Protéger les données de paiement à l'international. 6 chapitres et un QCM final.

Chapitre 1. Délimiter le périmètre avant de le protéger.

Un référentiel de sécurité se prouve sur un périmètre écrit, puisque sans périmètre aucune exigence n'a de destinataire. PCI DSS nomme cet objet le CDE, cardholder data environment, et y réunit les personnes, les processus et les systèmes qui stockent, traitent ou transmettent des données de compte. Il englobe aussi tout système connecté capable de les compromettre. Cette seconde moitié de la définition se perd.

Trois catégories, et non deux

• Dans le CDE : le système voit, stocke ou transporte une donnée de compte. Serveur d'application, bus de messages, enregistreur d'appels.
• Connecté ou influant sur la sécurité : il ne voit pas la donnée, il peut la mettre en danger. Annuaire d'identité, serveur de rebond, console d'hyperviseur, chaîne de déploiement.
• Hors périmètre : aucun accès, aucune influence, isolement démontré par un test. L'isolement se prouve, il ne se décrète pas.

Un acteur multi-pays n'a pas un CDE, il en a autant que de piles régionales. Une obligation de localisation fabrique une pile locale, avec ses serveurs, ses administrateurs et ses sauvegardes, et cette pile entre au périmètre comme les autres. L'erreur classique consiste à décrire l'architecture cible du siège et à ignorer les implantations imposées par le droit local.

# Candidats PAN : Visa, Mastercard, Amex, Discover.
# La regex ne suffit pas : filtrer ensuite par controle de Luhn.
PAN='\b(4[0-9]{12}([0-9]{3})?|5[1-5][0-9]{14}|3[47][0-9]{13}|6(011|5[0-9]{2})[0-9]{12})\b'

# Journaux applicatifs, exports, sauvegardes montees en lecture seule.
grep -rInE "$PAN" /var/log /srv/exports /mnt/backup \
  --exclude-dir=.git -l > /tmp/emplacements.txt

# NE JAMAIS journaliser la valeur trouvee : seulement le chemin et le compte de lignes.
# La liste d'emplacements est elle-meme une donnee sensible : elle vit dans le CDE.

Chapitre 2. Réduire le périmètre : champs hébergés, jetons, P2PE.

La réduction de périmètre est le seul levier qui change l'ordre de grandeur du coût. Chiffrer mieux ne retire aucun système du champ. Ne plus détenir la donnée en retire des dizaines. Quatre techniques y parviennent, et elles ne réduisent pas la même chose, si bien que les confondre conduit à payer une tokenisation sans quitter le questionnaire le plus lourd.

Le questionnaire d'auto-évaluation le plus court a changé en 2025. Le PCI SSC a retiré du SAQ A les exigences 6.4.3 et 11.6.1, ainsi que l'analyse de risque ciblée 12.3.1 qui soutenait la seconde. Un critère d'éligibilité les remplace. Le marchand confirme que tous les éléments de sa page de paiement proviennent directement d'un prestataire conforme, et que son site n'est pas exposé à des scripts capables d'affecter son système de commerce électronique. La version de janvier 2025 a remplacé celle d'octobre 2024 le 31 mars 2025.

• Décider d'abord qui détient le PAN. Tout le reste en découle, y compris le questionnaire applicable.
• Vérifier si un marché impose la tokenisation. L'Inde l'impose aux commerçants et aux agrégateurs depuis le 1er octobre 2022.
• Choisir le type de jeton sur la réversibilité recherchée, et non sur le tarif affiché.
• Négocier la portabilité des jetons avant la signature : le coût de sortie ne se discute plus après.
• Déclarer le coffre comme un traitement de données personnelles, avec finalité, durée et procédure de révocation.

Chapitre 3. Localiser : Inde, Chine, Indonésie.

Trois questions se cachent derrière le mot localisation. Elles portent sur le lieu de stockage de la donnée, sur le lieu de son traitement, et sur les personnes autorisées à y accéder depuis l'étranger. Un texte répond parfois aux trois, souvent à une seule, si bien que lire une obligation revient à repérer laquelle elle vise. Une quatrième question n'est presque jamais documentée, celle du pays où vivent les sauvegardes.

La Chine ne raisonne pas par pays de destination mais par volume. Les Provisions on Facilitating and Regulating Cross-Border Data Flows de l'Administration du cyberespace, en vigueur le 22 mars 2024, fixent des seuils annuels cumulés. Le compteur repart au 1er janvier, et un acteur du paiement franchit vite le premier palier.

• Moins de 100 000 personnes sur l'année civile, hors données sensibles : aucun mécanisme de transfert exigé.
• De 100 000 à 1 million de personnes hors données sensibles, ou moins de 10 000 personnes en données sensibles : contrat type déposé, ou certification.
• Plus d'un million de personnes, ou plus de 10 000 personnes en données sensibles, ou des données importantes : évaluation de sécurité de l'Administration du cyberespace.
• Opérateur d'infrastructure d'information critique : évaluation de sécurité pour toute sortie de données personnelles, quel que soit le volume.

Chapitre 4. Transférer : le chapitre V du RGPD en pratique.

Le RGPD n'impose aucune localisation générale, il encadre la sortie. Le chapitre V du règlement (UE) 2016/679 pose une règle courte, puisqu'un transfert vers un pays tiers repose sur un instrument nommé, choisi et documenté. L'instrument ne se présume pas. Le contrat de sous-traitance de l'article 28 n'en est pas un ; il encadre la sous-traitance, pas le franchissement de frontière.

L'arrêt Schrems II, rendu par la Cour de justice le 16 juillet 2020 dans l'affaire C-311/18, a maintenu les clauses types et changé leur usage. L'exportateur vérifie désormais que le droit du pays de destination ne vide pas les garanties contractuelles. Cette vérification s'appelle l'analyse d'impact du transfert. Le Comité européen de la protection des données en a fixé la méthode dans ses recommandations 01/2020, adoptées dans leur version finale le 18 juin 2021.

• Cartographier le transfert : quelles données, vers qui, pour quelle finalité, avec quels sous-traitants ultérieurs.
• Identifier l'instrument du chapitre V retenu, et le module exact s'il s'agit des clauses types.
• Évaluer le droit et la pratique du pays de destination, accès des autorités publiques compris.
• Ajouter les mesures supplémentaires que l'évaluation appelle : techniques, contractuelles, organisationnelles.
• Accomplir les formalités procédurales attachées à la mesure retenue.
• Réévaluer à intervalle défini, et à chaque évolution du droit local.

Le cas indien montre comment deux régimes se cumulent sans se compenser. La banque centrale impose un stockage en Inde. Le responsable de traitement européen doit, de son côté, encadrer le transfert vers l'Inde, qui ne bénéficie d'aucune décision d'adéquation. Se conformer à la circulaire de 2018 ne règle rien côté européen. Un prestataire qui présente son implantation indienne comme une réponse au RGPD confond une obligation de localisation et un instrument de transfert.

Chapitre 5. Conserver et effacer : la matrice par pays.

La conservation ne tient pas dans une politique unique. Elle prend la forme d'une matrice. Chaque catégorie de donnée obéit à une horloge, et l'horloge change de pays en pays. Deux forces s'opposent, le droit de la protection des données limitant la durée alors que le droit commercial et la lutte contre le blanchiment l'imposent. PCI DSS ajoute une contrainte propre, absolue sur une catégorie précise.

L'horloge de conservation est nationale, si bien qu'une politique de groupe qui aligne tous les pays sur la durée la plus longue enfreint la limitation partout ailleurs. Une politique qui aligne sur la plus courte crée un défaut de conservation dans les pays exigeants. La sortie tient en une matrice par catégorie et par pays, construite avec les équipes locales et revue chaque année.

• Catégorie de donnée, définie au niveau du champ et non de la table
• Finalité, avec la base légale ou l'obligation sectorielle qui la fonde
• Durée en base active, puis durée en archivage à accès restreint
• Pays : la même catégorie porte des durées différentes selon l'agrément
• Preuve de purge : nom du traitement, cadence, emplacement du rapport horodaté

Chapitre 6. Préparer l'audit et tenir la preuve.

Un audit ne se prépare pas au moment de l'audit. L'évaluateur constate sur douze mois. Un scan trimestriel manquant ne se rattrape pas la veille. La préparation consiste à produire, tout au long de l'année, des pièces datées, et à savoir où elles sont rangées. Le reste relève de la mise en forme.

• La déclaration de périmètre : entités évaluées, sites, pays, piles régionales, avec la date de dernière confirmation.
• Le schéma réseau et le schéma des flux de données de compte, tenus à jour (exigences 1.2.3 et 1.2.4).
• L'inventaire des composants du périmètre et de leur fonction (exigence 12.5.1).
• La liste des prestataires traitant des données de compte, avec leurs attestations de conformité (exigence 12.8).
• La matrice de responsabilité, exigence par exigence, entre l'entité et chaque prestataire (exigence 12.8.5).
• Les analyses de risque ciblées appuyant les contrôles dont l'entité fixe elle-même la fréquence (exigence 12.3.1).
• Les rapports datés : scans ASV, tests d'intrusion, tests de segmentation, vérifications trimestrielles de purge.

La conformité au standard et le droit local relèvent de deux régimes distincts, puisqu'un prestataire parfaitement conforme peut héberger hors du territoire qu'un régulateur impose. Les deux registres se vérifient séparément, avec des interlocuteurs différents. Ajoutez au dossier une colonne « pays d'hébergement » par prestataire, et la référence du texte local qui s'y applique.