Définir des durées de conservation dans sa politique de confidentialité est indispensable.
Mais cela ne suffit pas.
La sanction prononcée par la CNIL à l’encontre de FREE MOBILE montre très concrètement les difficultés opérationnelles auxquelles peuvent être confrontées les entreprises lorsqu’il s’agit de supprimer effectivement les données arrivées au terme de leur durée de conservation.
Dans cette affaire, la CNIL a constaté que la société avait conservé des millions de données d’anciens abonnés pendant une durée excessive, sans justification. Elle lui a notamment reproché de ne pas avoir mis en place les mesures permettant de trier les données à conserver pour certaines obligations, notamment comptables, puis de supprimer celles qui n’étaient plus nécessaires.
⚠️ Plusieurs difficultés ressortent de cette décision.
Tout d’abord, le projet de purge des données a été engagé tardivement. FREE MOBILE, créée en 2012, indiquait que la question de la suppression effective des données ne s’était posée que récemment.
Ensuite, des durées de conservation étaient bien prévues dans la politique de confidentialité, mais les constatations réalisées dans les bases de données ont montré qu’elles n’étaient pas effectivement appliquées.
Enfin, la société a souligné les difficultés techniques liées à son système d’information : son architecture rendait complexes les opérations de purge à grande échelle, notamment en raison du risque de blocage des services métiers.
Cette décision rappelle donc un principe essentiel : plus une entreprise attend pour mettre en place sa politique de purge, plus sa mise en œuvre risque de devenir complexe, notamment à cause du volume de données accumulé et de l’architecture du système d’information.
La bonne approche consiste à intégrer cette problématique dès la conception des traitements, conformément au principe de privacy by design.
Il faut donc à la fois déterminer des durées de conservation adaptées à chaque finalité, les documenter et surtout prévoir leur mise en œuvre effective dans les outils et les procédures internes.
📩 Vous souhaitez définir vos durées de conservation et mettre en place une politique de purge réellement applicable dans vos systèmes d’information ? Contactez-moi.