l’organisation.
Elle engage une responsabilité que le contrat ne transfère pas entièrement.
Et elle se résume bien trop souvent à un simple logo dans une plaquette.
Une observation importante en découle pour un projet de labellisation de données. Le troisième trait mérite d’être connu des deux parties, un client restant responsable des données personnelles qu’il confie même lorsqu’un prestataire commet la faute, ce qui rend la vérification préalable moins facultative qu’elle n’en a l’air.
Ce que l’incident impose de prévoir
Cinq points méritent d’être écrits avant qu’un incident ne survienne.
Le délai précis dans lequel le client doit être informé.
La personne nommément désignée à qui l’information doit être adressée.
Les éléments précis que le prestataire s’engage à fournir.
Les mesures conservatoires à prendre immédiatement sur place.
Et la répartition exacte des obligations de notification réglementaire.
Une conséquence pratique importante en découle pour un projet de labellisation de données. Le premier point décide de tout le reste, une réglementation imposant parfois une notification en quelques dizaines d’heures alors qu’un prestataire découvre l’incident plusieurs jours après, ce qui rend le délai contractuel plus déterminant que la qualité de la réponse apportée.
Ce que l’audit sur site permet de voir
Cinq observations ne se déduisent d’aucun document.
La configuration réelle des postes de travail utilisés.
La présence ou non d’appareils personnels dans la salle.
La manière dont les accès se trouvent gérés au quotidien.
La connaissance qu’ont réellement les opérateurs des règles applicables.
Et l’écart entre la procédure écrite et la pratique réellement observée.
Une observation importante en découle pour un projet de labellisation de données. Le dernier point justifie à lui seul le déplacement, une procédure parfaitement rédigée pouvant coexister avec une pratique qui s’en écarte sans que personne n’ait voulu tromper, ce qui rend une visite plus instructive que la lecture de dix documents.
Trois questions à poser avant de transmettre
Trois questions précèdent l’envoi de données à un prestataire.
Quel périmètre exact la certification affichée couvre-t-elle.
Quelle procédure de destruction s’appliquera en fin de projet.
Et une part du travail sera-t-elle confiée à un tiers.
Ces trois questions se posent en quelques minutes, elles ne demandent aucune compétence technique, et leur absence conduit à transmettre des données sur la foi d’un logo que personne n’a examiné.
Ce que ce chapitre suppose du prestataire
Cinq pratiques distinguent une sécurité réelle d’une sécurité affichée.
Communiquer le périmètre de certification sans attendre qu’on le demande.
Annoncer toute sous-traitance plutôt que de la laisser découvrir.
Remettre une attestation de destruction en fin de projet.
Accepter une visite du site où le travail sera réellement produit.
Et refuser un projet dont les contraintes ne peuvent être tenues.
Une conséquence pratique importante en découle. La dernière pratique coûte une affaire et protège les deux parties, un prestataire acceptant des données qu’il ne peut pas protéger correctement exposant son client à un risque qu’aucune clause contractuelle ne compensera, ce qui rend le refus préférable à un engagement intenable.
Ce que le coût de la sécurité recouvre
Cinq postes composent cette dépense sur un projet de labellisation de données.
L’infrastructure de stockage ainsi que les accès contrôlés.
Les licences des outils assurant le cloisonnement des postes.
Le temps consacré à la gestion des droits et des départs.
Les audits internes ainsi que la préparation des audits externes.
Et l’aménagement des espaces lorsque le projet l’exige.
Une observation importante en découle pour un projet de labellisation de données. Le troisième poste se sous-estime systématiquement, la gestion quotidienne des accès occupant une part significative d’un responsable dont le salaire figure ailleurs, ce qui rend cette dépense invisible dans les comparaisons et bien réelle dans les faits.
Ce que la certification apporte malgré tout
Cinq bénéfices accompagnent une démarche menée sérieusement.
Une analyse des risques que personne n’aurait jamais conduite autrement.
Des procédures écrites plutôt que de simples habitudes transmises oralement.
Un regard extérieur périodique sur des pratiques devenues invisibles.
Une réponse déjà préparée plutôt qu’improvisée le jour d’un incident.
Et un langage commun avec tous les clients qui l’exigent.
Une conséquence pratique importante en découle pour un projet de labellisation de données. Le troisième bénéfice justifie à lui seul l’exercice, une organisation cessant de voir ses propres écarts au bout de quelques mois, ce qui fait de l’audit externe le seul mécanisme capable de les révéler avant qu’un incident ne s’en charge.
Ce que la fin du projet doit produire
Cinq opérations closent proprement un projet de labellisation de données.
La restitution du corpus dans le format contractuellement convenu.
La suppression des données présentes sur les postes de travail.
La suppression des copies figurant encore dans les sauvegardes.
Le retrait de tous les accès accordés aux opérateurs.
Et la remise d’une attestation datée récapitulant l’ensemble des opérations.
Une observation importante en découle pour un projet de labellisation de données. La troisième opération se néglige presque systématiquement, une sauvegarde conservant des données bien après leur suppression apparente, ce qui rend la procédure de destruction incomplète tant qu’elle ignore les copies que personne ne voit.
Ce qu’il faut retenir
Un certificat atteste une démarche et non un niveau de protection.
Trois lectures se dégagent. La norme impose une méthode et des mesures choisies en réponse à des risques identifiés, ce qui permet à deux organisations certifiées de présenter des niveaux de protection très différents. La destruction des copies se contrôle le moins bien de toutes les étapes, une copie oubliée suffisant à vider de leur portée toutes les précautions antérieures. Et un accès resté ouvert après le départ d’une personne constitue la faille la plus courante, en même temps que la plus simple à éviter.
Pour la rédaction du référentiel, l’article consacré aux
consignes de labellisation le détaille. Pour les usages génératifs, l’article sur la
labellisation pour l’IA générative l’expose.
Pour approfondir les modalités d’exécution, les formats pris en charge et les dispositifs de contrôle applicables, vous pouvez consulter notre page dédiée à l’
annotation 2D et 3D. Et si vous préparez un projet de labellisation,
échangeons sur votre besoin.
