Dans cette situation fictive, une entreprise conserve les dossiers de tous ses anciens salariés sur un espace partagé. Le même répertoire contient les candidatures refusées, les coordonnées des clients et un export commercial utilisé deux ans auparavant. Personne ne souhaite exposer ces informations. Elles sont restées là parce que chaque dossier a un jour été utile et que personne n’a reçu la responsabilité d’en réexaminer l’usage.
La difficulté ne se résout pas par une suppression générale. Certaines données doivent être conservées pour des obligations précises ; d’autres ne servent plus au travail courant mais peuvent être nécessaires pendant une période limitée. L’enjeu consiste à relier chaque ensemble de données à une finalité, à des personnes autorisées, à une durée justifiée et à une action de fin de conservation. Cette organisation rend la protection des données concrète dans le fonctionnement quotidien.
Partir de l’usage avant de compter les fichiers
Une donnée personnelle concerne une personne identifiée ou identifiable. Les informations sur les salariés et les interlocuteurs des clients entrent donc fréquemment dans ce périmètre. Le fait qu’une adresse soit professionnelle ne la rend pas automatiquement étrangère à la protection des données. À l’inverse, tous les documents commerciaux ne contiennent pas nécessairement des données personnelles. Il faut examiner ce qui est effectivement enregistré et pourquoi.
La CNIL présente le principe de minimisation des données : les informations doivent être pertinentes et limitées à ce qui est nécessaire pour l’objectif poursuivi. Dans une fiche de livraison, un numéro permettant de joindre le destinataire peut être utile. Les détails de sa vie familiale ne le sont généralement pas. Pour chaque champ, la bonne question est : quelle opération précise devient impossible ou moins fiable sans cette information ?
Cette question s’applique aussi aux commentaires libres. Une fiche client peut contenir une appréciation personnelle ajoutée après un échange difficile. Son auteur voulait aider un collègue, mais le commentaire peut devenir excessif, inexact ou accessible à des personnes qui n’en ont pas besoin. Préférer des faits professionnels nécessaires, formulés sobrement, réduit cette dérive. Une consigne comme « rappeler après 14 heures, selon la demande du client » décrit une action ; un jugement sur sa personnalité apporte rarement une aide légitime.
Pour commencer, regroupez les données par usage : gestion de la paie, recrutement, réalisation des commandes, facturation, prospection, assistance après-vente. Un même nom peut apparaître dans plusieurs traitements, avec des raisons et des durées différentes. Organiser seulement la liste des logiciels masque cette réalité. Un outil unique peut héberger plusieurs usages ; un seul usage peut laisser des copies dans la messagerie, des exports et des sauvegardes.
Donner une durée et un accès à chaque usage
La durée de conservation ne se choisit pas en fonction de l’espace disponible. La CNIL explique dans sa ressource sur les durées de conservation qu’elle doit être déterminée selon la finalité et les obligations applicables. Il n’existe donc pas une durée unique valable pour toutes les données de salariés ou de clients. Une pièce comptable, un dossier de candidature et une liste de prospection répondent à des situations différentes.
Distinguez l’utilisation courante et, lorsqu’elle est justifiée, la conservation intermédiaire avec un accès restreint. Une information peut cesser d’être nécessaire à toute l’équipe tout en restant utile à une personne habilitée pour respecter une obligation ou traiter un contentieux. Déplacer le dossier dans un sous-répertoire nommé « archives » sans modifier les droits ne réalise pas cette séparation. Il faut vérifier les accès effectifs et les possibilités de recherche ou de téléchargement.
Pour les dossiers du personnel, le référentiel de la CNIL relatif aux durées de conservation en ressources humaines fournit des repères à examiner selon les documents concernés. Il ne remplace pas l’identification de vos obligations particulières. Le responsable peut établir une liste avec le professionnel compétent : catégorie de document, point de départ du délai, durée, justification, lieu de conservation et personne chargée de l’action finale.
Les droits d’accès doivent suivre le besoin de travail. Le responsable commercial n’a pas nécessairement besoin des pièces administratives d’un salarié ; chaque manager n’a pas besoin de tous les dossiers du personnel. La CNIL rappelle ces principes dans ses règles relatives à la gestion du personnel. Vérifier les comptes des anciens salariés, les liens de partage et les accès des prestataires évite de limiter la revue aux seuls collaborateurs présents.
Un exemple fictif pour passer du stock au circuit
Une entreprise fictive recense 1 200 fiches dans son outil commercial. Après examen, 700 concernent des relations actives, 300 d’anciens clients et 200 des contacts collectés lors d’événements. Ces nombres ne déterminent pas ce qui doit être supprimé. Ils permettent de constituer des ensembles à examiner selon leur finalité, l’historique des échanges, les informations données aux personnes et les règles applicables.
L’équipe découvre aussi trois exports contenant chacun les 1 200 fiches, présents sur des espaces différents. L’outil principal et les exports représentent donc quatre emplacements et 4 800 lignes stockées, sans que l’entreprise dispose de 4 800 personnes distinctes. Supprimer 100 fiches de l’outil ne supprimera pas automatiquement les copies. La cartographie doit suivre les circulations, faute de quoi la décision de conservation n’atteint qu’une partie des données.
Le responsable décide de vérifier d’abord les exports : qui les a créés, pour quelle tâche et cette tâche est-elle terminée ? Un export utilisé pour une analyse ponctuelle peut avoir perdu sa justification. Un autre peut être requis pour une opération en cours. La décision s’appuie sur cette différence, puis sur les règles validées, et non sur une date arbitraire commune à tous les fichiers. L’action est enregistrée sans recopier les données supprimées dans un nouveau journal détaillé.
Les raccourcis à éviter
« Nous avons le consentement » ne répond pas à toutes les questions. Le consentement n’est pas la seule base possible d’un traitement et ne dispense pas de limiter les données, d’assurer leur sécurité ou de définir une durée. La base appropriée dépend de la finalité et du contexte. Dans l’entreprise, il vaut mieux faire qualifier les usages que demander systématiquement une signature censée autoriser toutes les collectes futures.
Renommer une personne par un numéro ne rend pas forcément les données anonymes. Si une table ou des informations complémentaires permettent de retrouver son identité, le risque d’identification demeure. Ce point compte lorsque vous partagez un fichier d’analyse ou le transmettez à un prestataire. Une suppression des noms peut réduire l’exposition, mais ne justifie pas à elle seule une diffusion sans contrôle.
Il faut également éviter de promettre un effacement instantané universel. Les sauvegardes, les systèmes de messagerie et certains outils ont leurs propres mécanismes. Le responsable doit connaître ce qui est techniquement possible, les délais et les restrictions d’accès. Une politique utile décrit un processus réalisable et vérifié. Elle ne repose pas sur un bouton théorique dont personne n’a testé les effets sur les copies et la restauration.
Lorsqu’un prestataire intervient, demandez ce qu’il conserve pour exécuter la mission, où ces informations sont traitées et comment leur restitution ou leur suppression sera organisée. Ces questions doivent trouver une réponse contractuelle et opérationnelle adaptée. Une mention commerciale générale sur la sécurité ne décrit pas le parcours réel de vos données.
Première vérification : choisir un seul ensemble
Prenez un fichier qui circule souvent, par exemple la liste des contacts clients utilisée pour préparer les interventions. Pour chaque colonne, indiquez l’usage précis. Identifiez ensuite les personnes qui y accèdent, les copies produites, le responsable du fichier et le moment où les données doivent être réexaminées. Vous obtenez un objet de travail limité, plus facile à corriger qu’un projet abstrait de nettoyage général.
La suite consiste à décider qui maintient cette règle. L’arrivée d’un salarié, la fin d’une prestation et la création d’un nouvel export doivent déclencher des actions prévisibles. Les personnes concernées doivent aussi recevoir l’information requise et pouvoir exercer leurs droits par un canal identifié. La protection des données devient durable lorsque la collecte, l’accès et la fin de conservation font partie du circuit de travail, avec un responsable capable de répondre aux cas qui sortent de la règle.