Une politique de suppression qui tient sans délégué à la protection des données

L'article 5, paragraphe 1, point e, du RGPD impose de ne conserver les données personnelles sous une forme identifiante que le temps nécessaire à la finalité. C'est le principe de limitation de la conservation, et la seule obligation qui se viole toute seule : qui ne fait rien la viole un peu plus chaque jour.

S'y ajoute le paragraphe 2, la responsabilité : vous devez respecter les principes et pouvoir le démontrer. Les deux donnent exactement ce qu'est une politique de suppression : une réponse écrite à la question de savoir quand quelles données disparaissent, et pourquoi. Ce qui suit est un repère — les durées de votre marché, la CNIL, un cabinet comptable ou un conseil juridique les disent.

Dans la plupart des petites entreprises, une règle de suppression existe déjà, simplement écrite nulle part : on supprime quand on change de système, quand un dossier déborde, ou quand quelqu'un le demande. Les trois déclencheurs ont le même défaut — aucun n'a de rapport avec la finalité des données.

La finalité est la seule horloge que connaisse le règlement. L'article 17, paragraphe 1, point a, en fait une obligation : dès que les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, elles sont à effacer sans tarder. Cette obligation existe indépendamment de toute demande ; le droit à l'effacement en est le revers, pas la condition.

C'est pourquoi une politique de suppression n'est pas un formalisme mais un allègement : elle répond une fois pour toutes à ce qui serait autrement rediscuté à chaque cas, et elle se montre. Une page suffit : quatre colonnes, une ligne par type de donnée.

Ce qui n'y a pas sa place : les opinions sur la durée pendant laquelle « ça se fait ». Chaque ligne a besoin d'un motif, et ce motif est soit une finalité que vous savez nommer, soit une obligation que quelqu'un peut aller vérifier.

Voici la page. Les lignes d'exemple conviennent à une entreprise de service ; les durées du deuxième groupe dépendent du droit fiscal et commercial national et restent ici volontairement sans chiffre.

La troisième colonne fait le travail, la quatrième la différence. Une horloge sans déclencheur ne démarre jamais : « trois ans » ne devient une règle qu'avec un point de départ. Et le déclencheur doit être visible dans vos données — le dernier rendez-vous figure dans l'agenda, la fin d'une relation nulle part. D'où la formule praticable : « dernier rendez-vous plus délai ».

Quelqu'un demande l'effacement. Le fichier clients, vous pouvez l'effacer — les factures non, car une durée de conservation fiscale ou commerciale court pour elles. Alors quoi ?

Le règlement a prévu ce cas. L'article 17, paragraphe 3, point b, écarte de l'obligation d'effacement les traitements nécessaires au respect d'une obligation légale à laquelle vous êtes soumis. Le point e écarte en outre ce qui sert à la constatation, à l'exercice ou à la défense de droits en justice. La réponse n'est donc pas « impossible » mais : pour cette seule finalité cela reste, pour toutes les autres non.

Son nom pratique est la limitation du traitement. L'article 4, point 3, la définit comme le marquage de données conservées en vue de limiter leur traitement futur. Le considérant 67 en indique les voies : transfert vers un autre système, blocage pour les utilisateurs, retrait temporaire d'un site — la limitation devant rester clairement identifiable.

Concrètement : l'enregistrement quitte le fichier actif. Il n'apparaît plus dans la recherche de rendez-vous, ni dans la lettre d'information, ni dans les statistiques. Il repose dans l'archive des factures, accessible à la comptabilité et en cas de contrôle, et il est effacé dès que la durée expire. Cette séparation est le cœur d'une politique qui fonctionne.

À distinguer de l'article 18 : là, c'est la personne concernée qui peut exiger une limitation, dans quatre cas nommés — par exemple pendant la vérification de données contestées. C'est un droit de l'autre côté, pas un substitut à votre obligation d'effacement. Même mesure technique, motifs différents.

Un effacement qui n'atteint que la base principale n'en est pas un. Quatre endroits sont régulièrement oubliés :

1. Le papier. Fiches d'accueil, notes à la réception, listes de rendez-vous imprimées. Mêmes règles, et un déclencheur qui leur est propre.
2. Les copies dans les systèmes annexes. La liste de la lettre d'information, le tableur des cartes de vœux, l'export que quelqu'un a tiré un jour pour une analyse.
3. Les sauvegardes. Elles ne se nettoient pas une par une. La voie habituelle : l'effacement prend effet immédiatement en production, la sauvegarde sort par son propre cycle de rétention, et ce cycle est nommé dans la politique.
4. Les prestataires. Qui traite pour vous doit répercuter l'effacement. L'article 28, paragraphe 3, point g, l'exige au contrat : effacer ou renvoyer les données au terme de la prestation, copies existantes comprises.

Un mot sur l'anonymisation, souvent citée comme échappatoire. Si un enregistrement est modifié au point qu'aucune personne ne puisse plus lui être rattachée, ce n'est plus une donnée personnelle : le règlement ne s'applique plus et les analyses restent possibles. Mais cela exige une véritable impossibilité de rattachement — un nom de famille retiré alors que le numéro client demeure est une pseudonymisation (article 4, point 5) et reste une donnée personnelle.

Là où les factures sont de toute façon archivées par le système, le troisième point de la liste se règle presque seul — un logiciel de garage sépare par exemple l'ordre de réparation et l'archive de facturation, au lieu de tenir les deux dans la même vue.

Une politique qui existe seulement est un document. Une politique qui tourne demande trois choses, aucune n'étant lourde.

Un rendez-vous. Une fois par an, de préférence accroché à une opération qui a lieu de toute façon. Une heure suffit : parcourir les lignes, effacer les types échus, noter la date. Cette date est votre preuve au sens de l'article 5, paragraphe 2.

Une responsabilité. Une personne nommée, pas « l'équipe ». Dans une entreprise de cinq personnes, c'est le plus souvent celle qui administre déjà le logiciel.

Une règle pour les nouveautés. Chaque nouveau type de donnée reçoit sa ligne au moment de sa création, pas plus tard. C'est là que les politiques vieillissent : non par des erreurs, mais par de nouveaux champs que personne n'a reportés.

Là où votre logiciel connaît les durées, servez-vous-en : une suppression automatique vaut mieux qu'une règle dont quelqu'un doit se souvenir. À défaut, l'heure annuelle est le substitut honnête — bien meilleur que l'intention de « ranger au fil de l'eau », que personne ne tient.