Les durées de conservation sont définies par le responsable du traitement ou par les textes législatifs ?
Les données doivent être conservées le minimum nécessaire vis-à-vis des finalités du traitement. Si une norme juridique impose une durée de conservation, celle-ci doit être respectée. En cas contraire, le responsable des traitements doit déterminer pendant combien de temps il est nécessaire de conserver le fichier.
Par exemple :
- Les données relatives à la gestion de la paie peuvent être conservées pendant 5 ans (obligation définie par un texte législatif : Article L3243-4 du Code du travail)
- Les données relatives à la liste électorale la durée de conservation est maximum 3 ans (obligation définie par un texte législatif : Dispense n°12 délibération n°2008-116 du 20 mai 2008)
- Les données relatives au Plan départemental d’alerte et d’urgence sont conservées tant que la personne concernée ou son représentant légal ne manifeste pas son souhait d’être désinscrite du fichier. (Définie par le responsable de traitement en fonction des besoins du traitement)
| Référence |
| Art 5.1.e du RGPD Les données à caractère personnel doivent être : [...] conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; [...] |
Quelle est la logique sous-jacente des durées de conservation ?
Il y a globalement deux critères qui déterminent la durée de conservation des données personnelles, dans certains cas la durée doit être liée aux finalités de traitement définies par le responsable de traitement, c’est à dire que si la finalité a été atteinte la donnée n’est plus nécessaire.
Dans d’autres cas, la donnée pourrait être conservée de façon indéfinie mais le législateur, en fonction de l’intérêt de la personne concernée prévoit des délais de conservation différents, par exemple :
- Les données issues d’un système de vidéosurveillance peuvent être conservées un maximum d’un mois ;
- Les délais de traitement des documents RH, pour produire les bulletins de paie, ne seront pas conservés plus de 5 ans ;
- Les délais de traitement des données de santé relatives aux dossiers médicaux, ne seront pas conservés plus de 10 ans ;
On observe que si le traitement est fait dans l’intérêt de la personne concernée, le législateur impose une durée de conservation plus longue car cela bénéficie à cette personne. Au contraire, si le traitement est réalisé dans l’intérêt de l’organisme, le législateur prévoit une courte durée pour conserver les données.
Où trouver des exemples de durée de conservation ?
Vous pouvez trouver un référentiel de la CNIL qui prévoit des durées de conservation précises, sur la page ressources de Super Chef.