Conservation des logs et des DLR SMS A2P : durées, accès et suppression traçable
Guide pratique pour définir une politique de conservation des logs et DLR SMS A2P fondée sur la finalité, la minimisation, l’accès restreint, la traçabilité et une suppression vérifiable.
La conservation des enregistrements SMS est une décision d’exploitation, de sécurité et de gouvernance
La conservation des logs et des DLR SMS A2P ne doit pas être décidée à l’aide d’une durée unique appliquée à toutes les données. Un envoi génère des éléments probants utiles pour le support, le rapprochement, l’enquête sur la fraude, l’analyse de la qualité, la résolution d’incidents et la défense contre des réclamations. Dans le même temps, certains de ces éléments peuvent inclure des données personnelles, du contenu ou des informations facilitant la réidentification d’une personne ou d’une campagne.
Lorsque le RGPD s’applique, les principes de limitation des finalités, de minimisation et de limitation de la durée de conservation exigent que les données identifiables ne soient conservées que pendant la durée nécessaire à des finalités spécifiques, explicites et légitimes. Les obligations sectorielles, fiscales, contractuelles, réglementaires ou procédurales applicables à chaque organisation peuvent également influencer cette décision.
Une politique défendable n’est pas celle qui conserve le plus de données le plus longtemps. C’est celle qui peut expliquer, pour chaque catégorie d’enregistrement, quelle finalité elle sert, qui en a besoin, quel accès lui est accordé, quand son niveau d’accès change et comment elle est supprimée ou anonymisée une fois le besoin terminé.
- Définissez la finalité avant de fixer la durée.
- Traitez séparément le contenu, les numéros, les identifiants, les métadonnées et les événements techniques.
- Identifiez les obligations applicables selon la juridiction, le contrat et la fonction métier.
- Attribuez des responsables chargés d’approuver, d’exécuter et de réviser la politique.
- Validez avec les conseils juridiques et de protection de la vie privée les durées et exceptions applicables à votre organisation.
Quels éléments probants un envoi SMS A2P génère-t-il ?
Un inventaire de conservation commence par le suivi du cycle de vie technique d’un message. La requête initiale peut contenir des données de compte, des identifiants d’accès ou un contexte d’intégration, le destinataire, l’expéditeur, le contenu, les paramètres d’envoi et des identifiants générés par le client ou par la plateforme. L’acceptation technique peut produire un identifiant de message, un horodatage et un résultat de validation ou de mise en file d’attente.
Lors du routage et du traitement, des décisions opérationnelles, codes d’erreur, tentatives, changements d’état, références du fournisseur ou du réseau et horodatages peuvent apparaître. Ensuite, des callbacks ou DLR peuvent être reçus. Le rapprochement ajoute des enregistrements qui relient les requêtes, les états, les résultats, la consommation et d’éventuels litiges.
Ces éléments ne doivent pas tous être conservés ensemble ni pendant la même période. Une équipe de support peut avoir besoin d’un identifiant de corrélation et d’une séquence d’états sans nécessiter le corps complet du SMS. Une équipe financière peut avoir besoin de preuves d’événements facturables, tandis qu’une analyse de qualité peut s’appuyer sur des données agrégées ou pseudonymisées.
- Requête : compte ou contexte client, destinataire, expéditeur, paramètres, contenu et ID source lorsqu’ils existent.
- Acceptation : ID de message, heure, validations et résultat d’admission.
- Traitement : événements de mise en file, routage, erreurs, nouvelles tentatives et changements d’état.
- DLR et callbacks : état communiqué, heure de réception, référence corrélable et origine technique de l’événement.
- Rapprochement : liens entre requête, événements, résultat et enregistrements administratifs nécessaires.
Ce qu’un DLR signifie, et ce qu’il ne démontre pas
Un DLR doit être traité comme un événement d’état communiqué par l’infrastructure SMS. La spécification 3GPP TS 23.040 décrit le SMS-STATUS-REPORT comme un rapport émis par le centre de service à l’issue du traitement de l’état du message, avec des résultats incluant la remise réussie au SME ou l’impossibilité de retransmission en raison d’erreurs temporaires ou permanentes.
Cet enregistrement est utile pour l’exploitation et le rapprochement, mais il ne constitue pas nécessairement une preuve indépendante qu’une personne a lu, compris ou suivi le message. La sémantique exacte de l’état reçu doit être conservée avec la source, l’heure, la référence du message et toute transformation appliquée en interne.
De plus, la disponibilité des rapports d’état est facultative dans le service SMS. Par conséquent, l’absence d’un DLR ne doit pas automatiquement conduire à une conclusion sur la livraison finale. Une politique mature distingue « aucun DLR reçu », « un état communiqué a été reçu », « l’état a été normalisé en interne » et « des preuves supplémentaires indépendantes existent », le cas échéant.
- Enregistrez la valeur d’état d’origine lorsque cela est possible.
- Conservez la source technique et l’horodatage de réception du DLR.
- Documentez les règles de normalisation des états pour éviter les interprétations ambiguës.
- Ne présentez pas un DLR comme une preuve de lecture, de compréhension, de consentement ou de conversion.
- Ne classez pas l’absence de DLR comme un échec ou un succès concluant sans le contexte technique applicable.
Constituez un inventaire minimal et classez les données
L’inventaire doit être suffisamment détaillé pour décider de la conservation et des accès, tout en restant assez pratique pour être maintenu à jour. Une classification utile sépare le contenu du message, les identifiants personnels ou potentiellement identifiants, les métadonnées de routage, les événements techniques, les données de compte et les données de contrôle.
Le contenu exige généralement un examen particulièrement rigoureux. Il peut inclure des OTP, des notifications transactionnelles, des références de commande, des informations commerciales ou d’autres données sensibles selon le cas d’usage. Le conserver par défaut à des fins de débogage général augmente l’exposition et ne doit pas être justifié par la seule commodité opérationnelle.
Les identifiants de corrélation permettent de réduire la nécessité d’afficher des données sensibles dans les tableaux de bord, tickets ou exportations. La norme TS 23.040 prévoit des références de message reliant des opérations associées, ce qui offre une base technique pour corréler une requête et un état sans reproduire le contenu dans chaque vue.
- Contenu : corps du SMS, modèles, variables et pièces de contexte lorsqu’elles existent.
- Identifiants : ID de message, ID client, référence fournisseur, référence de campagne ou identifiant de corrélation.
- Métadonnées : origine, destinataire, expéditeur, route ou contexte de routage, horodatages et paramètres techniques.
- Événements techniques : acceptation, état, codes d’erreur, callback, nouvelle tentative et résultat du traitement.
- Données de compte et de contrôle : utilisateur, rôle, organisation, changements de configuration, consultations et exportations.
Associez chaque catégorie à une finalité concrète
La finalité détermine ce qui doit être conservé et pendant combien de temps. Le support peut devoir reconstituer un incident précis ; la facturation et le rapprochement peuvent exiger des preuves d’événements pertinents ; la lutte contre la fraude et la sécurité peuvent nécessiter des signaux pour enquêter sur des comportements anormaux ; la qualité peut nécessiter des séries d’états et de latences ; l’audit peut nécessiter des journaux d’accès et de modification ; et une réclamation peut imposer de préserver un ensemble délimité d’éléments probants.
L’essentiel est d’éviter des finalités génériques telles que « au cas où » ou « pour une analyse future ». Décrivez l’usage opérationnel, le responsable, la population de données, la durée proposée et la raison pour laquelle une version moins identifiable ne suffit pas. Lorsque cela est possible, remplacez les données d’événements par des métriques agrégées, des comptages ou des ensembles pseudonymisés.
Les demandes de désinscription ou de révocation méritent également une catégorie spécifique. Aux États-Unis, la FCC reconnaît certaines réponses par SMS, notamment « stop », « quit », « end », « revoke », « opt out », « cancel » et « unsubscribe », comme des moyens raisonnables de révoquer le consentement dans les cas couverts par sa décision. Votre organisation doit évaluer les règles applicables, mais sur le plan opérationnel, il est utile d’enregistrer la réception, le traitement et le résultat de ces événements de manière contrôlée.
- Support : résoudre un incident délimité et vérifier les séquences d’événements.
- Rapprochement : relier les requêtes, les états et les enregistrements administratifs pertinents.
- Fraude et sécurité : enquêter sur les anomalies avec un accès proportionné et traçable.
- Qualité : analyser la cohérence des DLR, la disponibilité, les erreurs et le comportement technique à l’aide de données minimisées.
- Audit : démontrer qui a accédé à des données, modifié une configuration ou exécuté une exportation.
- Réclamations et obligations : préserver uniquement le périmètre nécessaire, avec une date de révision.
Appliquez un modèle par phases : actif, archivage restreint et disposition finale
Un modèle par phases permet d’éviter que tous les enregistrements restent indéfiniment dans les systèmes opérationnels. La phase active contient les données nécessaires à la supervision, au support quotidien, à l’enquête immédiate et aux processus opérationnels. Elle doit comporter l’ensemble minimal de données et d’utilisateurs compatible avec ces tâches.
Une fois le besoin opérationnel immédiat terminé, certains enregistrements peuvent être transférés vers un archivage restreint si une finalité documentée subsiste, comme un rapprochement, une obligation applicable, un litige précis ou une enquête en cours. L’archive n’est pas une extension automatique de la production : elle doit réduire les rôles disposant d’un accès, limiter les fonctions de consultation et empêcher l’utilisation des informations pour de nouvelles finalités non approuvées.
À la fin de la finalité et de toute exception valide, appliquez une suppression, une anonymisation ou une agrégation selon le résultat requis. Le NIST présente la gestion des logs comme un processus organisationnel continu, et ses lignes directrices sur la sanitisation soulignent que la suppression effective nécessite des mesures adaptées à la sensibilité des données et une validation de la disposition.
- Phase active : disponibilité pour les opérations quotidiennes avec un accès fondé sur les rôles.
- Archivage restreint : accès exceptionnel, justifié et journalisé.
- Disposition finale : suppression vérifiable, anonymisation irréversible lorsque cela est approprié ou agrégation sans besoin identifiable.
- Révision : vérifiez régulièrement que les enregistrements ne restent pas dans une phase par inertie.
- Exception : appliquez une conservation limitée à un ensemble délimité, avec un responsable et une date de réévaluation.
Comment définir les durées sans reprendre un chiffre arbitraire
Il n’existe pas de durée universelle techniquement valable pour les logs, les DLR ou le contenu SMS. La décision doit partir de la finalité précise et être confrontée aux obligations juridiques, réglementaires, fiscales, contractuelles et procédurales applicables. Le fait qu’une catégorie soit utile ne justifie pas sa conservation indéfinie ; de même, une durée habituelle dans le secteur ne remplace pas une analyse documentée.
Pour chaque catégorie, posez des questions vérifiables : quelle décision, quel incident ou quel processus cette donnée permet-elle de résoudre ? À quel moment cesse-t-elle d’être nécessaire à cette fin ? Existe-t-il une obligation applicable qui impose ou autorise sa conservation ? La finalité peut-elle être atteinte avec des données pseudonymisées, agrégées ou comportant moins de champs ? Quel préjudice entraînerait une suppression prématurée par rapport à l’exposition supplémentaire liée à la conservation ?
Documentez le raisonnement, pas seulement le résultat. Si la durée varie selon le type de client, la juridiction, le produit, le contrat ou la catégorie de trafic, la politique doit refléter ces différences ainsi que le mécanisme technique qui les applique.
- Finalité et population de données exactes.
- Obligations et engagements applicables, validés par les fonctions responsables.
- Besoin opérationnel réel et fenêtre temporelle d’utilisation.
- Alternatives moins identifiables, comme la pseudonymisation ou l’agrégation.
- Risques liés à la vie privée, à la sécurité, à la fraude, aux réclamations et à la perte de preuves.
- Capacité technique à appliquer la durée de manière cohérente dans les systèmes, réplicas et copies.
- Responsable de la décision, date d’approbation et date de révision.
Contrôlez les accès et réduisez l’exposition du contenu
Les logs ne sont pas automatiquement inoffensifs. Une combinaison de destinataire, d’heure, d’expéditeur, d’identifiant de compte et de résultat de livraison peut révéler des schémas d’activité. Le contenu peut augmenter considérablement le risque. L’accès doit donc reposer sur les rôles, le besoin d’en connaître et la séparation des fonctions.
Un opérateur de support ne devrait pas disposer par défaut des mêmes capacités qu’un administrateur de sécurité, un responsable du rapprochement ou une personne autorisée à répondre à une demande juridique. Concevez des vues contenant des champs minimisés : par exemple, des identifiants de corrélation, des états et des horodatages plutôt que le contenu complet ou des exportations massives.
Journalisez les consultations sensibles, les accès exceptionnels, les recherches par identifiants personnels, les changements de conservation et les exportations. La traçabilité des accès sert à la fois la sécurité et la responsabilité. Révisez régulièrement les autorisations, les comptes à privilèges et les justifications d’accès.
- Appliquez des rôles distincts pour le support, les opérations, la sécurité, la confidentialité, la finance et l’administration.
- N’affichez le contenu que lorsqu’il est nécessaire pour un cas autorisé.
- Utilisez le masquage ou la réduction des champs dans les tableaux de bord et les tickets lorsque cela est possible.
- Exigez une justification et une journalisation pour l’accès exceptionnel à des données sensibles.
- Limitez les exportations, journalisez leur exécution et protégez la destination des données exportées.
- Révisez régulièrement les autorisations et accès privilégiés.
Questions fréquentes
Existe-t-il une durée standard de conservation des logs et DLR SMS A2P ?
Non. La durée doit dépendre de la finalité, des obligations applicables et de l’évaluation juridique et opérationnelle de chaque organisation. Lorsque le RGPD s’applique, les données personnelles identifiables ne doivent être conservées que pendant la durée nécessaire aux finalités du traitement.
Un DLR confirme-t-il que le destinataire a lu le SMS ?
Non. Un DLR est un événement d’état communiqué par l’infrastructure SMS. Il peut être utile pour l’exploitation et le rapprochement, mais il ne prouve pas de manière indépendante qu’une personne a lu, compris ou suivi le message.
L’absence de DLR prouve-t-elle que le message n’a pas été livré ?
Pas nécessairement. La fonction de rapport d’état est facultative dans le SMS. L’absence d’un DLR doit être enregistrée comme l’absence de cet événement, et non interprétée automatiquement comme une preuve concluante d’échec de livraison.
Le contenu du SMS doit-il être conservé pour résoudre des incidents ?
Non, pas par défaut. Évaluez si l’incident peut être résolu avec des identifiants de corrélation, des états, des horodatages, des codes d’erreur et des métadonnées minimisées. Le contenu doit être soumis à des contrôles et à un accès plus restrictifs lorsqu’il est réellement nécessaire.
Supprimer un enregistrement de la base de données principale garantit-il son effacement ?
Non, pas à lui seul. Il faut également prendre en compte les réplicas, archives, sauvegardes, exportations et autres supports. La suppression doit suivre des contrôles de sanitisation appropriés et des vérifications démontrant que la disposition a été exécutée conformément à la politique.
Que doit inclure une exception de conservation ?
Au minimum : l’ensemble de données concerné, la finalité précise, le responsable, le fondement applicable, les rôles autorisés, la date de début, la date de révision et l’événement permettant de clôturer l’exception. Une exception ne doit pas devenir une conservation indéfinie et généralisée.
Sources consultées
- GDPR — principios de limitación de finalidad, minimización y limitación del plazo de conservación (artículo 5)EUR-Lex / Unión Europea
- 3GPP TS 23.040 — capacidades de informes de estado SMS y relación con referencias de mensaje3GPP / ETSI
- NIST SP 800-92 — Guide to Computer Security Log ManagementNational Institute of Standards and Technology
- NIST SP 800-88 Rev. 2 — Guidelines for Media SanitizationNational Institute of Standards and Technology
- FCC 24-24 — revocación de consentimiento mediante respuesta por SMSFederal Communications Commission
- NIST Privacy FrameworkNational Institute of Standards and Technology
- NIST SP 800-63-4 — Digital Identity GuidelinesNational Institute of Standards and Technology