Durées de conservation des données : combien de temps conserver chaque type de données ?

Conserver des données personnelles indéfiniment maintient la responsabilité de l’organisation, même lorsqu’elles ne sont plus nécessaires. La bonne approche consiste à déterminer séparément, pour chaque type de données, la finalité du traitement, l’obligation de conservation applicable et le moment de leur destruction.

Comment déterminer la durée de conservation des données personnelles ?

La durée de conservation n’est pas un chiffre choisi arbitrairement le jour où les données sont enregistrées dans le système. Il faut d’abord déterminer à quelles fins les données sont traitées, quand cette finalité prend fin et s’il existe une autre raison juridique, contractuelle ou opérationnelle justifiant leur conservation.

« Cela pourrait peut-être servir plus tard » ne constitue pas, à lui seul, un motif suffisant. Lorsque la finalité disparaît, les données doivent être supprimées, détruites ou anonymisées de manière à ne plus permettre d’identifier la personne. Par exemple, les coordonnées figurant dans un formulaire de candidature ne peuvent pas être automatiquement conservées à des fins de prospection après la fin du processus de candidature ; le marketing nécessite une base juridique distincte et valable.

Pour prendre une décision, il est utile de suivre les étapes suivantes :

• Indiquez à quelle fin les données ont été collectées.
• Déterminez quand cette finalité prend fin.
• Vérifiez si une conservation plus longue est nécessaire en raison de la loi, d’un contrat ou d’un risque de litige.
• Définissez la méthode de destruction à appliquer à l’expiration de la durée prévue.
• Consignez la décision dans l’inventaire des données ainsi que dans la politique de conservation et de destruction.

Comment déterminer la durée de conservation selon le type de données ?

Une approche fondée sur une seule « durée de conservation applicable à toute l’organisation » est généralement insuffisante. Les dossiers clients, les dossiers des salariés, les images de vidéosurveillance, les enregistrements d’appels et les consentements marketing répondent à des finalités différentes ; leurs conditions de début et de fin peuvent donc également varier.

Par exemple, si les enregistrements de vidéosurveillance servent à assurer la sécurité des locaux, les images ne doivent être conservées que pendant la durée nécessaire à cette finalité. Si une enquête concernant un incident est en cours, l’enregistrement concerné peut être placé dans un dispositif de conservation spécifique jusqu’à la fin de l’enquête. En revanche, cette même justification ne permet pas de conserver l’ensemble des archives vidéo pendant une durée indéterminée.

De même, le cycle de vie d’un CV recueilli dans le cadre d’une candidature n’est pas le même que celui du dossier d’un salarié en poste. Si la candidature n’aboutit pas à un recrutement, le moment de la suppression sera différent de celui applicable pendant la poursuite de la relation de travail. Cette distinction exige que l’inventaire des données ne répertorie pas seulement les noms des fichiers, mais aussi les processus métier concernés.

Comment mettre en place une politique de conservation et de destruction ?

La Politique de conservation et de destruction des données à caractère personnel est le document de travail qui explique quelles données l’organisation conserve, pour quelles raisons, pendant combien de temps et ce qu’elle en fait à l’expiration de cette durée. Cette politique ne doit pas rester un simple document juridique ; elle doit se traduire en règles applicables par les équipes informatiques, les ressources humaines, la finance, la sécurité et le marketing.

Pour chaque catégorie d’enregistrements, il est possible de définir au minimum les éléments suivants : type de données, finalité du traitement, système concerné, point de départ de la durée de conservation, condition de fin de conservation, équipe responsable et méthode de destruction. Pour les « enregistrements du support client », par exemple, le point de départ peut être la clôture de la demande, l’équipe responsable le service client, et la méthode de destruction la suppression du système actif ainsi que le suivi du cycle de vie des sauvegardes.

Les durées prévues par la politique doivent également être intégrées aux systèmes utilisés par l’organisation. Il convient de vérifier si un enregistrement supprimé dans une application continue d’exister dans le système de reporting, les archives de messagerie ou les sauvegardes. Pour comparer les textes à jour relatifs à la réglementation et aux pratiques des organisations, il est possible de consulter un espace de référence tel que le centre de ressources KVKK et confidentialité des données.

Comment gérer la destruction périodique et les demandes de destruction ?

Il ne faut pas partir du principe que les données arrivées à expiration disparaîtront d’elles-mêmes. Les organisations doivent gérer la suppression, la destruction ou l’anonymisation selon un processus planifié et traçable. Pour les responsables du traitement disposant d’une politique de conservation et de destruction, l’intervalle entre deux destructions périodiques peut être de six mois au maximum ; en l’absence de politique, un calendrier de destruction plus court peut s’appliquer.

Lorsqu’une personne concernée demande la suppression ou la destruction de ses données, sa demande doit faire l’objet d’un examen spécifique. Elle déclenche une analyse visant à déterminer à quelles fins les données sont conservées et s’il existe une obligation de conservation toujours en vigueur. Lorsque cela est approprié, la demande doit être traitée dans un délai de trente jours et l’opération effectuée doit être consignée.

Par exemple, lorsqu’un compte client est fermé, l’enregistrement principal du compte peut être supprimé ; toutefois, les documents directement liés à un litige en cours peuvent être conservés dans un espace distinct à accès limité. Cette exception ne doit pas conduire à conserver indéfiniment l’intégralité de l’historique client.

Erreurs fréquentes dans les processus de conservation des données

L’erreur la plus fréquente consiste à appliquer la même durée à tous les types de données. La deuxième consiste à prendre la décision de suppression en ne tenant compte que de l’application principale ; les boîtes e-mail, les prestataires externes, les tableaux exportés et les sauvegardes doivent également être inclus dans le processus.

Un autre problème courant est l’absence de définition du point de départ de la durée. L’expression « conservation pendant deux ans » ne précise pas si le délai est calculé à partir de la date de création de l’enregistrement, de la fin du contrat ou de la clôture du compte. Les équipes peuvent alors adopter des pratiques différentes. Par exemple, lorsque des synthèses mensuelles sont préparées, la fin de la relation commerciale à l’origine du rapport peut être retenue comme point de départ plutôt que la date de création du rapport ; cette décision doit être justifiée au regard du processus concerné.

Pour effectuer un dernier contrôle, il est possible de poser les questions suivantes pour chaque catégorie de données : la finalité existe-t-elle toujours, existe-t-il une obligation légale ou contractuelle de conservation, les droits d’accès sont-ils encore nécessaires, dans quels systèmes la destruction devra-t-elle être effectuée à l’expiration du délai et comment l’opération sera-t-elle prouvée ? Il est préférable de commencer par un petit projet pilote portant sur un groupe de données limité afin de tester l’inventaire, les durées et le processus de destruction.

Questions fréquentes

Existe-t-il une durée de conservation unique applicable à toutes les données personnelles ?

Non. La durée dépend du type de données, de la finalité du traitement et des exigences juridiques ou contractuelles toujours en vigueur. Au sein d’une même organisation, les dossiers clients, les dossiers des salariés et les enregistrements de vidéosurveillance peuvent nécessiter des règles différentes.

Comment détruire les données dont la durée de conservation a expiré ?

Selon la structure du système, les données peuvent être supprimées, détruites physiquement ou numériquement, ou anonymisées. Il convient de consigner la date de l’opération, le groupe de données concerné et l’identité de la personne qui l’a réalisée.

Les données personnelles présentes dans les sauvegardes sont-elles également soumises à la durée de conservation ?

Les sauvegardes doivent également être considérées comme faisant partie du cycle de vie des données. Il faut définir séparément combien de temps les données supprimées du système principal restent dans les sauvegardes et comment elles seront traitées en cas de restauration.