Gérer les durées de conservation des documents comportant des données à caractère personnel.

Le 13 février dernier, l’Assemblée nationale adoptait en première lecture le projet de loi appliquant le Règlement européen sur la protection des données personnelles (RGPD).

La date de mise en application en France s’approchant (mai 2018), il est temps de se pencher sur quelques points spécifiques du RGPD, parmi lesquels la gestion des durées de conservation des documents comportant des données à caractère personnel.

Le lecteur pourrait se trouver désorienté devant la masse d’informations parfois contradictoires parues depuis l’adoption du RGPD par le Parlement européen : tout conserver dans une boîte noire, tout détruire, ne détruire qu’une partie mais en justifiant sa destruction, conserver un morceau ou l’on sait qu’il n’y a aucune donnée personnelle….

Pas de panique, prenez un carré de chocolat ou une bonne tasse de thé, et revenons à l’essentiel.

Quel type de conservation pour quel moment du cycle de vie ?

Un document produit par une entreprise ou un service public est conservé :

• D’abord pour des raisons d’usage (réglementaires, continuité des affaires, justification ou protection de droit…)
• puis, potentiellement dans un second temps, à des fins historiques.

Certains documents produits par les entreprises ou les services publics comportent, ou font usage de données à caractère personnel.

Le RGPD évoque ainsi :

• la conservation des données pour traitement, qui correspond à la conservation pour des raisons d’usage,
• la conservation pour d’autres fins que la fin première de la collecte des données, notamment à des fins archivistiques, statistiques, historiques, dans l’intérêt du public ou pour la recherche.

L’article 5 du RGPD précise que, lorsque les données ont été collectées de manière licite  :

• la durée de conservation des données à caractère personnel ne doit pas excéder la durée de leur traitement (ou ce pour quoi elles ont été collectées).
• Mais, qu’un traitement ultérieur, à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique, ou des fins statistiques n’est pas considéré comme incompatible avec des finalités initiales.

Ainsi, le responsable du traitement aura la possibilité de conserver des données à caractère personnel à l’issue de leur traitement initial, si les finalités secondaires sont d'ordre archivistique, scientifique, historique ou statistique. Sinon, seul un traitement d'anonymisation irréversible pourra permettre de conserver les données à l'issue de leur traitement initial.

Quand décide-t-on de détruire ?

La destruction des données intervient, lorsque la collecte a été réalisée de manière licite, à l'initiative du responsable du traitement, comme à celle de la personne visée par le traitement :

• lorsque le traitement initial a été effectué
• ou à tout moment du cycle de vie du traitement, lorsque la personne concernée souhaite exercer son droit à l'effacement (ou droit à l'oubli), prévu par l'article 17.

Ce droit à l'effacement est cependant limité si le responsable de traitement justifie que le traitement des données est nécessaire pour respecter entre autres une obligation légale, une mission d'intérêt public, ou pour des motifs d'intérêt publics dans le domaine de la santé, ou encore, à l'issue du traitement initial, si les finalités de traitement sont d'ordre archivistique, scientifique, historique, ou statistiques, ou nécessaires à la défense de droits en justice (paragraphe 3 de l'article 17 du RGPD).

Fixer les règles de conservation et les faire connaître : vers une plus grande transparence.

Le RGPD fixe un cadre et des définitions, mais également des outils obligatoires pour mieux encadrer le cycle de vie, de la collecte à l'effacement, des données à caractère personnel.

L'article 30 détaille ce qu'un registre des activités de traitement doit comporter, afin d'établir et de tenir à jour le détail des traitements effectués sous la responsabilité du responsable du traitement. Ce registre est le document qui prouve, lors d'un contrôle de la CNIL, que la conformité avec le règlement est bien suivie par l'entité.[1]