Gardez chaque document le temps nécessaire, pas plus.
Le RGPD impose de ne conserver les données personnelles que le temps nécessaire à leur finalité. Le plus difficile n'est pas d'écrire la règle : c'est de l'appliquer à des milliers de pièces reçues par email, par un portail ou en campagne.
Bientôt dans Nestor : des étiquettes de conformité qui appliquent vos durées aux documents collectés, avec validation humaine avant toute suppression.
Le cycle d'une pièce collectée
- CollecteLa pièce arrive : le délai de conservation commence.
- QualificationFinalité, base légale, durée et justification sont connues.
- ÉchéanceUne alerte prévient avant la fin de la durée.
- ActionArchivage, anonymisation ou suppression, après validation.
01Chapitre
Des règles écrites, rarement appliquées.
La plupart des organisations ont une politique de conservation. Peu savent dire où se trouvent les pièces qu'elle vise.
Des pièces partout.
Boîtes mail, disques partagés, outils métier : une même pièce existe souvent en plusieurs exemplaires.
Des durées qui varient.
La durée dépend de la pièce, de la finalité, du texte applicable et de son point de départ : fin de contrat, dernier contact, collecte.
Une suppression que personne ne fait.
L'échéance arrive sans prévenir, et supprimer à la main des centaines de fichiers n'est la priorité de personne.
Une preuve à fournir.
Lors d'un contrôle ou d'une demande d'une personne, il faut montrer ce qui a été conservé, supprimé, et quand.
02Chapitre
Ce que le RGPD demande sur la conservation.
Les données personnelles ne doivent pas être conservées sous une forme permettant d'identifier les personnes plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées (article 5). C'est le principe de limitation de la conservation, qui va avec celui de minimisation : ne collecter que ce qui est utile.
Les personnes doivent être informées de la durée de conservationDurée de conservationPériode pendant laquelle des données personnelles peuvent être conservées., ou à défaut des critères utilisés pour la fixer (article 13). Le registre des activités de traitement mentionne, lorsque c'est possible, les délais prévus pour l'effacement des différentes catégories de données (article 30).
Une durée peut aussi venir d'un autre texte : obligation comptable, lutte contre le blanchimentLCB-FTDispositif qui impose aux professionnels assujettis, listés à l'article L., droit du travail. Fixez chaque durée avec votre DPODPOPersonne chargée, au sein d'un organisme, d'informer et de conseiller sur le respect du RGPD, d'en contrôler l'application et de coopérer avec la CNIL. ou votre conseil, en notant sa justification et son point de départ.
03Chapitre
Cinq étapes pour passer de la règle à la pratique.
- Étape 01
Inventorier
Listez les types de pièces et de données que vous collectez, et l'endroit où elles arrivent.
- Étape 02
Qualifier
Pour chacun : finalité, base légale, durée, point de départ et justification.
- Étape 03
Rattacher
Associez la règle à l'endroit de collecte : le formulaire, le dossier, le modèle de demande.
- Étape 04
Automatiser l'échéance
Prévenez avant la fin de la durée, puis archivez, anonymisez ou supprimez, avec une validation humaine.
- Étape 05
Garder la preuve
Tenez un journal de ce qui a été fait et un registre à jour, prêts pour un contrôle.
04Chapitre
Bientôt dans Nestor : les étiquettes de conformité.
Les étiquettes reprendront cette méthode à l'endroit où vos documents arrivent. Elles sont en cours de finalisation.
- Des étiquettes qui portent la règleCatégorie de données, base légale, finalité, sensibilité, durée et justification.
- Des automatisations à l'échéanceAlerte, archivage, anonymisation ou suppression, toujours avec validation humaine.
- Un journal et un registreLe journal d'audit, le dossier de preuve et le registre des traitements.
- Aujourd'hui déjàLe journal d'activité de chaque espace, exportable en CSV, et des accès réglés espace par espace.
05Questions fréquentes
Questions fréquentes
Quelle durée choisir pour mes documents ?
Elle dépend de la finalité et des textes qui s'appliquent à chaque type de pièce. Partez de votre registre, des obligations de votre secteur et des recommandations de la CNIL, et faites valider vos choix par votre DPO.
Faut-il supprimer ou anonymiser ?
Les deux permettent de ne plus conserver de données personnelles. L'anonymisation doit être irréversible : des données seulement pseudonymisées restent des données personnelles. Supprimez ce dont vous n'avez plus besoin, anonymisez ce qui sert encore à vos statistiques.
Nestor applique-t-il déjà mes durées de conservation ?
Pas encore : les étiquettes de conformité sont en cours de finalisation. Aujourd'hui, chaque espace a son journal d'activité exportable, et vous pouvez clôturer puis archiver un espace quand le dossier est terminé.
Des règles de conservation à appliquer ?
Parlez-nous des documents que vous collectez et des règles que vous devez tenir : nous vous montrons Nestor et vous prévenons à l'ouverture des étiquettes.
- Hébergement européen totalement souverain
- Aucun compte à créer pour vos interlocuteurs