Les entreprises accumulent, quotidiennement, de grands volumes de donn\u00e9es personnelles : fichiers clients, documents de collaborateurs, informations sur les fournisseurs, bases de donn\u00e9es marketing, contrats, factures, journaux d'acc\u00e8s, enregistrements de service et bien d'autres encore. Ce stockage, bien que souvent n\u00e9cessaire \u00e0 l'exploitation, ne peut \u00eatre illimit\u00e9.<\/p>\n\n\n\n
La loi g\u00e9n\u00e9rale br\u00e9silienne sur la protection des donn\u00e9es personnelles (LGPD) et le R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es personnelles de l'Union europ\u00e9enne (RGPD) partagent une m\u00eame pr\u00e9misse : les donn\u00e9es personnelles doivent \u00eatre conserv\u00e9es uniquement pour la dur\u00e9e n\u00e9cessaire \u00e0 l'accomplissement de la finalit\u00e9 qui a justifi\u00e9 leur collecte, sauf lorsqu'une base l\u00e9gale permet leur conservation pour une p\u00e9riode plus longue.<\/p>\n\n\n\n
En pratique, il s'agit de l'un des points les plus sensibles de la gouvernance en mati\u00e8re de protection de la vie priv\u00e9e. Bien que la r\u00e8gle soit simple, son application exige une \u00e9valuation attentive, dans la mesure o\u00f9 les l\u00e9gislations sur la protection des donn\u00e9es personnelles ne fixent g\u00e9n\u00e9ralement pas de dur\u00e9e de conservation unique et universelle pour chaque type de donn\u00e9e. Dans ce contexte, il appartient aux entreprises de d\u00e9finir leurs propres crit\u00e8res, en tenant compte de la finalit\u00e9 du traitement, des obligations l\u00e9gales ou r\u00e9glementaires, des d\u00e9lais de prescription, des besoins op\u00e9rationnels et des risques pour les personnes concern\u00e9es.<\/p>\n\n\n\n
Pourquoi la conservation des donn\u00e9es personnelles est-elle importante?<\/strong><\/p>\n\n\n\n La conservation excessive de donn\u00e9es personnelles accro\u00eet les risques juridiques, op\u00e9rationnels et de s\u00e9curit\u00e9. En effet, plus une entreprise conserve des donn\u00e9es personnelles sans n\u00e9cessit\u00e9 de traitement clairement \u00e9tablie, plus son exposition tend \u00e0 augmenter en cas d'incident de s\u00e9curit\u00e9, d'acc\u00e8s non autoris\u00e9, d'utilisation d'informations obsol\u00e8tes, de demandes de personnes concern\u00e9es ou de contr\u00f4le par les autorit\u00e9s de r\u00e9gulation.<\/p>\n\n\n\n Dans ce contexte, les r\u00e8gles de conservation et de suppression ne doivent pas \u00eatre per\u00e7ues comme une simple exigence formelle de conformit\u00e9. Au contraire, elles s'inscrivent dans une bonne gouvernance de l'information et contribuent \u00e0 r\u00e9duire des risques concrets pour l'entreprise.<\/p>\n\n\n\n Une politique de conservation bien structur\u00e9e permet:<\/p>\n\n\n\n \u2013 De d\u00e9finir des dur\u00e9es de conservation et de suppression;<\/p>\n\n\n\n \u2013 De r\u00e9duire le stockage inutile de donn\u00e9es personnelles;<\/p>\n\n\n\n \u2013 De faciliter le traitement des demandes des personnes concern\u00e9es:<\/p>\n\n\n\n \u2013 De diminuer les risques de s\u00e9curit\u00e9;<\/p>\n\n\n\n \u2013 De d\u00e9montrer la conformit\u00e9 l\u00e9gale et r\u00e9glementaire.<\/p>\n\n\n\n LGPD et RGPD : conservation, suppression et exceptions l\u00e9gales<\/strong><\/p>\n\n\n\n La LGPD et le RGPD suivent une logique similaire : les donn\u00e9es personnelles doivent \u00eatre conserv\u00e9es uniquement tant qu'elles sont n\u00e9cessaires \u00e0 la finalit\u00e9 qui a justifi\u00e9 le traitement. Une fois cette finalit\u00e9 atteinte, la r\u00e8gle g\u00e9n\u00e9rale devient la suppression ou l'anonymisation des donn\u00e9es personnelles, sauf lorsqu'une base l\u00e9gale autorise leur conservation.<\/p>\n\n\n\n Au Br\u00e9sil, la LGPD permet la conservation des donn\u00e9es personnelles dans des hypoth\u00e8ses sp\u00e9cifiques, telles que l'ex\u00e9cution d'une obligation l\u00e9gale ou r\u00e9glementaire, la r\u00e9alisation d'\u00e9tudes par un organisme de recherche, le transfert \u00e0 des tiers conform\u00e9ment \u00e0 la loi, ou l'usage exclusif par le responsable du traitement, \u00e0 condition que les donn\u00e9es personnelles soient anonymis\u00e9es chaque fois que cela est applicable.<\/p>\n\n\n\n De m\u00eame, le RGPD admet la conservation lorsqu'elle est n\u00e9cessaire, par exemple, pour le respect d'une obligation l\u00e9gale, la constatation, l'exercice ou la d\u00e9fense de droits en justice, ou encore pour certaines finalit\u00e9s d'int\u00e9r\u00eat public, de recherche, de statistiques ou d'archivage, sous r\u00e9serve des garanties applicables.<\/p>\n\n\n\n Dans ce contexte, le point central est que les entreprises ne doivent pas conserver des donn\u00e9es personnelles ind\u00e9finiment ou simplement \u00ab par pr\u00e9caution \u00bb. La conformit\u00e9 d\u00e9pend donc de la capacit\u00e9 \u00e0 d\u00e9finir, documenter et appliquer de mani\u00e8re coh\u00e9rente des crit\u00e8res clairs de conservation et de suppression, align\u00e9s sur des besoins juridiques, r\u00e9glementaires et commerciaux l\u00e9gitimes.<\/p>\n\n\n\n Orientations des autorit\u00e9s de protection des donn\u00e9es personnelles<\/strong><\/p>\n\n\n\n Les autorit\u00e9s de protection des donn\u00e9es personnelles exigent g\u00e9n\u00e9ralement que les entreprises d\u00e9finissent des dur\u00e9es de conservation fond\u00e9es sur des crit\u00e8res de n\u00e9cessit\u00e9 et de proportionnalit\u00e9. En d'autres termes, il ne suffit pas de conserver des donn\u00e9es personnelles parce qu'elles \u00ab pourraient \u00eatre utiles \u00e0 l'avenir \u00bb : il est n\u00e9cessaire de justifier objectivement pourquoi ces donn\u00e9es personnelles demeurent n\u00e9cessaires.<\/p>\n\n\n\n L'Information Commissioner's Office (ICO), l'autorit\u00e9 britannique de protection des donn\u00e9es personnelles, recommande aux organisations d'\u00eatre en mesure de justifier la dur\u00e9e de conservation des donn\u00e9es personnelles, d'\u00e9tablir des dur\u00e9es de conservation standard chaque fois que possible, de r\u00e9examiner p\u00e9riodiquement les informations stock\u00e9es et de proc\u00e9der \u00e0 la suppression ou \u00e0 l'anonymisation des donn\u00e9es personnelles qui ne sont plus n\u00e9cessaires.<\/p>\n\n\n\n De mani\u00e8re compl\u00e9mentaire, la Commission nationale de l'informatique et des libert\u00e9s (CNIL) fournit \u00e9galement des param\u00e8tres pratiques sur le sujet. Dans le contexte de la gestion commerciale, par exemple, la CNIL indique que les donn\u00e9es personnelles de clients utilis\u00e9es \u00e0 des fins de prospection peuvent \u00eatre conserv\u00e9es pendant la dur\u00e9e de la relation commerciale et, apr\u00e8s sa cessation, en r\u00e8gle g\u00e9n\u00e9rale, jusqu'\u00e0 trois ans. Les donn\u00e9es personnelles relatives aux clients potentiels peuvent, en r\u00e8gle g\u00e9n\u00e9rale, \u00eatre conserv\u00e9es pendant trois ans \u00e0 compter de leur collecte ou du dernier contact \u00e0 l'initiative du client potentiel.<\/p>\n\n\n\n Ces orientations ne remplacent pas une analyse au cas par cas, mais servent de r\u00e9f\u00e9rences pertinentes pour les entreprises qui structurent leurs tableaux internes de retenue.<\/p>\n\n\n\n Carrefour et les risques d'une conservation excessive<\/strong><\/p>\n\n\n\n L'affaire Carrefour illustre clairement les risques associ\u00e9s \u00e0 la conservation excessive de donn\u00e9es personnelles. En 2020, la CNIL a inflig\u00e9 une amende de 2,25 millions d'euros \u00e0 Carrefour France pour plusieurs violations du RGPD, dont une conservation excessive de donn\u00e9es personnelles.<\/p>\n\n\n\n L'autorit\u00e9 a notamment constat\u00e9 que la soci\u00e9t\u00e9 avait conserv\u00e9 les donn\u00e9es personnelles de clients inactifs pendant des p\u00e9riodes sup\u00e9rieures au n\u00e9cessaire et avait conserv\u00e9 des copies de pi\u00e8ces d'identit\u00e9 pr\u00e9sent\u00e9es dans le cadre de demandes de personnes concern\u00e9es pendant une dur\u00e9e plus longue que ce qui pouvait \u00eatre justifi\u00e9.<\/p>\n\n\n\n Cette affaire d\u00e9montre que les autorit\u00e9s n'\u00e9valuent pas les dur\u00e9es de conservation uniquement en th\u00e9orie, mais attendent des routines effectives de suppression.<\/p>\n\n\n\n Le r\u00f4le des Responsables du traitement et des Sous-traitants dans la conservation des donn\u00e9es<\/strong><\/p>\n\n\n\n Les obligations li\u00e9es \u00e0 la conservation peuvent varier selon que l'entreprise agit en qualit\u00e9 de responsable du traitement ou de sous-traitant. Dans ce contexte, les Responsables du traitement et les Sous-traitants assument des responsabilit\u00e9s distinctes, bien que compl\u00e9mentaires.<\/p>\n\n\n\n Les Responsables du traitement sont, en r\u00e8gle g\u00e9n\u00e9rale, charg\u00e9s de d\u00e9finir les finalit\u00e9s du traitement et les dur\u00e9es de conservation applicables. Les Sous-traitants, quant \u00e0 eux, doivent traiter les donn\u00e9es personnelles conform\u00e9ment aux instructions document\u00e9es du responsable du traitement et, \u00e0 l'issue de la prestation de services, restituer, supprimer ou anonymiser les donn\u00e9es, sauf lorsqu'une obligation l\u00e9gale justifie leur conservation.<\/p>\n\n\n\n La conservation indiscrimin\u00e9e peut, dans ce sc\u00e9nario, g\u00e9n\u00e9rer des risques pour les deux parties. Pour le Responsable du traitement, conserver des donn\u00e9es sans crit\u00e8res rend difficile le contr\u00f4le du cycle de vie des informations et peut accro\u00eetre son exposition r\u00e9glementaire. Pour le Sous-traitant, en revanche, conserver des donn\u00e9es au-del\u00e0 du n\u00e9cessaire peut amplifier les risques de s\u00e9curit\u00e9, la responsabilit\u00e9 contractuelle et les interrogations quant au respect des instructions re\u00e7ues.<\/p>\n\n\n\n Pour cette raison, les contrats impliquant un traitement de donn\u00e9es personnelles doivent pr\u00e9voir de mani\u00e8re explicite ce qu'il adviendra des donn\u00e9es \u00e0 l'issue de la relation contractuelle, notamment la restitution, la suppression, l'anonymisation, la conservation en raison d'une obligation l\u00e9gale et, le cas \u00e9ch\u00e9ant, la preuve de la suppression.<\/p>\n\n\n\n Que doivent faire les entreprises?<\/strong><\/p>\n\n\n\n Pour g\u00e9rer les risques li\u00e9s \u00e0 la conservation et \u00e0 la suppression des donn\u00e9es personnelles, les entreprises doivent adopter les mesures pratiques suivantes:<\/p>\n\n\n\n\n\n \u2013 Identifier la finalit\u00e9 et la base l\u00e9gale de chaque activit\u00e9 de traitement;<\/p>\n\n\n\n \u2013 D\u00e9finir des dur\u00e9es ou crit\u00e8res objectifs de conservation;<\/p>\n\n\n\n \u2013 Lier les dur\u00e9es de conservation aux obligations l\u00e9gales et aux d\u00e9lais de prescription;<\/p>\n\n\n\n \u2013 Mettre en \u0153uvre des routines de suppression s\u00e9curis\u00e9e ou d'anonymisation;<\/p>\n\n\n\n \u2013 R\u00e9viser les bases de donn\u00e9es h\u00e9rit\u00e9es et les donn\u00e9es inactives ;<\/p>\n\n\n\n \u2013 S'assurer que les avis de confidentialit\u00e9 refl\u00e8tent les pratiques effectivement adopt\u00e9es;<\/p>\n\n\n\n \u2013 Inclure des clauses de suppression et de conservation dans les contrats;<\/p>\n\n\n\n \u2013 Documenter les exceptions et conserver une preuve de la suppression pour chaque cycle.<\/p>\n\n\n\n La conservation des donn\u00e9es personnelles, bien que souvent sous-estim\u00e9e, est l\u2019un des \u00e9l\u00e9ments centraux de la conformit\u00e9 en mati\u00e8re de protection des donn\u00e9es. Conserver des donn\u00e9es plus longtemps que n\u00e9cessaire accro\u00eet les risques juridiques, s\u00e9curitaires et r\u00e9putationnels. En revanche, les supprimer trop t\u00f4t peut compromettre le respect d\u2019obligations l\u00e9gales ou la capacit\u00e9 de l\u2019entreprise \u00e0 d\u00e9fendre ses droits.<\/p>\n\n\n\n Face \u00e0 ce constat, la solution ne r\u00e9side pas dans l\u2019adoption d\u2019une dur\u00e9e g\u00e9n\u00e9rique pour l\u2019ensemble des donn\u00e9es, mais dans la structuration d\u2019une politique de conservation et d\u2019\u00e9limination appuy\u00e9e par un tableau de conservation, des responsabilit\u00e9s internes clairement d\u00e9finies et des proc\u00e9dures pratiques de suppression ou d\u2019anonymisation.<\/p>\n\n\n\n Chez GTLawyers, notre \u00e9quipe de protection des donn\u00e9es accompagne les entreprises dans l\u2019\u00e9laboration et la mise en \u0153uvre de politiques de conservation et d\u2019\u00e9limination, dans la r\u00e9vision des contrats de traitement de donn\u00e9es, dans la cartographie des obligations l\u00e9gales de conservation et dans l\u2019alignement des pratiques internes sur la LGPD, le RGPD et d\u2019autres normes internationales en mati\u00e8re de protection de la vie priv\u00e9e.<\/p>\n\n\n\n <\/p>","protected":false},"excerpt":{"rendered":" Empresas acumulam, diariamente, grandes volumes de dados pessoais: cadastros de clientes, documentos de colaboradores, informa\u00e7\u00f5es de fornecedores, bases de marketing, contratos, faturas, logs de acesso, registros de atendimento e muitos outros. Esse armazenamento, embora muitas vezes necess\u00e1rio para a opera\u00e7\u00e3o, n\u00e3o pode ser ilimitado. Tanto a Lei Geral de Prote\u00e7\u00e3o de Dados Pessoais brasileira (LGPD) […]<\/p>\n","protected":false},"author":8,"featured_media":2320,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[6],"tags":[],"class_list":["post-2318","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-artigos"],"acf":[],"yoast_head":"\n