ANNEXE II
CAS D'USAGE PARTICULIERS

- Exemple #1 : Partage restreint de données entre plusieurs organismes avec contractualisation

- Description du contexte :

Lors de ce partage, un premier organisme privé (le détenteur de données) collecte des données personnelles auprès de ses clients. Il met ensuite les données de ses clients y ayant consenti à disposition de tiers agréés (les réutilisateurs de données). Ces derniers réutilisent les données pour proposer un nouveau service à ces mêmes clients. Interviennent alors des organismes apporteurs de solutions techniques (les gestionnaires d'API), dont le cœur de métier est la valorisation de ces catégories de données, par des méthodes d'analyse ou d'agrégation, et leur partage avec des organismes réutilisateurs. Le rôle de ces derniers sera de proposer des services personnalisés aux personnes reposant sur les données valorisées par l'apporteur de solution.
La quantité de données collectée concernant les clients est relativement importante. De plus, les catégories de données concernées par ce partage sont diverses et permettent de déduire de nombreuses informations à propos des personnes, par exemple sur leurs préférences dans un domaine ou encore leurs habitudes de consommation. Les apporteurs de solution proposent leur service à de nombreux détenteurs de données, et à de nombreux réutilisateurs. Les détenteurs de données peuvent par ailleurs avoir recours à différents apporteurs de solutions techniques.

- Recherche des facteurs de vulnérabilité :

De par la nature de ce traitement, plusieurs facteurs de vulnérabilité sont identifiés :

- sur les catégories de données accessibles : les données des personnes sont en volume important et peuvent parfois révéler des informations particulièrement intrusives sur leurs habitudes de vie. Les objectifs à atteindre sont la minimisation et la sécurité des données ;
- sur la granularité des données et des requêtes : les réutilisateurs souhaitent accéder à un certain niveau de granularité des données pour mieux cibler les services qu'ils proposent. Les objectifs à atteindre sont la minimisation et la sécurité des données ;
- sur les conditions d'accès aux données : plusieurs gestionnaires d'API peuvent avoir accès à la base de données d'un détenteur, puis proposer leur API à plusieurs réutilisateurs. Les objectifs à atteindre sont l'information des personnes, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes ;
- sur la nature des organismes : les organismes réutilisateurs peuvent être nombreux, et parmi ces derniers figurent des entreprises de maturité variable, dont la compréhension de leurs obligations liées au RGPD peut être insuffisante et les moyens en ce qui concerne la sécurité des données limités. Les objectifs à atteindre sont l'exactitude, l'information des personnes, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes.

- Recommandations applicables :

D'après les facteurs de vulnérabilité identifiés, plusieurs objectifs sont à prioriser.

• Objectif #1 : la minimisation des données.

Compte tenu du caractère particulièrement intrusif des données partagées et de leur volume important, tous les organismes impliqués dans le partage devraient se coordonner afin de sélectionner les données strictement nécessaires à l'atteinte des finalités recherchées. La granularité des requêtes disponibles pour les réutilisateurs devrait également être adaptée pour limiter le contenu des réponses, et notamment les données identifiantes, à ce qui est strictement nécessaire, selon les modalités décrites dans la recommandation.
Le détenteur de données sera le plus à même de sélectionner les données pertinentes selon les besoins des réutilisateurs. De plus, le gestionnaire d'API peut être l'organisme le plus à même de mettre en œuvre techniquement ces recommandations.

• Objectif #2 : l'information des personnes et la traçabilité des données.

Etant donné le grand nombre d'acteurs impliqués et leur niveau de maturité variable, les mesures de journalisation prévues par la recommandation devraient être mises en œuvre afin que puisse être vérifiée la légitimité des accès et des actions réalisées sur la base de données.
Ces mesures devraient être complétées de celles prévues par la recommandation afin de fournir une information complète aux personnes concernées sur l'utilisation qui est faite de leurs données.

• Objectif #3 : la gouvernance et le respect des droits des personnes.

Au vu du nombre d'organismes avec lesquels les données sont partagées, la responsabilité du traitement et les modalités d'exercice des droits qui doivent être prévues en amont du traitement, devraient reposer sur des procédures robustes comme prévu par la recommandation.

• Objectif #4 : la sécurité des données.

La maturité des organismes impliqués pouvant être variable, les recommandations relatives à la procédure de fourniture des accès décrites dans la recommandation devraient être prises en compte.
Les autres mesures relatives à la sécurité devraient être considérées au cas par cas. En effet, bien qu'elles s'appliquent dans la majorité des cas, ces mesures doivent être mises en œuvre selon le niveau de risque évalué.

- Exemple #2 : Partage de données entre réseaux sociaux et chercheurs

- Description du contexte :

Dans le cadre d'une étude portant sur les mécanismes de propagation de certaines catégories d'information sur les réseaux sociaux, des chercheurs académiques souhaitent accéder à des informations liées aux activités des usagers de ces réseaux. Pour cela, un accès à une API leur est fourni par la plateforme qui utilise cet outil pour partager les données auprès de nombreux réutilisateurs. Par le biais de l'API, les chercheurs peuvent effectuer des requêtes et obtenir des informations comme les publications et les réactions des usagers. Parmi ces informations, figurent des données personnelles.
L'étude des chercheurs porte sur une période spécifique et sur des catégories d'information bien déterminées. Une fois l'étude publiée, la conservation des données en base active et d'un accès à l'API n'est plus utile. Les données sont stockées en archivage intermédiaire dans les serveurs sécurisés de l'université (5). Toutefois, durant leur recherche, certains chercheurs ont téléchargé les données sur leur machine locale pour avoir accès aux données lors de leurs déplacements.

- Recherche des facteurs de vulnérabilité :

De par la nature de ce traitement, plusieurs facteurs de vulnérabilité sont identifiés :

- sur les conditions d'accès aux données : les besoins des chercheurs sont temporaires et ciblés, une fois l'étude publiée, leur accès à l'API n'est plus nécessaire mais la procédure prévue par le réseau social ne prévoit une réévaluation des accès qu'après une durée plus importante, laissant un accès à l'API inutile et vacant. Les objectifs à atteindre sont la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes ;
- sur la nature des organismes impliqués dans le partage : le réseau social partage des données avec de nombreux réutilisateurs, et n'est pas toujours en mesure de se coordonner avec chacun d'entre eux ou de journaliser les accès de chacun. Les objectifs à atteindre sont l'exactitude, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes ;
- sur les autres mesures techniques et organisationnelles prévues pour améliorer le niveau de sécurité du système : certains chercheurs stockant les données sur leurs machines, il est difficile de garder une vue d'ensemble sur les sauvegardes de données, et le niveau de sécurité appliqué aux machines n'est pas le même que celui appliqué aux serveurs de l'université. Les objectifs à atteindre sont l'exactitude, la traçabilité et la sécurité des données ;
- sur les catégories de données accessibles par l'API : les usagers du réseau social y publient des photographies, des contenus qui les intéressent ou encore des informations sur leurs activités. Ces données pouvant révéler des informations particulièrement intrusives sur leurs préférences et sur leurs habitudes de vie, un détournement de ces données pourrait entraîner des conséquences importantes pour les personnes. Les objectifs à atteindre sont la minimisation et la sécurité des données ;
- sur la granularité des données et des requêtes : l'API proposée par le réseau social est destinée à différentes catégories de réutilisateurs et leurs besoins propres peuvent difficilement être anticipés en amont. Les accès fournis par le réseau social ne sont pas toujours strictement limités aux besoins des réutilisateurs, qui peuvent accéder à des données dont ils savent en amont qu'elles ne sont pas pertinentes pour leur réutilisation. Les objectifs à atteindre sont la minimisation et la sécurité des données.

- Recommandations applicables :

D'après les facteurs de vulnérabilité identifiés, plusieurs objectifs sont à prioriser.

• Objectif #1 : l'exactitude des données.

Le téléchargement des données sur de nombreuses machines par les chercheurs représente un risque que les données ne soient pas mises à jour lorsqu'elles devraient l'être en raison de leur duplication, ou de modification compromettant leur exactitude.
De plus, étant donné la nature des données sur les réseaux sociaux, leur exactitude peut poser question d'une part en raison de la possibilité pour un utilisateur de les modifier après leur publication, et d'autre part en raison de l'absence de garanties de véracité sur ces données, bien que cela ne nuise pas nécessairement à l'objectif de la recherche.

• Objectif #2 : la traçabilité des données.

Le nombre de réutilisateurs prévu étant relativement important, et les conditions d'attribution et de révocation des accès étant généralement peu flexibles pour ce type d'API, des mesures devraient être mises en œuvre par le réseau social afin de vérifier la légitimité des accès et d'identifier les accès et utilisations imprévues de l'API. Ces traces de journalisation devraient être utilisées afin d'empêcher les utilisations détournées des données.
Les téléchargements de données par les chercheurs sur les machines locales devraient être évités autant que possible, et faire l'objet d'un suivi pour éviter toute perte de traçabilité sur les données. De plus, les jetons ou identifiants d'accès à l'API devraient être partagés aux seules personnes habilitées et faire l'objet d'un suivi lorsqu'il n'est pas possible d'obtenir des jetons propres à chaque personne.

• Objectif #3 : la minimisation des données.

Les besoins des chercheurs étant ciblés, les requêtes qui leur sont permises, et les données auxquelles ils ont accès devraient être limitées à ce qui est pertinent et strictement nécessaire. Si la traçabilité sur les données pertinentes n'était pas suffisante en amont du traitement, une version " bac à sable " expérimentale, reposant éventuellement sur des données fictives pourrait être utilisée afin de déterminer les catégories et la quantité de données nécessaires. Il revient par ailleurs au réutilisateur (l'organisme de recherche) de fixer des règles de minimisation sur les données obtenues par l'API.

• Objectif #4 : la gouvernance et le respect des droits des personnes.

Les données pouvant être partagées par le réseau social à un nombre important et à des catégories diverses de destinataires, les utilisateurs du réseau peuvent manquer de traçabilité sur les utilisations de leurs données. Dans un souci de transparence et pour remplir les obligations relatives à l'information des personnes, le réseau social devrait prendre les mesures nécessaires pour connaître les réutilisateurs et fournir ces informations aux personnes.

• Objectif #5 : la sécurité des données.

Les mesures relatives à la sécurité devraient être considérées au cas par cas. En effet, bien qu'elles s'appliquent dans la majorité des cas, ces mesures doivent être mise en œuvre selon le niveau de risque évalué. Ici, une attention particulière devrait être portée sur la sécurité des machines locales sur lesquels les chercheurs ont téléchargé les données. Ce téléchargement est à éviter autant que possible. Lorsqu'il est nécessaire, la sécurité des machines devient un objectif prioritaire.

- Exemple #3 : L'ouverture de données de l'administration

- Description du contexte :

Un texte prévoit l'ouverture par une administration (le détenteur de données) d'une certaine catégorie de données collectées auprès des personnes. Ce texte indique précisément les catégories de données concernées et les modalités d'exercice des droits des personnes. Il précise également que les données sont mises à disposition de tous, sans restriction d'accès et dans un format facilitant leur réutilisation. Les réutilisations possibles des données ne sont pas connues en amont par l'administration qui diffuse les données. Une administration tierce (le gestionnaire d'API) propose un outil afin de diffuser les données en question. Elle n'héberge cependant pas les données.
Après plusieurs études, il est prouvé que les données sont particulièrement utiles pour un certain secteur et un grand nombre d'organismes de ce secteur (les réutilisateurs) souhaitent alors collecter les données. Les données restent ouvertes, mais les besoins relatifs des réutilisateurs ont largement changé. Ce nouveau besoin conduit à une charge sur les serveurs du détenteur de données qui n'était pas prévue lors de la conception de l'API, causant des interruptions dans la disponibilité des données.

- Recherche des facteurs de vulnérabilité :

De par la nature de ce traitement, plusieurs facteurs de vulnérabilité sont identifiés :

- sur les conditions d'accès à la base de données : même lorsque les données sont pseudonymisées, et que le risque de réidentification est faible, l'évolution des attaques pourrait permettre la déduction de données personnelles supplémentaires dont l'ouverture n'est pas prévue par le texte et ayant des conséquences pour les personnes. L'ouverture des données à tous augmente la vraisemblance de ce type d'attaque. Les objectifs à atteindre sont l'information des personnes, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes ;
- sur la nature des organismes impliqués dans le partage : bien que les données ne soient initialement demandées que par certains réutilisateurs isolés, c'est finalement un grand nombre d'organismes qui en demande l'accès. Cette évolution peut avoir des conséquences importantes sur la disponibilité des données et leur réutilisation. Les objectifs à atteindre sont l'exactitude, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes ;
- sur la granularité des données et des requêtes : aucune restriction d'accès aux données n'est prévue, laissant ainsi la possibilité aux réutilisateurs de réaliser de multiples requêtes, dont les résultats peuvent être croisés entre eux. Cela rend la déduction d'informations à caractère personnel, dont l'ouverture n'était pas prévue, plus vraisemblable. Les objectifs à atteindre sont la minimisation et la sécurité des données ;
- sur l'état des connaissances des techniques utilisées et les risques associés : l'ouverture des données ayant pour objectif de permettre leurs réutilisations, l'administration en réalisant la diffusion manque de traçabilité sur le champ des possibles réutilisations et sur les dispositifs qui seront mis en œuvre par les réutilisateurs. Ce manque de traçabilité fait peser un risque sur la disponibilité des données. Les objectifs à atteindre sont l'information des personnes, la traçabilité et la sécurité des données.

- Recommandations applicables :

D'après les facteurs de vulnérabilité identifiés, plusieurs objectifs sont à prioriser.

• Objectif #1 : la traçabilité des données.

L'ouverture sans restriction d'accès n'est pas incompatible avec certaines mesures de traçabilité. En analysant le volume des données collectées par les réutilisateurs, le gestionnaire d'API peut lever une alerte en cas d'une demande qui risquerait d'excéder les limites de charge que peut supporter son système.

• Objectif #2 : la gouvernance et le respect des droits des personnes.

Dans le cas de données ouvertes, il peut être difficile de faire respecter les droits des personnes auprès des réutilisateurs. Des mesures devraient être prises en amont du partage pour anticiper les demandes d'exercice des droits des personnes.

• Objectif #3 : la sécurité des données.

Malgré l'ouverture sans restriction d'accès des données, l'exemple montre qu'en l'absence totale de planification du volume des demandes, un risque peut exister notamment sur la disponibilité des données. Le détenteur de données devrait s'assurer que les mesures adaptées sont prises afin de réduire ce risque en effectuant par exemple un suivi de la charge des serveurs ou du volume de requêtes reçues.
Les mesures relatives à la sécurité devraient être considérées au cas par cas. En effet, bien qu'elles s'appliquent dans la majorité des cas, ces mesures doivent être mises en œuvre selon le niveau de risque évalué.

• Objectif #4 : la minimisation des données.

Au vu du contexte du partage et des nombreuses inconnues portant sur la nature des organismes réutilisateurs, sur les réutilisations et sur les techniques d'attaque, des mesures de minimisation devraient être mises en œuvre par précaution.

- Exemple #4 : Partage fermé de données entre services d'un organisme

- Description du contexte :

Cette typologie de partage est retrouvée dans les secteurs public et privé, avec des cas d'usage particulièrement diversifiés. Dans le secteur privé, les services concernés peuvent être des filiales ou services d'un même organisme, coordonnées par une direction centralisée. Dans le secteur public, certaines données des administrés peuvent être partagées entre services ou établissements d'une administration, par exemple dans l'objectif de dématérialiser les démarches administratives et de faciliter l'accès à certains services et aides. La mise en œuvre de ces partages repose le plus souvent sur l'utilisation d'API.
Ainsi, des services (les détenteurs de données) en lien direct avec les usagers collectent certaines données personnelles et les inscrivent dans une base centralisée de l'organisme dont ils dépendent (le réutilisateur de données (6) et gestionnaire d'API). Cette inscription est réalisée par les services détenteurs de données par le biais des requêtes en écriture via une API modifiant directement la base centralisée de l'organisme central. Cet organisme héberge et traite les données de la base centralisée dans le cadre de ses missions. Elle met en œuvre et assure la gestion de l'API.
Les données de la base centralisée de l'organisme sont mises à disposition par le biais d'une seconde API permettant à d'autres acteurs privés ou publics de traiter les données. Ces acteurs sont par exemple des administrations qui instruisent ainsi des démarches sans avoir à collecter de pièces justificatives auprès des administrés.

- Recherche des facteurs de vulnérabilité :

De par la nature de ce traitement, plusieurs facteurs de vulnérabilité sont identifiés pour le premier partage :

- sur le type d'accès à la base de données : un accès en écriture dans la base centralisée est prévu pour que les services y inscrivent les données qu'ils collectent. Ce type d'accès permettant de modifier directement la base centralisée, il offre un cadre propice à l'introduction d'erreurs dans la base, ou à la suppression accidentelle de données et pose ainsi un risque sur l'intégrité des données. Les objectifs à atteindre sont l'exactitude, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes ;
- sur la nature des services impliqués dans le partage : ils sont nombreux et leur coordination peut poser problème, notamment en cas de perte d'intégrité des données : les alerter un à un présente une certaine difficulté. De plus, lorsque les données mises à disposition sont critiques pour les usagers, tout risque portant sur la disponibilité des données pourrait avoir des conséquences graves. Les objectifs à atteindre sont l'exactitude, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes ;
- sur les catégories de données accessibles par l'API : il s'agit ici des données personnelles des usagers, comme des informations sur leur situation personnelle leur permettant d'accéder à des aides et à des services de l'Etat. Tout risque portant sur leur confidentialité, leur intégrité ou leur disponibilité pourrait avoir des conséquences graves pour ces personnes. Les objectifs à atteindre sont la préservation de la confidentialité et la sécurité.

- Recommandations applicables :

D'après les facteurs de vulnérabilité identifiés, plusieurs objectifs sont à prioriser.

• Objectif #1 : l'exactitude des données.

Par nature les requêtes en écriture font peser un risque sur l'exactitude des données. Ce risque peut être accru lorsque les services réalisant l'écriture sont nombreux et peuvent manquer de maturité technique, ce qui est l'hypothèse que nous considérons dans cet exemple. Certains outils permettant de vérifier que les données correspondent au format attendu peuvent être utilisés pour automatiser des vérifications de sécurité

• Objectif #2 : la gouvernance et le respect des droits des personnes.

Ici également le nombre et la nature des services impliqués pourraient compliquer les procédures prévues pour l'exercice des droits, pour la notification d'une violation ou d'un nouveau risque, etc. La coordination des services, la documentation des procédures, la gestion des habilitations sont autant de mesures pouvant limiter ces risques. De plus, en prévoyant des techniques automatisées pour permettre aux personnes d'exercer leurs droits, le risque humain pourrait être réduit.

• Objectif #3 : la traçabilité des données.

La connaissance des détenteurs de données ici et des actions qu'ils réalisent peut permettre à l'organisme central d'agir rapidement en cas de réalisation d'un risque identifié. La traçabilité est ainsi à prendre en compte pour réagir rapidement à une menace comme une tentative d'intrusion ou une perte d'intégrité des données.

• Objectif #4 : la minimisation des données.

Dans le cas d'un partage dans le secteur public, les réutilisations étant généralement prévues par les textes, les catégories de données concernées par le partage sont généralement fixées et il peut sembler difficile d'appliquer le principe de minimisation dans ce contexte. Toutefois, lorsque les réutilisations sont bien connues, il est possible de jouer sur la granularité des données, leur profondeur historique, ou encore sur les mesures de pseudonymisation appliquées.

• Objectif #5 : la sécurité des données.

Les mesures relatives à la sécurité devraient être considérées au cas par cas. En effet, bien qu'elles s'appliquent dans la majorité des cas, ces mesures doivent être mises en œuvre selon le niveau de risque évalué.
Une autre analyse du même type devra être menée pour le second partage (se référer pour cela à l'exemple 1 qui lui est similaire).

- Exemple #5 : Partage de données impliquant la personne concernée

- Description du contexte :

Dans un objectif de dématérialisation, différents dispositifs permettent de faciliter la fourniture par un individu de ses informations à un organisme ayant besoin d'y accéder. Ces données peuvent être détenues par un premier organisme dans le cadre d'une relation préexistante, ou conservées dans un espace personnel sécurisé prévu à cet effet et géré par son titulaire. L'usager peut ainsi partager ses documents pertinents (tels que des documents administratifs, attestations de droits, justificatifs de résidence, etc.) avec des destinataires autorisés, par exemple à l'occasion de la fourniture d'un service. Une API est proposée par l'organisme détenteur de ces documents ou le fournisseur de l'espace personnel sécurisé (à la fois détenteurs de données et gestionnaires d'API) afin de permettre à leurs destinataires (les réutilisateurs de données) d'accéder aux documents suite à une demande expresse des personnes. Une authentification des personnes est nécessaire pour que l'accès aux documents soit accordé au fournisseur du service, dont l'identité est également vérifiée par l'organisme détenteur de données. Cet accès est permis par un procédé d'authentification robuste.

- Recherche des facteurs de vulnérabilité :

De par la nature de ce traitement, plusieurs facteurs de vulnérabilité sont identifiés :

- sur le niveau de sécurité des techniques d'authentification utilisées : l'authentification des usagers d'une part, mais aussi des organismes fournissant le service d'autre part sont nécessaires pour permettre l'accès aux données. Les mécanismes d'authentification utilisés doivent être suffisamment robustes pour empêcher une usurpation d'identité et un accès illégitime aux données personnelles. Les objectifs à atteindre sont l'information et la traçabilité, la gouvernance, le respect des droits et la sécurité des données ;
- sur la nature des organismes impliqués dans le partage : les organismes offrant un service dont l'accès peut être critique pour leurs usagers, tout risque sur la disponibilité de ce service pourrait avoir des conséquences graves. Les objectifs à atteindre sont l'exactitude, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes ;
- sur les catégories de données accessibles par l'API : si les documents concernés comportent des données sensibles au sens de l'article 9 du RGPD, toute perte de confidentialité, de disponibilité ou d'intégrité aurait potentiellement de graves conséquences pour les personnes. Les objectifs à atteindre sont la minimisation et la sécurité des données.

- Recommandations applicables :

D'après les facteurs de vulnérabilité identifiés, plusieurs objectifs sont à prioriser.

• Objectif #1 : l'information des personnes et la traçabilité des données.

Au vu de la gravité des conséquences que pourrait avoir une perte de disponibilité, d'intégrité ou de confidentialité des données dans cet exemple, des mesures importantes de traçabilité devraient être prises afin que le détenteur de données mais également la personne concernée puisse vérifier la légitimité des accès. Il est ici possible d'intégrer la personne concernée à cette vérification car les réutilisations sont théoriquement en faible nombre, et généralement initiées par la personne.

• Objectif #2 : la gouvernance et le respect des droits des personnes.

Les mesures de gouvernance devraient avoir pour objectif que seuls les organismes vérifiés puissent accéder aux données et cela, dans les conditions prévues. Les habilitations, les accès et la documentation devraient être à la mesure de la gravité des risques d'un accès illégitime aux données, d'un incident de sécurité ou d'une erreur lors du traitement.
Les mesures prises pour que les personnes puissent exercer leurs droits auprès du détenteur et des réutilisateurs devrait permettre à ceux-ci de vérifier que les utilisations de leurs données sont limitées à ce qui est prévu et de s'opposer à certaines utilisations lorsque le droit d'opposition n'est pas exclu.

• Objectif #3 : l'exactitude des données.

Au vu de l'impact pour les personnes d'une erreur dans leurs données lors de la fourniture du service essentiel, l'exactitude devrait être garantie.

• Objectif #4 : la minimisation des données.

Une perte de confidentialité des données partagées dans cet exemple pourrait avoir des conséquences graves pour les personnes. Ainsi en limitant les données partagées entre les organismes à ce qui est strictement nécessaire, ce risque peut être réduit.

• Objectif #5 : la sécurité des données.

Les mesures relatives à la sécurité devraient être considérées au cas par cas. En effet, bien qu'elles s'appliquent dans la majorité des cas, ces mesures doivent être mises en œuvre selon le niveau de risque évalué.

(5) Sur la distinction entre la " base active " et l'archivage intermédiaire, se référer à la page " Les durées de conservation des données " du site de la CNIL : https://www.cnil.fr/fr/les-durees-de-conservation-des-donnees.
(6) Le terme de " réutilisateur " fait ici référence au rôle technique introduit dans la recommandation API, et non pas la définition de l'article L. 321-2 du code des relations entre le public et l'administration.