Notes from the IAPP Canada: Data deletion shifting from policy to proof

I have always found deletion to be one of those privacy rights that sounds simpler on paper than it is in practice. Removing a record is one thing but showing that it disappeared from every place it was copied, derived or sent is something else entirely.

That's why a recent development in California caught my attention. On 7 Aug., the California Privacy Protection Agency released a preliminary audit proposal that would require data brokers to prove that deletion requests actually work. Not by pointing to a privacy policy or obtaining a management attestation, but by producing evidence: system testing, logs, data maps, sampling and other records demonstrating that deletion reached the places it was supposed to reach.

The proposal remains preliminary and has not entered formal rulemaking. Still, I think it highlights an issue that is becoming increasingly important in Canada.

Privacy law has long depended on a significant degree of trust. For example, we trust that organizations only collect the information they say they collect, but do we ever really know? Same can be said of a myriad of obligations and promises like retention schedules that service providers comply with contractual requirements. When an organization says information has been deleted, there haven't often been practical ways for regulators and individuals to test that claim. Well, that may be changing.

The most interesting feature of the California proposal is not the audit itself. Audits are hardly a new concept. The more significant point is the growing focus on what counts as evidence of compliance. Under the draft approach, auditors would be expected to test whether deletion worked across applicable systems, including information held by service providers and contractors. They would also examine derived information such as profiles and inferences. So the question is no longer simply whether a record was deleted from a primary database. The question is whether the broader information ecosystem built around that record was addressed as well.

Why am I writing about something happening in California? There's a direct connection to what's being proposed in Canada's Bill C-36. The bill would create disposal obligations and, in certain circumstances, a right for individuals to request disposal of their personal information. Beyond that, it would also require organizations that dispose of information following a request to ensure that service providers receiving the information dispose of it, too. In addition, the legislation would provide audit powers, including the ability in some circumstances to require a third-party compliance report.

The practical challenge is obvious. If an organization receives a disposal request, what evidence should demonstrate that the request was honored?

A policy saying information will be deleted isn't proof that deletion occurred, nor is an executive certification particularly persuasive if the underlying systems can't verify the claim. The farther data travels through modern organizations, the more difficult the question becomes.

Many organizations operate dozens, sometimes hundreds, of systems containing personal information. Copies may exist in production environments, analytics tools, archives and systems operated by external providers. Information may also reappear in derived products, scores, profiles or other outputs created from the original data. Deleting the source record does not automatically answer what happened to everything built from it.

This is where I suspect privacy professionals will increasingly need to think about auditability as a design requirement rather than compliance on the back end. If an organization can't trace where information went, it may struggle to demonstrate where it was deleted. If it can't identify which service providers received the data, it may have difficulty proving downstream compliance. If it lacks system logs or testing records, it may have little actual evidence beyond assurances.

I'm not suggesting Canada should copy California's approach. The California proposal applies to a specific category of organizations operating under a different regime. Plus, we need to remember that Bill C-36 remains proposed legislation and may yet change significantly. 

The underlying question, however, is similar. For years, privacy discussions have focused on whether individuals should have rights such as access, correction and deletion. As privacy programs mature, I suspect regulators will spend less time arguing with organizations about the existence of rights and more time examining whether those organizations can actually prove that the rights were actually implemented in practice. It may sound like a subtle shift in how we look at accountability, but I think it's a significant one.

Notes de l'IAPP Canada : Suppression des données passant de la politique à la preuve 

J'ai toujours trouvé que le droit à la suppression des renseignements personnels semblait beaucoup plus simple sur papier qu'en pratique. Supprimer un dossier est une chose, mais démontrer qu'il a disparu de tous les endroits où il a été copié, dérivé ou transmis en est une autre.

C'est pourquoi un développement récent en Californie a retenu mon attention. Le 7 août, la California Privacy Protection Agency a publié une proposition préliminaire de vérification qui obligerait les courtiers en données à démontrer que les demandes de suppression fonctionnent réellement. Il ne suffirait pas d'invoquer une politique de confidentialité ou une attestation de la direction. Il faudrait plutôt produire des preuves : essais de systèmes, journaux d'activité, cartographies de données, échantillonnage et autres documents démontrant que la suppression a effectivement atteint les endroits visés.

La proposition demeure préliminaire et n'a pas encore franchi l'étape du processus officiel d'élaboration réglementaire. Je crois néanmoins qu'elle met en lumière un enjeu qui prend de plus en plus d'importance au Canada.

Le droit de la protection des renseignements personnels repose depuis longtemps sur une part importante de confiance. Par exemple, nous faisons confiance aux organisations lorsqu'elles affirment ne recueillir que les renseignements qu'elles disent recueillir, mais le savons-nous vraiment? On pourrait en dire autant d'une multitude d'obligations et de promesses, comme le respect des calendriers de conservation ou des engagements contractuels par les fournisseurs de services. Lorsqu'une organisation affirme que des renseignements ont été supprimés, les organismes de réglementation et les personnes concernées ont rarement disposé de moyens pratiques pour vérifier cette affirmation. Cela pourrait bien être en train de changer.

L'aspect le plus intéressant de la proposition californienne n'est pas la vérification elle-même. Les vérifications ne sont évidemment pas nouvelles. Ce qui est plus important, c'est l'attention croissante portée à ce qui constitue une preuve de conformité.

Selon l'approche proposée, les vérificateurs devraient tester si la suppression fonctionne dans l'ensemble des systèmes pertinents, y compris ceux des fournisseurs de services et des sous-traitants. Ils devraient également examiner les renseignements dérivés, comme les profils et les inférences. Autrement dit, la question n'est plus simplement de savoir si un dossier a été supprimé d'une base de données principale. Il s'agit plutôt de déterminer si l'ensemble de l'écosystème informationnel construit autour de ce dossier a aussi été pris en compte.

Pourquoi écrire sur ce qui se passe en Californie? Parce qu'il existe un lien direct avec ce qui est proposé dans le projet de loi C-36. Ce projet créerait des obligations de destruction de renseignements et, dans certaines circonstances, un droit pour les particuliers de demander la destruction de leurs renseignements personnels. Il exigerait également que les organisations qui donnent suite à une telle demande veillent à ce que les fournisseurs de services ayant reçu ces renseignements les détruisent eux aussi. En outre, le projet de loi prévoit des pouvoirs de vérification, y compris la possibilité, dans certains cas, d'exiger un rapport de conformité préparé par un tiers.

Le défi pratique est évident. Lorsqu'une organisation reçoit une demande de destruction, quelle preuve devrait démontrer que cette demande a réellement été respectée?

Une politique indiquant que les renseignements seront supprimés ne constitue pas une preuve que la suppression a eu lieu. Une certification de la direction n'est pas non plus particulièrement convaincante si les systèmes sous-jacents ne permettent pas de vérifier cette affirmation. Plus les données circulent dans les organisations modernes, plus la question devient complexe.

De nombreuses organisations exploitent des dizaines, parfois des centaines, de systèmes qui contiennent des renseignements personnels. Des copies peuvent exister dans les environnements de production, les outils analytiques, les archives ou encore chez des fournisseurs externes. Les renseignements peuvent également réapparaître sous forme de produits dérivés, de cotes, de profils ou d'autres résultats créés à partir des données originales. La suppression du dossier source ne répond pas automatiquement à la question de savoir ce qu'il est advenu de tout ce qui a été construit à partir de celui-ci.

C'est pourquoi je crois que les professionnels de la protection de la vie privée devront de plus en plus considérer la vérifiabilité comme une exigence de conception plutôt que comme un simple exercice de conformité réalisé après coup. Si une organisation n'est pas en mesure de retracer le parcours des renseignements, elle pourrait avoir de la difficulté à démontrer où ceux-ci ont été supprimés. Si elle ne peut pas identifier les fournisseurs de services qui ont reçu les données, elle pourrait être incapable de prouver la conformité en aval. Et si elle ne dispose ni de journaux d'activité ni de résultats de tests, elle risque de n'avoir guère plus que des assurances à offrir.

Je ne suggère pas que le Canada devrait reproduire l'approche californienne. La proposition s'applique à une catégorie particulière d'organisations dans le cadre d'un régime différent. Il faut également rappeler que le projet de loi C-36 demeure à l'étude et pourrait encore subir d'importantes modifications.

La question fondamentale, toutefois, est semblable. Depuis des années, les débats en matière de protection des renseignements personnels portent sur l'existence de droits tels que l'accès, la correction et la suppression. À mesure que les programmes de protection de la vie privée gagnent en maturité, je soupçonne que les organismes de réglementation consacreront moins de temps à débattre de l'existence de ces droits et davantage à vérifier si les organisations peuvent réellement démontrer qu'ils ont été mis en œuvre dans la pratique. Cela peut sembler être un changement subtil dans notre façon d'aborder la responsabilité, mais je crois qu'il s'agit d'un changement important.

This French companion article is not meant to be an exact translation, but rather an article that generally covers the same topic as the English article.