Choisir une politique de conservation

La question qui se cache derrière « combien de temps devrions-nous conserver cela »

Le principe de limitation de la conservation du RGPD (art. 5(1)(e)) énonce que les données à caractère personnel doivent être conservées « sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. » C'est une véritable obligation légale, quel que soit le canal utilisé — mais « nécessaire » ne se définit pas de lui-même, et une entreprise qui met en place un canal à partir de zéro doit le traduire en chiffres concrets avant le jour un, pas après qu'un auditeur le demande. Le cadre ci-dessous explique comment aborder cette traduction ; la façon dont Provoxis l'a mise en œuvre est un exemple concret, pas la seule bonne réponse.

L'issue d'un dossier devrait déterminer sa durée de conservation, pas une durée unique et uniforme

L'erreur à éviter est de choisir une seule durée de conservation et de l'appliquer à tout ce qui passe par le canal. Une affaire qui se révèle n'avoir rien à voir avec le canal ne nécessite pas la même conservation qu'une conclusion étayée, et une conclusion étayée toujours sous procédure judiciaire ou disciplinaire active exige encore un traitement différent — supprimer des preuves qu'une entreprise est légalement tenue de conserver est un problème bien plus grave que les supprimer quelques mois plus tôt que l'idéal. Une conception de conservation solide commence par se demander ce que l'issue d'un dossier implique réellement quant à la durée pendant laquelle le dossier reste important, plutôt que de choisir un seul chiffre pour chaque dossier.

Une structure générale raisonnable, indépendante de tout fournisseur particulier :

• Hors champ — une affaire qui ne relevait en réalité pas de ce que ce canal aurait dû traiter. Une conservation courte est défendable ; la conserver longtemps ne sert que peu d'objectif durable.
• Un dossier fondé sans procédure en cours — conservé sur une durée significative, de plusieurs années, suffisamment longue pour rester utile comme dossier si le même schéma se reproduit ou qu'une réclamation est soulevée plus tard, suffisamment courte pour ne pas être conservé indéfiniment par défaut.
• Un dossier sous procédure judiciaire ou disciplinaire active ou raisonnablement anticipée — conservé indéfiniment, ou au moins jusqu'à la conclusion effective de cette procédure, et jamais soumis à une suppression automatique entre-temps. C'est là que l'exemption au droit à l'effacement du RGPD pour la constatation, l'exercice ou la défense de droits en justice (art. 17(3)(e)) devient directement pertinente — voir la section sur la conservation légale ci-dessous pour la façon dont elle s'exerce dossier par dossier, par-dessus le calendrier suivi par les autres paliers.

Comment Provoxis a mis cela en œuvre aujourd'hui

Les valeurs par défaut propres à Provoxis suivent exactement cette structure. Lorsqu'un gestionnaire clôture un dossier, il enregistre l'issue (Fondé, Partiellement fondé, Non fondé, ou Renvoyé à une instance externe) et, séparément, quel palier de conservation s'applique — les deux sont indépendants, de sorte qu'un dossier Non fondé peut tout de même relever du même palier qu'un dossier Fondé :

• Hors champ — conservé 60 jours après la clôture, puis éligible à la purge automatique.
• Standard — la valeur par défaut pour un dossier fondé sans procédure en cours. La durée dépend du pays d'enregistrement de votre compte : lorsque la loi nationale de ce pays transposant la directive fixe une durée précise, Provoxis l'utilise — nous avons relevé des durées allant de 3 mois (Chypre) à 5 ans (l'Italie, entre autres) au sein de l'UE, l'Allemagne et la Pologne se situant toutes deux à 3 ans. Lorsque la loi d'un pays ne fixe aucune durée précise, la valeur par défaut est de 5 ans. Dans tous les cas, une fois la durée écoulée, le dossier devient éligible à la purge automatique.
• Procédure disciplinaire ou judiciaire — pour un dossier dont la procédure est encore en cours. Conservé indéfiniment ; jamais purgé automatiquement. Le seul moyen de sortir de ce palier est qu'un gestionnaire rouvre le dossier une fois la procédure effectivement conclue, et choisisse un autre palier lors de sa reclôture.

Les durées des paliers « Hors champ » et « Procédure disciplinaire ou judiciaire » sont fixes et s'appliquent de la même façon à toutes les entreprises utilisant Provoxis aujourd'hui ; la durée du palier Standard est déterminée automatiquement à partir du pays d'enregistrement de votre compte, plutôt que d'être quelque chose que vous configurez vous-même. C'est une position de départ délibérée, pas une lacune : les valeurs par défaut — y compris la durée propre à chaque pays — sont conçues pour satisfaire au principe de limitation de la conservation dès la mise en service d'un canal, plutôt que de laisser une entreprise concevoir son propre calendrier à partir de zéro avant de pouvoir être conforme dès le premier jour. Si votre propre raisonnement aboutit à des chiffres différents de ceux-ci, c'est une issue légitime d'avoir appliqué vous-même le cadre ci-dessus — le cadre compte davantage que la correspondance exacte avec les chiffres de Provoxis.

L'exception dont tout cadre a besoin : la conservation légale

Quel que soit le calendrier retenu, une suppression automatisée qui s'exécute sans surveillance sur un dossier faisant l'objet d'une procédure judiciaire active ou raisonnablement anticipée serait un véritable problème, pas un simple désagrément — et l'exemption de l'art. 17(3)(e) du RGPD existe précisément pour que la préservation puisse primer sur le calendrier par défaut lorsque cela se produit. Dans Provoxis, un administrateur pose une conservation légale — une raison est requise, et elle est journalisée — et le dossier est entièrement exclu de la purge automatique, indépendamment du palier auquel il appartient réellement. Lever une conservation légale exige également une raison et est journalisé de la même façon ; ce n'est qu'une fois levée que le dossier redevient régi par son palier.

Séparément, un administrateur de tenant peut effacer manuellement les données d'un dossier à la demande — pour donner suite à une demande d'effacement d'une personne concernée qui n'est pas couverte par l'exemption pour droits en justice, par exemple. Cela est purement et simplement bloqué tant qu'une conservation légale est active : la conservation légale doit d'abord être explicitement levée, elle-même une action journalisée, de sorte qu'une conservation légale ne peut jamais être discrètement contournée par une suppression manuelle.

Fondement juridique

• Art. 5(1)(e), RGPD — le principe de limitation de la conservation : des données à caractère personnel conservées pas plus longtemps que nécessaire au regard de la finalité pour laquelle elles ont été traitées.
• Art. 17(3)(e), RGPD — l'exemption au droit à l'effacement pour la constatation, l'exercice ou la défense de droits en justice, le fondement permettant à la conservation légale de primer sur la purge automatique.