RGPD: Le cycle de vie des données personnelles

Une entreprise collecte et utilise chaque jour de nombreuses données personnelles, mais que deviennent ces données une fois qu’elles ne sont plus utilisées au quotidien ? Doivent-elles être supprimées immédiatement ? Peuvent-elles être conservées ? Et pendant combien de temps ?

Pour répondre à ces questions, il est utile de comprendre le cycle de vie des données personnelles.

Le cycle de vie d’une donnée personnelle désigne l’ensemble des étapes qu’elle peut traverser au cours de son existence, depuis sa collecte et son utilisation jusqu’à sa suppression ou son anonymisation.

Selon la finalité du traitement et les obligations applicables, une donnée peut être utilisée au quotidien, conservée pendant une période supplémentaire, archivée, puis finalement supprimée ou anonymisée. La conservation des données peut ainsi être organisée en trois phases principales :

1. La conservation en base active ;
2. L’archivage intermédiaire ;
3. L’archivage définitif.

Ces trois phases ne sont toutefois pas systématiques. Selon la nature des données, la finalité du traitement et les obligations applicables, certaines données peuvent passer directement de la base active à la suppression.

1. La base active : lorsque les données sont utilisées au quotidien

La base active correspond à la période pendant laquelle les données personnelles sont utilisées régulièrement par les services de l’entreprise pour réaliser la finalité prévue.

Par exemple :

• Les données d’un prospect sont conservées pour pouvoir répondre à ses demandes et assurer le suivi commercial.
• Les données d’un salarié sont utilisées pour gérer son contrat de travail et ses démarches administratives.
• Les données d’un client peuvent être utilisées pour gérer ses commandes, ses livraisons ou son service après-vente.

Pendant cette phase, les données doivent être accessibles uniquement aux personnes qui en ont besoin dans le cadre de leurs fonctions.

Tant que les données sont nécessaires à leur utilisation courante, elles restent donc dans la base active.

Cet article pourrait aussi vous intéresser : Comment déterminer la durée de conservation des données personnelles ?

2. L’archivage intermédiaire : lorsque les données ne sont plus utilisées au quotidien

Une fois que les données ne sont plus nécessaires à l’activité courante, elles ne doivent pas nécessairement être supprimées immédiatement. Dans certaines situations, l’entreprise peut avoir besoin de les conserver pendant une période supplémentaire. C’est le rôle de l’archivage intermédiaire.

Par exemple, certaines données peuvent devoir être conservées pour respecter une obligation légale ou une durée de conservation imposée par la réglementation, ainsi que pour pouvoir établir ou défendre un droit en justice.

Mais attention : archiver ne signifie pas simplement laisser les données dans la base active « au cas où ». Les données archivées doivent être séparées ou identifiées comme telles, avec un accès limité aux personnes qui en ont réellement besoin.

L’archivage intermédiaire n’est donc pas automatique : il doit être justifié par la situation et la finalité de la conservation.

3. L’archivage définitif : une situation particulière

La troisième phase est celle de l’archivage définitif.

Cette étape concerne principalement les organismes publics soumis aux règles du Code du patrimoine, notamment lorsque certains documents présentent un intérêt historique, scientifique ou patrimonial.

Pour une entreprise privée, cette phase est beaucoup moins fréquente.

Il ne faut donc pas considérer que toutes les données personnelles doivent nécessairement finir dans une archive définitive.

Que se passe-t-il à la fin de la période de conservation ?

À l’issue de la période pendant laquelle les données peuvent légalement et réellement être conservées, l’entreprise doit déterminer ce qu’il convient d’en faire.

Selon les situations, deux possibilités principales se présentent :

1. Supprimer les données lorsqu’elles n’ont plus de raison d’être conservées ;
2. Anonymiser les données, lorsque l’entreprise souhaite conserver certaines informations à des fins statistiques ou pour d’autres finalités compatibles avec l’anonymisation.

L’objectif est d’éviter de conserver indéfiniment des données personnelles qui ne sont plus nécessaires.

Cet article pourrait aussi vous intéresser : Droit à l’effacement : comment traiter les demandes de suppression de données ?

Un exemple concret : un ancien client

Prenons l’exemple d’une PME qui vend des produits en ligne.

Phase 1 — Base active

Pendant la relation commerciale, l’entreprise utilise les données du client pour traiter ses commandes, effectuer les livraisons, gérer les paiements et répondre à ses demandes. Les données sont alors utilisées dans le cadre de l’activité courante.

Phase 2 — Archivage intermédiaire

La relation commerciale prend fin.

Certaines données ne sont plus nécessaires au quotidien, mais l’entreprise peut devoir conserver certains documents pendant une durée supplémentaire, notamment pour respecter une obligation légale ou pouvoir répondre à une éventuelle contestation. Ces données peuvent alors être placées en archivage intermédiaire, avec un accès limité.

Phase 3 — Suppression

Lorsque la durée de conservation applicable est arrivée à son terme et qu’aucune autre raison ne justifie la conservation des données, celles-ci doivent être supprimées ou, lorsque cela est pertinent, anonymisées.

Le cycle de vie des données n’est donc pas simplement : « je collecte → je conserve ». Il s’agit plutôt de déterminer pourquoi les données sont conservées, qui doit y accéder, pendant combien de temps et ce qui doit leur arriver à la fin de cette période.

Comment gérer concrètement le cycle de vie des données dans votre entreprise ?

Pour chaque traitement, posez-vous quatre questions :

1. Pourquoi conservons-nous ces données ?
   La réponse à cette question permet d’identifier clairement la finalité du traitement.
2. Les données sont-elles encore utilisées au quotidien ?
   Si oui, elles peuvent rester dans la base active.
3. Si elles ne sont plus utilisées, devons-nous encore les conserver ?
   À cette étape, vérifiez les obligations légales prévues par la réglementation applicable à votre activité, consultez les délais de prescription prévus par la loi en cas de contestation et évaluez, le cas échéant, les besoins d’archivage.
4. Que se passe-t-il à la fin de la durée de conservation ?
   Prévoyez leur suppression ou leur anonymisation, selon les cas.

Pourquoi cette organisation est-elle importante ?

Une bonne gestion du cycle de vie permet notamment de :

• réduire les risques de sécurité en évitant de conserver inutilement des données ;
• mieux respecter le principe de limitation de la conservation prévu par l’article 5 du RGPD ;
• limiter les accès aux seules personnes qui en ont besoin ;
• éviter l’accumulation de données obsolètes dans les systèmes d’information ;
• documenter les durées de conservation retenues pour chaque traitement.

La gestion du cycle de vie des données doit donc être intégrée dans la politique de conservation des données et, plus largement, dans la gouvernance des données de l’entreprise.

En résumé

Le cycle de vie des données personnelles peut être résumé ainsi : 

Base active (collecte et utilisation) → Archivage intermédiaire si nécessaire → Suppression ou anonymisation.

L’archivage intermédiaire et l’archivage définitif ne sont pas obligatoires pour toutes les données. Leur nécessité doit être évaluée au cas par cas.

Une entreprise ne doit donc ni tout conserver indéfiniment, ni tout supprimer immédiatement. Le bon réflexe consiste à déterminer, pour chaque catégorie de données, la durée de conservation appropriée, les conditions d’accès et le sort des données à la fin de cette durée.

Bien gérer les données, c’est aussi savoir quand les conserver et quand s’en séparer.