RGPD et archivage documentaire : ce qu'implique vraiment la conformité
Durées de conservation, sécurité, droits des personnes : ce que le RGPD impose vraiment à votre archivage documentaire, et comment vous y conformer.
Beaucoup d'organisations pensent que le RGPD concerne leurs fichiers clients et leur site web. Il concerne tout autant leurs archives. Dossiers du personnel, contrats, justificatifs d'identité, échanges avec des clients : chaque document qui contient une donnée personnelle entre dans son champ.
Or l'archivage pose un problème spécifique. La loi oblige à conserver certains documents pendant des années, alors que le RGPD interdit de garder des données personnelles plus longtemps que nécessaire. Les deux exigences sont conciliables, à condition d'organiser son archivage avec méthode.
Les 5 principes du RGPD qui s'appliquent à vos archives
Le règlement général sur la protection des données (RGPD) fixe des principes qui s'appliquent à tout traitement, archivage compris.
- Limitation de la conservation (article 5) : les données ne sont gardées que le temps nécessaire à la finalité pour laquelle elles ont été collectées, ou pour respecter une obligation légale.
- Minimisation : on n'archive que ce qui est utile. Un dossier complet n'a pas toujours besoin d'être conservé dans son intégralité.
- Intégrité et confidentialité : les archives doivent être protégées contre la perte, l'altération et l'accès non autorisé.
- Responsabilité : l'organisation doit pouvoir démontrer sa conformité, documents à l'appui.
- Sécurité (article 32) : des mesures techniques et organisationnelles adaptées au niveau de risque.
Les trois âges d'une donnée : la clé de la conformité
La CNIL décrit le cycle de vie d'une donnée en trois phases. C'est la meilleure grille de lecture pour organiser vos archives.
- Base active : les données utilisées au quotidien pour la finalité prévue, accessibles aux services opérationnels concernés. Exemple : le dossier d'un salarié en poste.
- Archivage intermédiaire : les données qui ne servent plus au quotidien mais doivent être gardées (obligation légale, contentieux possible), accessibles à un nombre très restreint de personnes habilitées. Exemple : les bulletins de paie d'un salarié parti.
- Archivage définitif ou suppression : conservation historique (surtout dans le secteur public) ou destruction sécurisée en fin de durée.
L'erreur la plus fréquente consiste à laisser les données en base active indéfiniment. Un dossier qui n'est plus utile au quotidien doit passer en archivage intermédiaire, avec un accès restreint, puis être supprimé à l'échéance.
Concilier obligation de conserver et obligation d'effacer
C'est la question qui revient le plus souvent : que faire si une personne demande l'effacement de ses données alors que la loi impose de les conserver ?
Le RGPD règle ce cas. Le droit à l'effacement (article 17) ne s'applique pas lorsque la conservation est nécessaire au respect d'une obligation légale. Vous pouvez donc conserver une facture ou un bulletin de paie pendant la durée légale, même si la personne demande sa suppression.
En revanche, vous devez :
- répondre à la personne dans un délai d'un mois, en expliquant pourquoi certaines données sont conservées ;
- supprimer tout ce qui n'est pas couvert par l'obligation légale ;
- restreindre l'accès aux données conservées ;
- les détruire dès la fin de la durée légale.
Les durées légales par type de document feront l'objet de notre prochain article.
La sécurité des archives : ce qui est attendu
Le RGPD n'impose pas une liste fixe de mesures. Il demande une sécurité adaptée au risque. Pour des archives documentaires, les attentes de base sont les suivantes.
- Gestion des droits d'accès par profil, avec un accès plus restreint en archivage intermédiaire qu'en base active.
- Journalisation des consultations, modifications et suppressions, pour savoir qui a fait quoi et quand.
- Chiffrement des données stockées et en transit, surtout pour les données sensibles.
- Intégrité : pouvoir prouver qu'un document archivé n'a pas été modifié.
- Sauvegardes et plan de reprise en cas d'incident.
- Destruction traçable à l'échéance, avec une preuve de suppression.
Les données sensibles (santé, données biométriques, opinions, etc.) appellent des mesures renforcées et, souvent, une analyse d'impact (AIPD) avant la mise en place du traitement.
Prestataires et hébergement : votre responsabilité reste engagée
Confier vos archives à un prestataire ne vous décharge pas. Il devient votre sous-traitant au sens du RGPD (article 28), et un contrat doit préciser ses obligations : finalité du traitement, mesures de sécurité, confidentialité, sort des données en fin de contrat.
Trois points méritent une attention particulière :
- la localisation des données : un transfert hors de l'Union européenne est encadré et doit reposer sur des garanties appropriées ;
- la réversibilité : pouvez-vous récupérer vos archives, dans un format exploitable, si vous changez de prestataire ?
- la sous-traitance en cascade : votre prestataire fait-il lui-même appel à d'autres sous-traitants ?
Ce que vous risquez en cas de manquement
Les sanctions prévues par le RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. La CNIL contrôle régulièrement les durées de conservation, et les sanctions publiées portent souvent sur des données conservées trop longtemps ou insuffisamment sécurisées.
Au-delà de l'amende, une fuite de données issues d'archives oubliées coûte cher en notification, en gestion de crise et en confiance.
Votre plan d'action en 7 étapes
- Inventorier vos archives : quels documents, où, sous quelle forme, avec quelles données personnelles.
- Fixer une durée de conservation par type de document, en partant des obligations légales et des besoins réels.
- Consigner ces durées dans votre registre des traitements (article 30) et dans un référentiel de conservation partagé.
- Séparer base active et archivage intermédiaire, avec des droits d'accès distincts.
- Automatiser les échéances : alerte à l'approche du terme, puis suppression ou versement selon la règle.
- Tracer les destructions pour pouvoir les démontrer.
- Réviser chaque année : nouveaux documents, nouvelles obligations, nouveaux prestataires.
Comment Falendi vous aide
Un archivage conforme ne repose pas sur la bonne volonté des équipes. Il repose sur des règles appliquées automatiquement. La plateforme Falendi associe à chaque type de document ses règles de conservation et déclenche les actions à l'échéance, sans intervention manuelle.
Les droits d'accès se définissent par profil, chaque consultation et chaque modification sont tracées, et la gouvernance est intégrée dès la conception : vous disposez à tout moment des éléments pour démontrer votre conformité.
Découvrir notre approche de la gouvernance
FAQ
Le RGPD s'applique-t-il aux archives papier ?
Oui. Le RGPD s'applique aux données personnelles quel que soit leur support, dès lors qu'elles sont organisées dans un fichier structuré, ce qui est le cas de la plupart des archives.
Peut-on conserver des données « au cas où » ?
Non. Chaque durée de conservation doit être justifiée par une finalité ou une obligation légale. La possibilité d'un contentieux peut justifier une conservation en archivage intermédiaire, dans la limite des délais de prescription.
Qui doit définir les durées de conservation ?
Le responsable de traitement, c'est-à-dire l'organisation elle-même, avec l'appui de son délégué à la protection des données (DPO) s'il en a un, et des métiers concernés.
Faut-il un logiciel pour être conforme ?
Ce n'est pas obligatoire, mais au-delà de quelques centaines de documents, appliquer manuellement des durées différentes, restreindre les accès et tracer les destructions devient difficile à tenir dans la durée.
Faites le point sur votre archivage
Nous vous aidons à cartographier vos documents, à fixer vos règles de conservation et à les automatiser.
Sources