Billet actualisé
Le RGPD encadre la conservation des données à caractère personnel : elles ne peuvent pas être conservées indéfiniment et leur durée de conservation doit être déterminée en fonction de la finalité du traitement. Pour autant, la fin de leur utilisation courante ne signifie pas nécessairement qu’elles doivent être immédiatement supprimées. Certaines données peuvent encore devoir être conservées pour répondre à une obligation légale, respecter un délai de prescription ou faire valoir un droit. L’archivage électronique permet alors de conserver ces données dans un environnement adapté, avec des accès et des mesures de sécurité spécifiques.
RGPD : quelles règles pour la conservation des données personnelles ?
Le principe de limitation de la conservation, prévu par l’article 5 du RGPD, impose de ne pas conserver les données personnelles plus longtemps que nécessaire au regard de la finalité pour laquelle elles sont traitées. Le responsable de traitement doit donc déterminer une durée de conservation adaptée à chaque traitement et pouvoir justifier son choix. Cette durée peut être fixée par un texte légal ou réglementaire. Lorsqu’aucune durée précise n’est prévue, elle doit être déterminée en fonction de la finalité du traitement et du contexte dans lequel les données sont utilisées. La CNIL met à disposition des référentiels permettant d’identifier les durées applicables à certains traitements et secteurs. La conservation des données doit également être sécurisée. Le RGPD impose la mise en place de mesures techniques et organisationnelles adaptées aux risques, notamment pour prévenir la destruction, la perte, l’altération ou l’accès non autorisé aux données.
Que deviennent les données lorsqu’elles ne sont plus utilisées au quotidien ?
La fin de l’utilisation courante d’une donnée ne signifie pas nécessairement sa suppression immédiate. La CNIL distingue plusieurs phases dans son cycle de vie : la base active, l’archivage intermédiaire et, dans certains cas, l’archivage définitif. L’archivage intermédiaire concerne les données qui ne sont plus nécessaires à l’activité courante mais qui doivent encore être conservées, par exemple pour respecter une obligation légale ou parce qu’elles présentent un intérêt administratif ou probatoire en cas de contentieux. Dans ce cas, les données archivées doivent être séparées de la base active, physiquement ou logiquement, et leur accès doit être limité aux personnes qui en ont besoin. La consultation des données archivées doit également pouvoir être tracée. L’archivage ne doit donc pas conduire à conserver systématiquement toutes les données. Pour chaque catégorie de données, il convient de déterminer la durée applicable, sa justification et le sort à appliquer à l’échéance : suppression, anonymisation ou, lorsque cela est justifié, conservation dans un autre cadre.
Quelles mesures de sécurité appliquer aux données personnelles archivées ?
Les données personnelles conservées dans un système d’archivage restent soumises aux exigences de sécurité du RGPD. Les mesures doivent être adaptées aux risques et à la nature des données traitées.
Pour un archivage électronique, cela implique notamment de maîtriser :
- les habilitations et les droits d’accès, afin de limiter la consultation des archives aux personnes autorisées ;
- la confidentialité, notamment lors des transferts et de la conservation des données ;
- l’intégrité des documents, afin de détecter toute modification non autorisée ;
- la traçabilité, pour conserver la preuve des opérations réalisées sur les archives ;
- la disponibilité et la résilience du système, afin de pouvoir retrouver les documents lorsqu’ils sont nécessaires.
Le chiffrement ou les mécanismes d’authentification peuvent faire partie des mesures mises en œuvre selon le niveau de risque. Le RGPD prévoit une approche fondée sur le risque plutôt qu’une liste de mesures identiques pour tous les traitements.
Comment un SAE facilite-t-il la conformité au RGPD ?
Un système d’archivage électronique ne suffit pas, à lui seul, à rendre une organisation conforme au RGPD. La conformité repose d’abord sur l’identification des traitements, la définition des finalités et des durées de conservation, ainsi que sur les mesures organisationnelles et techniques mises en place.
En revanche, un SAE peut faciliter la mise en œuvre et la traçabilité de ces règles. Il peut notamment permettre de :
- définir des durées de conservation adaptées aux catégories d’archives ;
- associer une justification à la durée retenue ;
- restreindre les accès aux documents archivés ;
- tracer les consultations et les opérations réalisées sur les archives ;
- préserver l’intégrité des documents ;
- suivre les échéances de conservation ;
- organiser la validation et la destruction des archives arrivées à échéance ;
- conserver une trace des destructions effectuées.
La gestion du cycle de vie des archives permet ainsi de traduire les règles de conservation définies par l’organisation en processus opérationnels et traçables. L’enjeu est donc de faire correspondre les exigences du RGPD avec les règles de gouvernance documentaire de l’organisation. Le SAE constitue dans ce cadre un outil permettant de mieux maîtriser la conservation, la sécurité et le sort final des documents contenant des données personnelles.
FAQ
Le RGPD interdit-il l’archivage des données personnelles ?
Non. Le RGPD encadre leur conservation, mais permet de conserver certaines données au-delà de leur utilisation courante lorsqu’une obligation légale ou un intérêt administratif ou probatoire le justifie, dans des conditions d’accès adaptées.
Le RGPD fixe-t-il une durée de conservation pour toutes les données ?
Non. Certaines durées sont imposées par des textes, tandis que d’autres doivent être déterminées par le responsable de traitement en fonction de la finalité du traitement.
Les données archivées peuvent-elles rester accessibles à tous les collaborateurs ?
Non. Lorsqu’un archivage intermédiaire est justifié, les données doivent être séparées de la base active et leur accès limité aux personnes habilitées.
Sources de référence