La CNIL a publié un guide sur la durée de conservation des données personnelles, en collaboration avec le SIAF. Ce guide précise que les données ne peuvent être conservées indéfiniment et doivent être limitées en fonction de l’objectif de leur collecte, conformément au RGPD. Le cycle de vie des données personnelles comprend trois phases : la conservation en base active, l’archivage intermédiaire et l’archivage définitif. La durée de conservation doit être déterminée par le responsable de traitement, qui doit également évaluer la nécessité de chaque phase pour chaque traitement, en tenant compte des obligations légales.. Consulter la source documentaire.

Pourquoi est-il important de limiter la conservation des données personnelles ?

La limitation de la conservation des données personnelles est essentielle pour plusieurs raisons. Tout d’abord, cela respecte les principes fondamentaux du RGPD (Règlement Général sur la Protection des Données) et de la loi Informatique et Libertés, qui stipulent que les données ne doivent pas être conservées indéfiniment.

En limitant la durée de conservation, les organisations réduisent également le risque de violation de données. Plus les données sont conservées longtemps, plus elles sont susceptibles d’être exposées à des cyberattaques ou à des accès non autorisés.

De plus, cela permet de garantir que les données restent pertinentes et à jour. En effet, des données obsolètes peuvent mener à des décisions erronées, tant pour les entreprises que pour les individus concernés.

Quelles sont les phases du cycle de vie des données personnelles ?

Le cycle de vie des données personnelles se compose de trois phases distinctes : la conservation en base active, l’archivage intermédiaire et l’archivage définitif.

La première phase, la conservation en base active, concerne la durée nécessaire pour atteindre l’objectif de traitement. Par exemple, les données d’un candidat non retenu peuvent être conservées pendant deux ans maximum par le service des ressources humaines.

Ensuite, l’archivage intermédiaire intervient lorsque les données ne sont plus utilisées pour l’objectif initial, mais qu’elles conservent un intérêt administratif. Par exemple, les données de facturation doivent être conservées pendant dix ans, même si la personne n’est plus cliente.

Enfin, l’archivage définitif concerne les données qui, en raison de leur valeur, sont conservées de manière pérenne. Cette phase n’est pas systématique et doit être évaluée au cas par cas.

Comment déterminer la durée de conservation des données ?

La détermination de la durée de conservation des données repose sur une analyse de conformité que le responsable de traitement doit effectuer. Dans certains cas, la réglementation fixe explicitement cette durée. Par exemple, l’article L3243-4 du Code du travail impose la conservation des bulletins de paie pendant cinq ans.

Cependant, pour de nombreux traitements, aucune durée de conservation n’est spécifiée par la loi. Dans ces situations, il incombe au responsable de déterminer la durée appropriée en fonction de la finalité du traitement.

Cette évaluation doit prendre en compte divers facteurs, tels que les obligations légales, les besoins administratifs et les droits des personnes concernées. Une bonne pratique consiste à documenter cette analyse pour assurer la transparence et la conformité.