Archivage légal des données personnelles : le cadre du RGPD
Une entreprise ne peut pas garder des données personnelles simplement parce qu’un espace de stockage reste disponible. Le principe de limitation de conservation du RGPD impose de retenir les informations sous une forme identifiable uniquement pendant la durée nécessaire à leur finalité.
Selon l’article 5, paragraphe 1, point e, du RGPD, chaque responsable de traitement doit donc pouvoir expliquer ses choix. Pour une petite entreprise comme pour un groupe, une mention vague telle que « durée nécessaire » ne remplace pas une durée définie ou des critères précis dans le registre des traitements.
Selon la CNIL, une conservation plus longue peut être justifiée pour l’archivage dans l’intérêt public, la recherche ou les statistiques, à condition de prévoir des garanties adaptées. La pseudonymisation peut limiter les risques, mais les informations pseudonymisées demeurent des données personnelles au sens du règlement.
Les repères à vérifier pour chaque traitement :
- Finalité concrète et durée d’utilisation en base active
- Obligations réglementaires ou délais de prescription applicables
- Accès restreint durant l’archivage légal intermédiaire
- Procédure d’élimination sécurisée ou d’anonymisation irréversible
Cycle de vie des données : base active, archives et suppression
Une fois la finalité clarifiée, le cycle de vie des données permet de distinguer l’usage quotidien de la conservation à des fins de preuve. Cette séparation doit apparaître dans les règles d’accès et, lorsque c’est possible, dans l’architecture des systèmes.
Base active et archivage intermédiaire
En base active, les équipes autorisées utilisent les données pour accomplir leur mission : traiter une commande, gérer un contrat ou administrer un dossier salarié. Quand cette utilisation prend fin, certaines pièces doivent parfois rester accessibles de manière limitée, par exemple pour répondre à un contrôle ou défendre un droit en justice.
Selon la CNIL, l’archivage intermédiaire suppose des accès restreints et une séparation réelle de l’usage courant. Une facture conservée pour satisfaire une obligation comptable ne devrait donc pas rester consultable par tous les utilisateurs du logiciel commercial.
Les étapes du cycle de conservation :
- Utilisation quotidienne par les personnes habilitées
- Accès limité aux besoins juridiques ou comptables
- Suppression ou anonymisation à l’échéance prévue
Suppression et preuve juridique
À la fin de la période applicable, l’organisation supprime les données ou les anonymise de façon irréversible. Une sauvegarde technique ne doit pas devenir un moyen de conserver indéfiniment des informations : les règles de restauration et d’effacement doivent également être définies.
Pour une entreprise fictive, la fermeture d’un compte client peut déclencher le retrait des accès commerciaux, tandis que les factures restent isolées pour répondre aux obligations comptables. Ce traitement différencié concilie limitation de conservation et preuve juridique.
Durée de conservation des données : repères par finalité
Le tableau fournit des repères usuels, mais il ne remplace pas l’analyse de chaque traitement. Le point de départ du délai, la nature des documents et les textes applicables peuvent modifier la durée retenue.
Durées courantes en entreprise
Les durées légales doivent être distinguées des recommandations de la CNIL et des choix internes justifiés. Pour les pièces comptables, l’article L.123-22 du Code de commerce prévoit dix ans de conservation ; pour les bulletins de paie, l’article L.3243-4 du Code du travail prévoit cinq ans.
| Finalité | Base active | Conservation ultérieure | Repère |
|---|---|---|---|
| Gestion du personnel | Durée de la relation d’emploi | Selon le document et l’obligation applicable | Bulletins de paie : cinq ans |
| Recrutement | Durée du processus | Jusqu’à deux ans après le dernier contact, selon le cadre CNIL | Information du candidat |
| Prospection | Durée de l’activité commerciale | Jusqu’à trois ans après le dernier contact actif, comme repère CNIL | Réexaminer l’inactivité |
| Comptabilité | Gestion de l’exercice comptable | Dix ans pour les pièces comptables | Code de commerce |
| Vidéoprotection | Consultation liée à la sécurité | Un mois au maximum, sauf procédure en cours | Code de la sécurité intérieure |
Les éléments à documenter par catégorie :
- Catégorie de données et finalité du traitement
- Point de départ du délai et durée retenue
- Fondement légal ou justification opérationnelle
- Action prévue à l’échéance et responsable désigné
Obligations légales et recommandations
Une durée inscrite dans une loi s’impose, tandis qu’une recommandation CNIL sert de référence pour apprécier la proportionnalité d’un choix. En l’absence de durée légale, l’organisation doit justifier sa propre règle et expliquer pourquoi elle reste nécessaire.
Selon la CNIL, la durée des prospects se calcule à partir du dernier contact pertinent, et non d’une simple présence dans un fichier. Un clic ou une réponse peut constituer un signal d’activité selon le contexte, mais la règle retenue doit être explicitée et appliquée de façon cohérente.
Registre RGPD et politique d’archivage : rendre les durées applicables
Des durées exactes sur le papier ne suffisent pas si les systèmes continuent d’accumuler des dossiers. Le registre prévu par l’article 30 du RGPD doit mentionner les délais envisagés ou les critères utilisés pour les déterminer.
Du registre aux outils métier
Pour chaque ligne du registre, rapprochez la finalité, les catégories de données et les durées de conservation. Si un traitement couvre plusieurs usages, distinguez-les plutôt que d’appliquer automatiquement la durée la plus longue à toutes les informations.
Les contrôles à organiser régulièrement :
- Comparer le registre aux données réellement détenues
- Valider les durées avec le DPO et les métiers concernés
- Configurer des purges dans le CRM, le SIRH et l’ERP
- Conserver une trace datée des contrôles et des corrections
Clauses d’une politique d’archivage
Une politique d’archivage décrit les responsabilités, les critères de passage entre phases et les méthodes de suppression. Elle précise aussi les exceptions, par exemple un contentieux en cours, ainsi que les personnes autorisées à suspendre une purge et la durée de cette suspension.
Dans une PME, une revue annuelle menée par le DPO, la direction juridique et la DSI peut révéler qu’un ancien fichier de candidatures n’a jamais été purgé. La correction ne consiste pas seulement à effacer ces données : il faut aussi comprendre pourquoi l’automatisme ou la consigne a échoué.
Une politique compréhensible, des accès limités et une purge vérifiable rapprochent les règles écrites de la pratique quotidienne. C’est cette cohérence qui soutient la conformité légale et rend l’archivage légal défendable lors d’un contrôle.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
