Des garanties sur les données clients à montrer au régulateur, à la banque et à l'auditeur

L'article ne fixe aucune liste de produits ni de configurations. Le niveau de sécurité suit l'état des connaissances, les coûts de mise en œuvre, la nature du traitement et le risque pour les personnes, surtout celui de destruction, perte, altération ou divulgation non autorisée, accidentelle ou illicite (art. 32(2)).

Ce que cela signifie en fintech

• Chiffrement de l'archive KYC, des bases clients et des sauvegardes, avec des clés gérées à part des données.
• Accès : moindre privilège, MFA, journal des accès aux dossiers clients, retrait des droits au départ.
• Restauration : sauvegardes séparées du réseau principal et des comptes, et un test de restauration au résultat consigné.
• Tests : vérification et évaluation régulières des mesures, avec dates et conclusions.

Un code de conduite ou une certification (articles 40 et 42) peut aider à démontrer la conformité (art. 32(3)), en plus des mesures elles-mêmes, qui restent examinées.

Pour un groupe multi-juridictions, nous construisons une seule carte des mesures, chacune rattachée aux exigences qu'elle couvre. Les différences tiennent surtout aux documents et aux délais de notification.

Conservation des données KYC sous le RGPD et la PDPA

Le RGPD n'autorise à conserver des données identifiantes que le temps nécessaire à la finalité (art. 5(1)(e)). La durée de conservation des pièces KYC découle de la loi anti-blanchiment du pays qui vous a agréé. La PDPA impose expressément de cesser de conserver les données personnelles, ou de les anonymiser, dès que la finalité n'est plus servie et que la conservation n'est plus nécessaire pour des raisons juridiques ou commerciales (s. 25).

Nous traitons le volet technique : où se trouve l'archive, qui peut l'ouvrir, comment les pièces sont supprimées en fin de durée et comment le journal le montre. Votre équipe conformité fixe la durée par catégorie de document ; le lien avec la LCB-FT relève de notre pratique conformité.

Une fintech compte de nombreux sous-traitants : prestataire KYC, hébergement cloud, CRM, traitement des paiements, support externalisé. Nous vérifions que chaque contrat porte l'obligation de sécurité et que le prestataire peut la prouver.

Un document MTO, plusieurs usages

Une seule description des MTO, rattachée aux réglages réels, sert d'annexe aux contrats, de section du registre, de base aux questionnaires bancaires et au dossier d'agrément. Nous la rédigeons d'après les configurations effectives et la mettons à jour après chaque correctif.

Le responsable du traitement mène l'AIPD, en demandant l'avis du DPO s'il en a désigné un. Nous en préparons le volet technique : description des systèmes et des flux de données, risques de sécurité et mesures qui les réduisent. Le DPO et votre avocat évaluent le volet juridique, dont la base légale et la nécessité même d'une AIPD dans votre cas.

Avant le lancement d'un nouveau produit, par exemple une entrée en relation en ligne avec reconnaissance faciale, nous examinons l'architecture : données collectées, lieu de stockage, accès, suppression. En cas de violation, voir notre page réponse aux incidents.