Auditer les data pipelines télécoms pour être prêt face au régulateur

L'inspecteur arrive à 9 h et demande d'abord une chose : montrez-moi le call detail record d'un numéro d'abonné, du moment où il a été capté jusqu'au moment où il a été supprimé. Si votre équipe a besoin de trois jours et de quatre départements pour répondre, vous avez déjà échoué à l'audit, avant même que quiconque ait consulté un seul document de politique interne.

C'est la scène qui se joue, sous une forme ou une autre, chez les opérateurs américains et européens chaque année. Les régulateurs ne demandent pas seulement « avez-vous une politique de confidentialité ? ». Ils demandent « prouvez-le, avec des logs ». Cette leçon construit la checklist qui transforme ce moment de panique en une requête de cinq minutes.

Pourquoi les télécoms sont audités différemment

Les opérateurs télécoms détiennent trois catégories de données sensibles que la plupart des secteurs ne combinent pas :

• Call detail records (CDR) : qui a appelé qui, quand, pendant combien de temps, depuis où (par triangulation des antennes).
• Trails de lawful intercept (LI) : traces indiquant quand et comment une agence gouvernementale a accédé aux communications d'un abonné dans un cadre légal.
• Données de consentement et de marketing : opt-ins pour le partage de localisation, la revente de données à des tiers, la publicité ciblée.

Cette combinaison place les télécoms sous plusieurs régimes réglementaires simultanément, et pas seulement sous le droit générique de la vie privée.

Régulateurs et textes clés à connaître :

• RGPDRGPDRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → (Règlement général sur la protection des données, UE, en vigueur depuis 2018) : encadre tout traitement de données personnelles, avec une pertinence particulière pour le consentement et la minimisation des données.
• Directive ePrivacy (UE, parfois appelée « loi cookies », en cours de remplacement par le futur règlement ePrivacy) : couvre spécifiquement les métadonnées télécoms, les données de trafic et les données de localisation.
• CALEA (Communications Assistance for Law Enforcement Act, États-Unis, 1994) : oblige les opérateurs à intégrer une capacité de lawful intercept dans leurs réseaux.
• Règles CPNI de la FCC (Customer Proprietary Network Information, États-Unis) : encadrent la façon dont les opérateurs utilisent et protègent les données d'appel ; appliquées par la Federal Communications Commission.
• Lois nationales de conservation des données : variables selon les États membres de l'UE depuis l'invalidation en 2014 de la directive européenne sur la conservation des données par la Cour de justice de l'UE, donc les durées de conservation diffèrent d'un pays à l'autre (estimations couramment citées : 6 mois à 2 ans pour les données de trafic et de localisation, à vérifier pays par pays, ce n'est pas harmonisé).

Les trois pipelines qu'un auditeur va tracer

1. Logs de conservation des données

La conservation, ce n'est ni « tout garder pour toujours » ni « tout supprimer immédiatement ». C'est un calendrier défini par type de donnée.

Un audit de conservation typique chez un opérateur vérifie :

La question d'audit n'est jamais seulement « combien de temps le conservez-vous ? ». C'est « pouvez-vous prouver que la suppression a eu lieu dans les délais, pour chaque enregistrement, et pas seulement pour ceux dont vous vous souvenez ? »

Vérification pratique : prélevez un échantillon aléatoire d'identifiants d'abonnés désactivés il y a 13 mois (au-delà d'une fenêtre de conservation annoncée de 12 mois) et confirmez que leurs CDR ont réellement disparu de la production, des sauvegardes et de toute copie en data lakedata lakeUn data lake est un référentiel centralisé qui stocke de grands volumes de données brutes dans leur format d'origine, des tables structurées aux fichiers non structurés, jusqu'à ce qu'on en ait besoin.Voir la définition complète →. Les sauvegardes et les entrepôts analytiques sont là où les données « oubliées » survivent généralement au-delà de leur durée de vie légale.

2. Trails de lawful intercept

Le LI est particulièrement sensible : les systèmes doivent être suffisamment sécurisés pour que les interceptions ne soient déclenchées que par des mandats légaux valides, et l'audit trail doit montrer une chaîne de possession propre, sans que le contenu sous-jacent devienne visible pour les auditeurs, les ingénieurs ou les mauvaises équipes internes.

Ce qu'un audit de gouvernance vérifie ici :

• Logs de contrôle d'accès : seule une équipe nommée et restreinte peut déclencher ou consulter des demandes de LI.
• Correspondance mandat-activation : chaque activation de LI est rattachée à une décision légale documentée, avec un identifiant de dossier et une date d'expiration.
• Expiration automatique : les interceptions s'arrarrL'Annual Recurring Revenue (ARR) est le revenu normalisé et prévisible qu'une entreprise par abonnement attend de ses contrats actifs sur une année.Voir la définition complète →êtent automatiquement à la fin de la période du mandat, ce qui doit être imposé techniquement et pas seulement par la politique interne.
• Séparation des tâches : la personne qui valide l'enregistrement du mandat n'est pas celle qui a accès en base aux données d'interception brutes.

C'est un cas où l'on audite *l'existence et l'intégrité des logs*, pas le contenu des interceptions. Les auditeurs ne voient en principe jamais les communications réellement interceptées ; ils vérifient l'environnement de contrôle autour.

3. Enregistrements de consentement des abonnés

Le consentement est le domaine que les régulateurs sanctionnent le plus souvent parce que c'est le plus visible du public : partage de localisation à des fins publicitaires, revente de données à des tiers (data brokers), marketing ciblé.

À quoi ressemble une « bonne » preuve de consentement :

consent_id: 88213
subscriber_id: hashed_id_x92f
purpose: "third_party_location_data_sharing"
consent_given: true
timestamp: 2025-11-03T14:22:00Z
consent_method: "app_toggle_v3.2"
withdrawal_timestamp: null
policy_version_shown: "privacy_policy_v7"

L'intérêt de logger policy_version_shown, c'est que les politiques changent. Si un abonné a consenti sous une ancienne politique et que vous avez modifié depuis les conditions de partage de données, ce consentement peut ne plus être valide. Les auditeurs vérifient le lien de version, pas seulement un booléen « consented: true ».

Un exemple d'application bien connu : plusieurs opérateurs européens et leurs partenaires adtech ont fait l'objet d'amendes RGPD portant sur leurs pratiques de localisation et de consentement ; des régulateurs comme la CNIL en France et la Data Protection Commission irlandaise publient leurs décisions de sanction, ce qui constitue une source réellement utile (et gratuite) pour voir à quoi ressemble un « échec » en pratique.

Construire la checklist d'audit

Une checklist de préparation réglementaire doit être un document vivant, pas une slide fabriquée avant une inspection. Composants essentiels :

1. Inventaire des données (data map) : quelles données personnelles existent, où elles résident (base de production, data lake, sauvegardes, sous-traitants tiers), qui peut y accéder.
2. Calendrier de conservation adossé à une base légale : chaque catégorie de données rattachée à une loi ou une clause contractuelle précise, pas à une norme interne vague.
3. Preuve de suppression : jobs automatisés avec logs montrant l'exécution de la suppression, y compris dans les sauvegardes et les copies analytiques, pas seulement dans la base primaire.
4. Traçabilité du consentement : chaque enregistrement de consentement rattaché à une version de politique et à un mécanisme de retrait qui fonctionne réellement de bout en bout.
5. Audit du contrôle d'accès : qui a touché aux systèmes LI et aux stocks de CDR, avec des logs conservés assez longtemps pour répondre à « qui a accédé aux données de l'abonné X à la date Y ».
6. Vérification des sous-traitants tiers : si un fournisseur d'analytics cloud ou un partenaire publicitaire touche aux données d'abonnés, il doit exister un accord de traitement des données (DPA) et des preuves qu'il applique les mêmes règles de conservation.

Exemple chiffré simple, pourquoi l'échantillonnage compte :

Supposons qu'un opérateur ait 40 millions d'enregistrements d'abonnés et affirme une suppression conforme à 100 % après churn. Auditer les 40 millions est impraticable dans une fenêtre d'inspection courte. Les auditeurs recourent donc généralement à l'échantillonnage statistique : un échantillon aléatoire de 400 enregistrements (taille d'échantillon d'audit courante pour des populations de plusieurs dizaines de millions, donnant environ 5 % de marge d'erreur à 95 % de confiance pour un contrôle binaire conforme/non conforme) fournit une estimation défendable du taux de conformité sans revue exhaustive. Si même 2 ou 3 comptes sur les 400 comptes supprimés échantillonnés présentent encore des CDR conservés, c'est un signal pour élargir l'échantillon et enquêter sur le pipelinepipelineL'ensemble des opportunités commerciales actives réparties selon les étapes du processus de vente, avec leur valeur potentielle cumulée et leur probabilité de conclusion.Voir la définition complète →, pas pour le classer comme du bruit.

Passer de l'audit-panique à l'audit-routine

Ce qui différencie les opérateurs qui paniquent de ceux qui ne paniquent pas : les seconds font tourner ces contrôles chaque trimestre, en interne, avant qu'un régulateur ne demande quoi que ce soit. Cela suppose :

• Des jobs automatisés d'expiration de conservation avec alerting, pas des tickets de suppression manuels.
• Une base de consentement interrogeable par version de politique, pas seulement un flag.
• Des logs d'accès LI revus mensuellement par une équipe conformité interne, avec preuve de validation.
• Une data mapmapUtiliser un logiciel pour automatiser les tâches et campagnes marketing répétitives, afin de personnaliser à grande échelle sur des canaux comme l'email, le web et le social.Voir la définition complète → unique servant de source de vérité, mise à jour dès qu'un nouveau pipeline est ajouté (nouvel entrepôt analytique, feature storefeature storeRéférentiel centralisé qui gère les features de ML et garantit la cohérence entre les environnements d'entraînement et de production.Voir la définition complète → de ML), car l'échec d'audit le plus fréquent vient de données copiées discrètement dans un nouveau système que personne ne gouvernait.

Points clés

• Les audits de données télécoms portent sur trois pipelines distincts : conservation (CDR, données de localisation), trails de lawful intercept et enregistrements de consentement, chacun encadré par des textes différents (RGPD, règles ePrivacy, CALEA, CPNI de la FCC, lois nationales de conservation).
• « Prouver » signifie des logs et des horodatages, pas des documents de politique ; les régulateurs veulent voir la suppression réellement exécutée en production, dans les sauvegardes et dans les copies analytiques.
• Les audits de lawful intercept vérifient l'environnement de contrôle (logs d'accès, correspondance avec les mandats, expiration automatique, séparation des tâches), pas le contenu intercepté lui-même.
• Les enregistrements de consentement doivent être liés à une version précise de politique, car un consentement donné sous une ancienne politique peut ne pas couvrir de nouveaux usages des données.
• L'échantillonnage statistique (par exemple, environ 400 enregistrements pour des populations de plusieurs dizaines de millions) est une méthode pratique et standard du secteur pour auditer la conformité sans revue exhaustive, mais tout signal d'échec doit déclencher une investigation élargie.