Faîtes appel à un spécialiste, Faîtes appel à Destrudata
Nous contacterMardi 17 novembre 2020
Avant de procéder à la destruction de documents confidentiels, on peut se demander si les données qu’ils renferment peuvent bénéficier d’une durée de conservation supplémentaire, notamment si on les met à jour. Or, le Règlement Européen sur la Protection des Données (RGPD) fixe une limitation à ce sujet. En effet, en principe, les données ne peuvent être conservées au-delà du temps de réalisation de la finalité du traitement.
Le principe de limitation de la durée de conservation des données
« La durée de conservation des données doit être limitée au strict minimum », voilà ce que dit le RGPD. Il faut ici comprendre qu’une fois la finalité du traitement pour lequel les données ont été collectées a été réalisée, la conservation des données n’a plus lieu d’être, ou n’est plus justifiée.
Or, selon les secteurs d’activité, cette définition ne s’applique que lorsqu’aucune durée n’est fixée par une loi, un règlement ou une recommandation de la CNIL. Le temps de réalisation de la relation commerciale (ou temps de l’opération) ne fait donc foi qu’en cas d’imprécision quant à la durée de conservation des données.
C’est pourquoi, en fonction de la profession que vous exercez, il est fortement recommandé de vérifier si des dispositions légales ou réglementaires précisant les délais applicables sont en vigueur.
Ce que dit la CNIL en collaboration avec le SIAF
Dans un guide réalisé en collaboration avec le Service Interministériel des Archives de France (SIAF) s’adressant aux responsables de traitement des données des administrations et entreprises, la CNIL décrit les trois étapes du cycle de vie d’une donnée personnelle.
Dans un premier temps, on a l’utilisation courante (la durée nécessaire à la réalisation de l’objectif qui a justifié la collecte des données). Vient ensuite l’archivage intermédiaire : à ce stade, les données ne sont plus utilisées pour atteindre l’objectif fixé mais présentent tout de même un intérêt administratif pour l’organisme (gestion des litiges, des contentieux, etc.).
Enfin, l’archivage définitif permet à certaines informations de valeur d’être archivées, mais les traitements alors mis en œuvre sont réalisés à des fins archivistiques et ne concernent majoritairement que le secteur public.
Les données ne peuvent être mises à jour une fois devenues obsolètes
Mettre à jour une donnée dont la conservation n’est plus justifiée est une opération inutile. En effet, la CNIL précise que lorsque les données ne sont plus utiles pour atteindre l’objectif opérationnel fixé, elles doivent être détruites, ou archivées dans le cas cité plus haut.
Reste qu’en-dehors de l’hypothèse d’un archivage définitif — rappelons que cette opération est soumise à des conditions particulièrement strictes —, le responsable du traitement qui ne veut pas effacer telle ou telle donnée a la possibilité de l’anonymiser entre la phase d’utilisation courante et celle d’archivage intermédiaire, ce qui revient à rendre impossible toute tentative de ré-identification de la personne concernée par les données.
Une fois la donnée déclarée « obsolète », il faudra donc passer par la case destruction : Supprimez les données obsolètes si elles sont numériques et détruisez les archives si elles sont papier. De nombreux services proposent de détruire vos archives papier de manière sécurisée et confidentielle.
Il existe même des services de destruction d’archives régulière où des conteneurs sont installés dans vos locaux et prélevés périodiquement par un agent de destruction confidentielle. Ainsi, le processus est automatique et sans besoin d’intervention de votre part.
Lire aussi :