Garder des informations sur une personne n’est pas un acte neutre ni purement technique. Tant qu’une organisation conserve des noms, des historiques, des identifiants ou d’autres données liés à quelqu’un, elle maintient une capacité de connaître, de décider ou d’agir sur cette personne. La question importante n’est pas seulement de savoir si elle pouvait collecter ces données, mais à quelles fins elle a besoin de continuer à les garder et jusqu’à quand.
La rétention des données personnelles est la conservation d’informations relatives à une personne identifiée ou identifiable pendant une partie de son cycle de traitement. Le stockage constitue déjà une forme de traitement, même si personne ne consulte la donnée au quotidien. Cette définition apparaît clairement dans le cadre européen, mais l’idée plus large — limiter la conservation selon une finalité légitime — fait également partie des standards interaméricains promus par l’Organisation des États américains.
Idée clé : Une donnée qui n’est plus utilisée activement n’a pas cessé d’exister ni d’engager la responsabilité de qui en assure la garde.
Le délai commence par la finalité
Il n’existe pas d’horloge unique valable pour toutes les données. Un enregistrement nécessaire pour fournir un service remplit une fonction différente d’un autre conservé pour répondre à une obligation légale ou appuyer une enquête d’intérêt public. C’est pourquoi un délai responsable ne devrait découler ni de l’habitude ni du souhait de tout garder « au cas où ».
Le raisonnement commence par une finalité concrète. À partir de celle-ci, l’organisation doit se demander si elle a encore besoin d’identifier la personne, combien de temps persiste ce besoin et quand elle procédera à une nouvelle vérification. La séquence peut se résumer ainsi :
- Finalité : quel objectif légitime explique la conservation ?
- Nécessité : est-il indispensable de maintenir la donnée identifiable pour atteindre cet objectif ?
- Délai : quelle durée peut être justifiée par cette nécessité et par la norme applicable ?
- Révision : quel fait ou quelle date oblige à réexaminer la conservation ?
- Issue : que se passera-t-il lorsque le délai expirera ou que la nécessité disparaîtra ?
Le guide de base du Comité européen de la protection des données recommande d’établir des périodes de conservation par finalité et des procédures pour effacer ou anonymiser lorsque le besoin cesse. Dans le domaine interaméricain, le Guide législatif de l’OEA sur la protection des données personnelles associe également l’utilisation et la rétention à des fins légitimes, à des attentes raisonnables et à la législation nationale.
Ces deux références offrent des principes utiles, non un tableau universel de délais. La durée concrète peut varier selon le pays, le secteur, le type de document et les obligations applicables. Une politique sérieuse doit expliquer ces différences plutôt que de les dissimuler sous des formules vagues telles que « pendant la durée nécessaire ».
Conserver davantage ne signifie pas toujours mieux protéger
L’accumulation peut sembler être une forme de prudence : la donnée servira peut-être à l’avenir, permettra de reconstituer une décision ou facilitera une défense. Il existe parfois une raison valable de la conserver. Mais garder des informations plus longtemps élargit également l’exposition à des accès non autorisés, à des pertes ou à des usages incompatibles avec l’objectif d’origine.
Ici apparaît une question de responsabilité et de pouvoir. L’entité qui a la garde des données possède un avantage informationnel sur les personnes qu’elles concernent. Établir des limites temporelles claires réduit cette asymétrie et rend possible la reddition de comptes : cela oblige à expliquer ce qui est conservé, pour quel motif et sous quels contrôles. Cela renforce également le contrôle sur les données personnelles, sans confondre ce contrôle avec une réponse absolue pour tous les cas.
Idée clé : La rétention légitime ne se justifie pas par la possibilité abstraite qu’une donnée s’avère utile un jour, mais par une nécessité actuelle et explicable.
Toutes les destinations de la donnée ne sont pas identiques
Au terme de l’utilisation ordinaire, il ne convient pas toujours d’exécuter la même action. Il est utile de distinguer plusieurs possibilités souvent confondues dans le langage courant.
Conservation active et archivage
Dans la conservation active, la donnée demeure disponible pour les opérations habituelles. Archiver peut la séparer de ces systèmes ou la réserver à une autre finalité, mais la déplacer vers une archive n’équivaut pas à cesser de la conserver. L’archivage nécessite sa propre justification, des règles d’accès, des garanties et un critère de révision.
Certains cadres juridiques reconnaissent des traitements d’archivage à des fins d’intérêt public, de recherche ou de statistique sous des conditions spécifiques. Il ne s’agit pas d’une autorisation générale permettant de transférer d’anciennes informations dans un autre dossier et de les oublier.
Limitation ou blocage et suppression
Restreindre — ou bloquer, selon la terminologie de la norme applicable — signifie limiter les utilisations ou les accès ultérieurs tant que la donnée demeure stockée. Cela peut être approprié, par exemple, lorsqu’un enregistrement n’est plus nécessaire à l’activité quotidienne, mais doit être temporairement préservé en vertu d’une obligation vérifiable ou d’une réclamation.
La suppression vise à retirer la donnée des systèmes concernés par la mesure. Par conséquent, « mis à l’écart et normalement inutilisable » ne signifie pas « disparu ». La manière d’appliquer la suppression aux sauvegardes et aux systèmes distribués exige des règles techniques et juridiques propres ; elle ne doit pas être considérée comme réglée par une simple étiquette.
Effacement et anonymisation
L’effacement et l’anonymisation constituent des voies différentes. L’effacement vise à faire disparaître la donnée. L’anonymisation effective transforme l’information de manière à ce que la personne ne soit plus raisonnablement identifiable, compte tenu du contexte et des moyens disponibles.
Supprimer le nom ne garantit pas à lui seul l’anonymat. D’autres attributs peuvent permettre de réidentifier une personne. Il ne faut pas non plus confondre l’anonymisation avec la pseudonymisation : cette dernière sépare ou remplace des identifiants, mais peut permettre d’attribuer de nouveau l’information à l’aide de données supplémentaires. Le Règlement général sur la protection des données de l’Union européenne sert de source conceptuelle pour ces distinctions, même si ses obligations ne s’appliquent pas automatiquement dans tous les pays.
Idée clé : Archiver, restreindre, effacer et anonymiser ne sont pas des termes interchangeables. Chaque issue conserve ou modifie d’une manière différente la possibilité d’identifier et d’utiliser l’information.
Quand une conservation plus longue peut-elle être justifiée ?
La fin de l’utilisation active n’impose pas toujours un effacement immédiat. Il peut exister des obligations légales de conservation, la nécessité de prouver des transactions, la défense face à des réclamations ou des finalités légitimes d’archivage, de recherche et de statistique. La réponse dépend de la juridiction et du contexte.
Reconnaître des exceptions ne transforme pas la rétention indéfinie en une bonne pratique. Une exception responsable devrait reposer sur une base vérifiable, limiter les données conservées, séparer l’accès ordinaire, définir qui peut les utiliser et fixer une date ou une condition de révision. Si l’organisation ne peut pas expliquer quand l’exception prend fin, le délai court le risque de devenir permanent par inertie.
La même prudence s’applique à l’intérêt public. Préserver des informations à des fins de mémoire, de recherche ou de statistiques peut être précieux, mais exige de distinguer cet objectif de l’usage commercial ou administratif d’origine et d’appliquer des garanties proportionnées au risque.
Comment évaluer une politique de rétention
Une personne n’a pas besoin de maîtriser une loi spécifique pour déceler les faiblesses fondamentales d’une politique. Elle peut commencer par des questions simples :
- La politique attribue-t-elle une finalité concrète à chaque catégorie de données ?
- Explique-t-elle pourquoi il est nécessaire de maintenir la possibilité d’identifier la personne ?
- Définit-elle des délais ou des critères vérifiables, plutôt que des formulations vagues ?
- Distingue-t-elle l’utilisation active de l’archivage et de la limitation ?
- Indique-t-elle ce qui advient à l’expiration du délai : effacement, anonymisation effective ou autre issue justifiée ?
- Identifie-t-elle les exceptions légales et restreint-elle les personnes autorisées à y accéder pendant celles-ci ?
- Prévoit-elle des révisions périodiques ainsi que des responsables pour les exécuter ?
Ces questions ne remplacent pas la consultation de la législation ni les conseils d’un professionnel. Elles permettent néanmoins de reconnaître le principe qui devrait ordonner tout système responsable : chaque donnée conservée nécessite une raison actuelle, une limite révisable et une issue définie. Lorsque ces éléments font défaut, l’accumulation cesse d’être une nécessité démontrée pour devenir un pouvoir informationnel sans date d’expiration.
Partager