MySQL

Qu'est, ce que MySQL

MySQL est la base de données relationnelle open source la plus déployée au monde. Elle fonctionne côté serveur, derrière votre application, et sert à stocker comptes utilisateurs, commandes, contenus, journaux et toute donnée structurée. Développée à l'origine par MySQL AB en Suède puis rachetée par Oracle, elle est disponible en édition communautaire gratuite et en éditions commerciales. La plupart des fournisseurs cloud proposent des variantes managées comme Amazon RDS for MySQL, Google Cloud SQL, Azure Database for MySQL ou DigitalOcean Managed Databases.

Quelles données MySQL stocke

MySQL est un stockage neutre : les données personnelles qu'il contient dépendent entièrement de ce que votre application y écrit. Dans une application web classique on y trouve emails, mots de passe hachés, noms complets, adresses, adresses IP, références de paiement, tickets de support et journaux d'activité. MySQL conserve aussi des journaux serveur (general log, slow query log, binary log) qui peuvent incidemment contenir des données personnelles intégrées dans les requêtes SQL.

Implications RGPD et ePrivacy

Dès que MySQL stocke des informations relatives à des personnes physiques identifiées ou identifiables, le RGPD s'applique. Vous devenez responsable (ou responsable conjoint) de ce traitement. Les obligations principales incluent : disposer d'une base légale valide, appliquer la minimisation, définir des durées de conservation, sécuriser la base avec chiffrement au repos et en transit, restreindre les accès et pouvoir honorer les droits des personnes (accès, rectification, effacement, portabilité). La directive ePrivacy ne vise pas MySQL directement car ce n'est pas une technologie de stockage sur équipement terminal, mais elle couvre les cookies posés par votre application.

Consentement et base légale

Stocker des données opérationnelles dans MySQL ne nécessite pas de consentement navigateur car la base vit sur votre serveur, pas sur l'appareil de l'utilisateur. La base légale est généralement l'exécution du contrat (art. 6(1)(b) RGPD) pour les données nécessaires au service, ou l'intérêt légitime (art. 6(1)(f) RGPD) pour les journaux de sécurité et la lutte contre la fraude. Les données sensibles (santé, religion, biométrie) requièrent une base spécifique au titre de l'article 9, généralement le consentement explicite ou une obligation légale précise.

Transferts et choix d'hébergement

MySQL est agnostique en matière d'hébergement. La localisation des données dépend de la région choisie pour la VM, la base managée ou le datacenter. Pour éviter les problèmes de transfert international, sélectionnez une région UE et vérifiez qu'elle couvre les sauvegardes, les répliques et les sites de reprise. Avec AWS RDS, Google Cloud SQL ou Azure Database for MySQL opérés par un fournisseur américain, il faut s'appuyer sur le Data Privacy Framework UE US ou sur des Clauses Contractuelles Types accompagnées d'une analyse d'impact de transfert documentée.

Étapes de mise en conformité

Cartographiez chaque table contenant des données personnelles. Documentez finalité, base légale et durée de conservation. Imposez TLS pour les connexions clientes, activez le chiffrement au repos (InnoDB tablespace encryption ou au niveau filesystem), appliquez le principe du moindre privilège, pseudonymisez les identifiants quand c'est possible, programmez des purges automatiques des données expirées et sauvegardez dans une région offrant les mêmes garanties. Intégrez MySQL à votre registre des traitements (art. 30 RGPD) et à vos procédures de gestion d'incident.