Data Clean Room et Conformité CNIL : Guide Complet pour Justifier le Croisement de Données

Qu'est-ce qu'une Data Clean Room et pourquoi la CNIL s'en préoccupe ?

Une Data Clean Room (DCR) est un environnement technologique sécurisé où des organisations peuvent croiser et analyser des données clients sans que chaque partie n'ait accès aux données brutes de l'autre. En France, cette pratique relève directement du périmètre d'attention de la Commission Nationale de l'Informatique et des Libertés (CNIL) car elle implique un traitement de données à caractère personnel. Le croisement de données clients — même en environnement sécurisé — ne dispense pas les entreprises de justifier la base légale du traitement, la transparence envers les personnes concernées, et la traçabilité complète des opérations. C'est précisément sur ces trois piliers que la CNIL exerce son contrôle et qu'un grand nombre d'équipes data et legal françaises répondent mal aux exigences.

Quelle base légale choisir pour le matching de données en Data Clean Room ?

La question cruciale est : sur quel fondement légal (article 6 du RGPD) pouvez-vous croiser des données clients avec un partenaire dans une DCR ? Il n'existe pas de réponse unique et valable pour tous les cas. Vous devez choisir entre quatre options principales, chacune présentant des risques différents face à un contrôle CNIL.

Le consentement explicite reste la base légale la plus simple à documenter, mais elle est aussi la plus exigeante opérationnellement. Si vous reposez sur le consentement, chaque personne concernée doit avoir reçu une information claire indiquant que ses données seront croisées avec d'autres sources (identification du partenaire, finalité du croisement, durée). Le consentement doit être donné avant le traitement — pas rétrospectivement. La CNIL a mis en avant que les consentements collectés en masse, sans granularité (« j'accepte tout »), ne satisfont pas à ses critères. Vous devez donc être capable de prouver, dans votre registre de traitement ou via un audit interne, que chaque ligne de donnée croisée provient d'une personne qui a consenti spécifiquement au matching. C'est particulièrement compliqué en environnement multiplayer où plusieurs partenaires accèdent à la même DCR : la traçabilité du consentement devient vite chaotique.

L'intérêt légitime de l'organisation est une alternative souvent envisagée, notamment pour les cas d'analyse de performance ou de segmentation client à des fins d'optimisation commerciale. Attention : la CNIL a précisé que l'intérêt légitime suppose un équilibre entre vos intérêts commerciaux et les droits des personnes concernées. Un test de proportionnalité s'impose. En pratique, cela signifie :

• Démontrer que la finalité du croisement est précise (« améliorer le ciblage publicitaire » est trop vague) ;
• Vérifier que les personnes concernées ne s'attendent pas raisonnablement à ce croisement, ou qu'une mesure de minimisation de données (pseudonymisation) compense le manque de transparence ;
• Documenter ce test dans votre Analyse d'Impact relative à la Protection des Données (AIPD, voir section dédiée ci-dessous).

La CNIL a publié un guide sur l'intérêt légitime ; le consulter avant de l'invoquer comme base légale est prudent.

L'exécution d'un contrat (article 6.1.b) est rarement applicable au contexte d'une DCR multiplayer, sauf si le croisement de données est explicitement une obligation contractuelle entre vous et vos clients (ce qui est rare). Ne la choisissez que si elle est réellement justifiée.

L'obligation légale (article 6.1.c) s'applique si une loi française ou européenne vous impose le croisement. En pratique, c'est exceptionnellement le cas pour une DCR commerciale.

Conseil pratique pour les équipes légales : Avant de lancer une DCR, documentez clairement quelle base légale s'applique à chaque flux de données entrant. Refusez les bases légales vagues ou plurielles (« consentement ou intérêt légitime »). Un audit interne doit pouvoir établir, sans ambiguïté, la source légale de chaque croisement, personne par personne.

Comment garantir la traçabilité des consentements dans une architecture multiplayer ?

Un problème courant avec les Data Clean Rooms multiplayer (plusieurs partenaires accèdent à la même DCR) est la perte de traçabilité. L'organisation A fournit des données et des consentements à la DCR, l'organisation B accède aux résultats du matching, mais personne n'est capable de prouver, lors d'une mise en demeure CNIL, que les consentements ont été valablement collectés et restent valides pour tous les usages.

Pour éviter ce scénario, voici comment organiser la traçabilité :

1. Identifier le responsable de traitement principal. Dans une architecture multiplayer, qui détient l'obligation de traçabilité ? Généralement, c'est l'entité qui exploite la DCR ou qui en a l'initiative. Elle doit contractuellement exiger que tous les partenaires fournisseurs de données documentent la base légale et les consentements avant d'intégrer les données. Un contrat de traitement des données (Data Processing Agreement, DPA) doit préciser cette responsabilité.

2. Instaurer une signature numérique ou un horodatage des consentements. Chaque ensemble de consentements fourni par un partenaire doit être signé et horodaté à son entrée dans la DCR. Cela permet, en cas de contrôle, de tracer : « Ces données de consentement ont été validées le 15 janvier 2024 par le partenaire X. » Si un contrôle CNIL intervient six mois plus tard, vous pouvez reconstruire l'état du consentement au moment du traitement.

3. Mettre en place un registre des consentements spécifique à la DCR. Ce registre doit inclure :

• Pour chaque partenaire contributeur : la date d'intégration, la base légale déclarée, le nombre de lignes de données traitées ;
• Pour chaque flux de matching : qui a accédé à quoi, quand, pour combien de temps ;
• Un log d'accès détaillé (qui, quand, combien de requêtes, quels filtres appliqués).

Ce registre n'est pas un « bonus » : c'est une obligation CNIL. La CNIL s'attend à ce que vous ayez la capacité de restituer ce registre lors d'une demande d'information (article 15 du RGPD) ou d'un contrôle sur pièce.

4. Prévoir un mécanisme de révocation ou de mise à jour des consentements. Si une personne retire son consentement après l'intégration de ses données dans la DCR, vous devez pouvoir retirer ces données du matching. Cela implique :

• Un identifiant stable (et pseudonymisé si possible) pour chaque personne ;
• Un flux de suppression ou de masquage des données correspondantes ;
• Une documention des délais de suppression effectifs.

La CNIL a rappelé dans plusieurs mises en demeure que l'absence de mécanisme de droit à l'oubli en environment DCR multipayer est un risque majeur.

Audit interne ou contrôle CNIL : comment vous préparer ?

La CNIL dispose du droit de vous demander une investigation sur votre conformité en matière de Data Clean Room. Un audit interne proactif n'est donc pas optionnel ; c'est une protection.

Avant un contrôle CNIL, un audit interne doit couvrir :

1. Cartographie des données et des flux. Quelles données entrent dans la DCR ? D'où viennent-elles ? Qui y accède ? Aucun responsable de traitement ne devrait accepter une DCR dont il ne connaît pas précisément les flux. Un diagramme clair (inputs, transformations, outputs) doit être disponible pour la CNIL.

2. Vérification de la base légale pour chaque flux. Ne dites pas « nous avons le consentement » ; dites « nous avons le consentement de 87 % de nos utilisateurs pour le matching publicitaire, collecté via le formulaire X le Y, avec le libellé Z ». Les 13 % restants relèvent peut-être d'une autre base légale (intérêt légitime) documentée séparément. La CNIL voudra vérifier cette segmentation.

3. Examen des contrats de partenariat. Les contrats avec les partenaires multiplayer doivent clairement attribuer les rôles (responsable de traitement, sous-traitant) et les responsabilités (qui valide les consentements, qui assure la traçabilité, qui gère les demandes d'accès). Un contrat flou est un signal de risque.

4. Test de suppression de données. Demandez à votre équipe technique : « Si une personne demande l'oubli demain, combien de temps pour supprimer ses données de la DCR ? » Si la réponse est « on ne sait pas » ou « plusieurs mois », c'est un problème CNIL grave. La suppression doit être possible en quelques jours maximum.

5. Vérification de la documentation (PIA, registre, clauses de transparence). Voir section suivante.

En cas de mise en demeure CNIL, vous aurez généralement 2 à 4 semaines pour répondre. À ce stade, l'audit interne doit déjà être terminé et aurait dû révéler les lacunes.

Quels documents la CNIL attend-elle : PIA, registre, clauses de transparence ?

La CNIL ne vous demandera probablement pas un « dossier DCR » formel, mais elle vérifiera que vous avez documenté votre conformité dans les outils standards du RGPD : l'AIPD (Analyse d'Impact), le registre de traitement et les politiques de confidentialité.

Analyse d'Impact relative à la Protection des Données (AIPD). Pour une Data Clean Room, une AIPD est fortement recommandée (et obligatoire si le matching implique des données sensibles ou des profilages). L'AIPD doit couvrir :

• Description générale : Pourquoi cette DCR ? Qui y a accès ? Combien de personnes concernées ?
• Base légale et test de proportionnalité : En particulier si vous reposez sur l'intérêt légitime, détaillez pourquoi ce croisement est proportionné.
• Risques identifiés : Réidentification des données, accès abusif par un partenaire, non-suppression des données en cas de droit à l'oubli, etc.
• Mesures de mitigation : Pseudonymisation, chiffrement, audit d'accès, limitation temporelle, etc.

Une AIPD de qualité, régulièrement mise à jour, est votre meilleure protection face à une mise en demeure. Elle prouve votre bonne foi et votre effort de conformité.

Registre de traitement. Le registre doit inclure une entrée pour chaque « activité de traitement » liée à la DCR. En pratique :

• Une entrée pour « Collection de consentements pour DCR » ;
• Une entrée pour « Matching et analyse dans la DCR » ;
• Une entrée pour « Accès des partenaires aux résultats de matching » ;
• Éventuellement des entrées séparées par partenaire si les bases légales ou finalités diffèrent.

Chaque entrée doit préciser : données traitées, catégories de personnes, finalités, base légale, durée de conservation, destinataires, mesures de sécurité.

Clauses de transparence (Politique de Confidentialité). Vous devez informer les personnes concernées que leurs données peuvent être croisées dans une DCR. Cette information doit être :

• Précoce : Au moment de la collection des données ou du consentement, pas après ;
• Précise : Nommer le partenaire (ou les catégories de partenaires), indiquer la finalité du croisement, préciser qui y accède ;
• Accessible : Dans votre politique de confidentialité, avec un langage clair (pas de jargon technique).

La CNIL a sanctionné des entreprises pour absence d'information sur le croisement de données. Assurez-vous que votre politique inclut ce point.

Documents additionnels à préparer : Contrats de partenariat (DPA), procédure de gestion des droit d'accès et d'oubli, plan de sécurité informatique (chiffrement, audit d'accès, gestion d'incidents).

Cas concrets de non-conformité et comment les éviter

Pour illustrer les risques, voici des scénarios réalistes sur lesquels des équipes data françaises se sont trompées.

Cas 1 : Matching sans consentement explicite. Une entreprise A dispose d'une liste de clients avec leurs emails et comportements d'achat. Elle croise ces données avec une entreprise B (réseaux sociaux) pour améliorer le ciblage publicitaire. Elle invoque « l'intérêt légitime » en base légale. À l'audit CNIL, on découvre que :

• Le test de proportionnalité n'a jamais été documenté ;
• Les clients n'ont pas été informés de ce croisement dans la politique de confidentialité ;
• Les données ont été conservées en clair dans la DCR, sans pseudonymisation.

Résultat : Mise en demeure CNIL pour défaut de base légale validée, absence de transparence, et mesures de sécurité insuffisantes. Amende possible.

Prévention : Documentez le test de proportionnalité (notamment : les clients auraient-ils raisonnablement accepté ce croisement ?). Informez clairement dans la politique de confidentialité. Pseudonymisez les données dès l'entrée dans la DCR.

Cas 2 : Partenaires multiples, traçabilité perdue. Une DCR fédère les données de trois partenaires e-commerce. Après six mois, lors d'une demande d'accès (article 15), on ne peut pas tracer qui a fourni les consentements pour chaque enregistrement. Les logs d'accès à la DCR sont incomplets.

Résultat : Incapacité à restituer les données correspondant à la personne. Violation du droit d'accès RGPD.

Prévention : Instaurer un registre des consentements avec traçabilité complète avant la mise en production de la DCR. Tester la procédure de restitution de données.

Cas 3 : Données sensibles sans AIPD. Une DCR croise des données de santé (via un partenaire assureur) avec des comportements web pour un ciblage comportemental. Aucune AIPD n'a été réalisée. Lors d'un incident de sécurité (accès abusif d'un partenaire), on découvre l'absence de documentation.

Résultat : Mise en demeure pour traitement de données sensibles sans AIPD, absence de mesures de sécurité appropriées, responsabilité aggravée en cas d'incident.

Prévention : Une AIPD est obligatoire pour les données sensibles. Avant de lancer, vérifiez les catégories de données impliquées.

Cas 4 : Droit à l'oubli impossible. Une personne demande la suppression de ses données. Les données ont été hachées et intégrées dans la DCR trois mois auparavant. On ne peut plus les identifier dans le système.

Résultat : Incapacité à exercer le droit à l'oubli = violation RGPD.

Prévention : Conservez un identifiant réversible (pseudonymisé mais supprimable) reliant les données originales aux données hachées. Testez le processus de suppression avant le déploiement.

Points de contrôle clés pour rester conforme

Voici une checklist que chaque équipe data/legal française devrait remplir avant et pendant l'exploitation d'une Data Clean Room :

Avant le lancement :

• ✓ Base légale identifiée et documentée pour chaque flux de données ;
• ✓ AIPD réalisée et approuvée par le DPO ou l'équipe legal ;
• ✓ Registre de traitement complété avec une entrée spécifique DCR ;
• ✓ Politique de confidentialité mise à jour (mention du croisement de données) ;
• ✓ Contrats avec les partenaires incluant DPA et clauses de responsabilité ;
• ✓ Consentements validés et tracés si consentement est la base légale ;
• ✓ Mesures de sécurité en place : pseudonymisation, chiffrement, audit d'accès ;
• ✓ Procédure de droit d'accès et d'oubli testée.

Pendant l'exploitation :

• ✓ Registre des consentements / base légale maintenu à jour ;
• ✓ Logs d'accès à la DCR conservés ;
• ✓ Audit annuel de conformité interne ;
• ✓ Gestion rapide des demandes d'accès et de suppression (15 jours max) ;
• ✓ Surveillance des accès des partenaires pour détecter les abus.

En cas de contrôle CNIL :

• ✓ Pouvoir produire l'AIPD et le registre ;
• ✓ Tracer chaque ligne de donnée jusqu'à sa source légale ;
• ✓ Démontrer que les personnes concernées ont été informées ;
• ✓ Justifier les mesures de sécurité et d'audit.

Quand consulter un conseil externe ou le DPO interne ?

Certaines situations exigent une expertise externe ou une validation du Data Protection Officer (DPO) en interne :

• Données sensibles (santé, géolocalisation, données génétiques) : Obligatoire de consulter. L'AIPD doit être approfondie.
• Croisement impliquant des profils particuliers (enfants, résidents hors UE) : Les obligations augmentent.
• Litiges antérieurs avec la CNIL ou secteur à risque (assurance, finance) : Prudence accrue.
• Partenaires situés hors UE : Vérifier les cadres de transfert (adéquation, clauses types).
• Cas où intérêt légitime est la base légale : Un test de proportionnalité externe renforce la documentation.

Le DPO interne (si vous en avez un) doit être associé à chaque décision concernant la Data Clean Room, pas seulement à titre informatif.

Ressources et cadre réglementaire français

La CNIL a publié plusieurs documents pertinents :

• Lignes directrices sur le consentement (2020) : Précise ce qu'est un consentement valide en France, notamment pour les cas multiplayer.
• Méthodologie AIPD : Disponible sur cnil.fr, avec une approche spécifique pour les traitements à risque.
• Délibération sur les cookies et traceurs : Bien qu'orientée web, elle éclaire sur la notion de consentement ou intérêt légitime pour les données comportementales.
• Contrôles CNIL récents : Consulter le bilan des mises en demeure (disponible dans le rapport d'activité annuel) pour voir quels reproches reviennent le plus souvent.

En interne, constituez une documentation centralisée : tous les documents de conformité (AIPD, registre, contrats, politiques) doivent être facilement accessibles et à jour. C'est votre première ligne de défense en cas de contrôle.

Synthèse : Conformité CNIL et Data Clean Room, étape par étape

Pour résumer le chemin vers une DCR conforme en France :

1. Choisissez une base légale solide : Consentement explicite (simple mais lourd) ou intérêt légitime documenté (complexe mais plus souple). Évitez les bases vagues ou plurielles.

2. Documentez dès le départ : AIPD, registre, contrats de partenariat. N'attendez pas le contrôle pour le faire.

3. Garantissez la traçabilité : En particulier en architecture multiplayer. Identifiez qui a fourni quelle donnée et sous quelle base légale.

4. Sécurisez et auditez : Pseudonymisation, chiffrement, logs d'accès. Un audit interne annuel doit valider que le registre et les logs sont exhaustifs.

5. Informez vos clients : La politique de confidentialité doit mentionner la DCR et ses partenaires. Le manque de transparence est l'une des premières causes de mise en demeure.

6. Préparez-vous à un contrôle : Avez-vous la capacité à restituer les données d'une personne en 15 jours ? À la supprimer en quelques jours ? Si non, c'est un problème.

La bonne nouvelle : une Data Clean Room peut être conforme à la CNIL. Mais cela nécessite un effort sérieux en amont et une rigueur opérationnelle constante. Les équipes data et legal qui l'ont compris sont protégées.