Données à caractère personnel : conservation et suppression

Données à caractère personnel et traitement de ces données 

Avant d’aller plus loin, revenons tout d’abord sur la notion de donnée à caractère personnel. La Commission nationale de l'informatique et des libertés (CNIL) de France la définit comme :

Toute information susceptible de permettre d’identifier, directement ou indirectement, une personne physique.

Il peut par exemple s’agir, d’un nom, d’un numéro de téléphone, d’une adresse IP ou encore d’un numéro client. 

Le traitement de ces données, c’est-à-dire, leur collecte et leur utilisation, est réglementé par la loi Informatique et Libertés du 6 janvier 1978 et par le Règlement Général sur la Protection des Données (RGPD), entré en vigueur le 25 mai 2018. Parmi les principes qu’ils contiennent, on peut notamment retrouver celui de la limitation de la durée de conservation.

En effet, chaque organisme ou entreprise qui traite ce type de donnée est tenue de mettre en place les mesures nécessaires afin de gérer les données personnelles traitées et leur durée de conservation. 

L’article 6 5° de la loi Informatique et Libertés dispose que les données :

Sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.

L’article 5 du RGPD énonce quant à lui plusieurs principes, notamment celui qui impose à chaque responsable de traitement de données personnelles de fixer une durée de conservation logique et justifiée. Il est impossible de les conserver indéfiniment, sans limitation de durée, sauf exception. 

Ce principe s'articule avec le régime juridique des archives publiques. L’article L211-1 du Code du patrimoine définit les archives comme :

L'ensemble des documents, y compris les données, quels que soient leur date, leur lieu de conservation, leur forme et leur support, produits ou reçus par toute personne physique ou morale et par tout service ou organisme public ou privé dans l'exercice de leur activité.

Leur conversation est quant à elle régie par les articles L 211-1 et suivants du Code du Patrimoine.

Le cycle de vie d’une donnée à caractère personnel

Le principe est que ces données doivent être effacées dès que l’objectif du traitement est atteint. Toutefois, une donnée peut avoir plusieurs utilités et n’est donc pas systématiquement effacée dès la fin de la première étape, tout dépend de la situation.

Au total, trois phases peuvent être identifiées durant le cycle de vie d’une donnée à caractère personnel. En effet, une donnée peut avoir plusieurs utilités successives :

1. La conservation en base active

   Rappelons tout d’abord que tout traitement de données à caractère personnel doit avoir une finalité bien précise permettant de le justifier. Cette étape correspond à la durée nécessaire à la réalisation de cet objectif.

2. L’archivage intermédiaire

   Ici, les données ne sont plus utilisées dans le but d’atteindre la finalité établie dès le départ, mais plutôt car elles présentent un tout autre intérêt administratif pour l'organisme ou l’entreprise, ou bien, car elles doivent être conservées pour répondre à une obligation légale.

   C’est le cas des données de facturation qui doivent être gardées au minimum dix ans, comme l’indique le Code de commerce.

   Dans ce cas, elles peuvent être consultées ponctuellement, sur motif, et seulement par des personnes habilitées.

3. L'archivage définitif

   C’est un cas beaucoup plus rare, mais qui arrive : certaines données sont archivées définitivement, en raison de leur valeur et de leur intérêt. 

La conservation en base active est une étape inévitable. En revanche, les deux autres étapes ne sont pas mises en place de manière systématique, l’évaluation se fait au cas par cas. 

La durée de conservation des données à caractère personnelle

Mais alors, quelle est la durée de conservation en vigueur ? Et bien, tout dépend de la situation. Il arrive que cette durée soit fixée par les textes comme par exemple : 

• Les dispositions légales ou réglementaires comme le Code de la santé, du travail ou de la sécurité intérieure. Des articles imposent des durées minimales ou maximales de conservation. C'est le cas de l’article L3243-4 du Code du travail qui impose à l’employeur de conserver un double du bulletin de paie du salarié pendant une durée minimale de 5 ans ou de l’article L 252-3 du code la sécurité intérieure limitant la conservation des images de vidéo protection à un mois ;
• Les délibérations de la CNIL (Commission nationale de l'informatique et des libertés).

Cependant, pour de nombreux traitements de données, la durée de conservation n’est fixée par aucune source. Par conséquent, il revient au responsable du traitement de l’établir en fonction de sa finalité.

La suppression des données à caractère personnel sur demande 

Le RGPD donne la possibilité aux personnes de demander la suppression des données les concernant (le droit à l’effacement). Les responsables du traitement de ces données n’ont d’autre choix que d’accepter, à l’exception des situations suivantes :

• les données en question sont indispensables à l’exercice du droit à la liberté d’expression ;
• une obligation légale impose de les conserver ;
• pour des raisons d’intérêt public.

Par exemple, prenons le cas d’une entreprise qui dirige un journal en ligne. Un article est publié et concerne un homme politique qui a blanchi de l’argent. Suite à cette parution, ce dernier demande sa suppression, car des données à caractère personnel à son sujet ont été traitées. Toutefois, étant utilisées pour exercer un droit à la liberté d’expression, l’entité n’est en principe pas dans l’obligation de les effacer. Il est toutefois nécessaire de se référer à la législation nationale en vigueur.

Sanctions encourues en cas de non-respect

En cas de non-respect du principe de la limitation de la durée de conservation des données à caractère personnel, l’article 83 5. du RGPD prévoit une amende pouvant s’élever jusqu’à 20 000 000 euros ou, s’il s’agit d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent.

Des contrôles sont réalisés par la Commission nationale de l'informatique et des libertés (CNIL) durant lesquels ces durées sont vérifiées. Les manquements les plus fréquents sont : le fait de ne pas avoir fixé de durée de conservation des données, des durées établies trop excessives ou l’absence de mécanisme de purge afin de les faire disparaître.

Exemples de non-respect du principe de limitation de la durée de conservation

• Dans une délibération du 20 juillet 2021, la Commission nationale de l'informatique et des libertés (CNIL) a sanctionné la société de groupe d'assurance mutuelle AG2R LA MONDIALE à une amende de 1 750 000 euros pour avoir manqué aux obligations mises en place par le RGPD relatives aux durées de conservation et à l’information des personnes. En l’espèce, la société conservait les données de millions de personnes pendant une durée jugée excessive et ne se conformait pas aux obligations d’information dans le cadre de campagnes de ses démarchages téléphoniques.
• Autre affaire : la Commission nationale de l'informatique et des libertés a retenu plusieurs manquements au RGPD à l’encontre de La Société nouvelle de l’annuaire français. On retrouve notamment un manquement à l’obligation de respecter les demandes de rectification et d’effacement des données, de mettre en œuvre un registre des activités de traitement et de coopérer avec la Commission. Une amende de 3000 euros a donc été proclamée à son encontre. Pour fixer son montant, la taille de la société ainsi que sa situation financière ont été prises en compte.
• Et enfin, autre décision et non des moindres : le 16 juillet 2021, la Commission Nationale pour la Protection des Données luxembourgeoise, l’équivalent de la Commission nationale de l'informatique et des libertés, a condamné la société Amazon Europe Core au paiement d’une amende d’un montant de 746 000 000 euros. C'est une décision inédite dans le secteur. En effet, la société recourrait au traitement de données personnelles sans base légale dans le but de réaliser des analyses comportementales ainsi qu’un ciblage publicitaire.

Comme nous avons pu le constater, la conservation et la suppression des données personnelles sont des principes qui ne sont pas pris à la légère et qu’il est nécessaire de respecter scrupuleusement. À défaut, de lourdes sanctions peuvent être prononcées.