La conservation des données à caractère personnel est encadrée par le RGPD. Les données à caractère personnel ne peuvent pas être conservées indéfiniment :
une durée de conservation doit être déterminée en fonction de la finalité pour laquelle les données sont conservées.La Cnil a publié le 14 décembre dernier, les Tables Informatique et Libertés (1). Elles regroupent les décisions pertinentes de la Cnil et l’essentiel de la jurisprudence nationale et européenne en matière de protection des données à caractère personnel, suivant un classement thématique.
Ce document a pour objet l’amélioration de la diffusion de la pratique décisionnelle de la Cnil.
Il est l’occasion de faire le point sur les principes dégagés par la Cnil. Des précisions sur les règles de conservation des données à caractère personnel (chapitre 2) figurent parmi eux.
Les tables informatiques et libertés incluent notamment certaines décisions de la Cour européenne des droits de l’homme (CEDH) et du Conseil d’Etat relatives à la conservation de données.
L’analyse des décisions permet de préciser certaines règles qui relèvent de la pratique décisionnelle, relatives à la conservation de données à caractère personnel.
1. Conservation de données reflétant l’orientation sexuelle
Tables Informatique et Libertés
S’agissant de la conservation des données relatives aux résultats des procédures de sélection des candidats au don du sang et aux motifs d’exclusion du don éventuellement retenus, la CEDH considère que la collecte et la conservation de données reflétant l’orientation sexuelle supposée :
- constituent une ingérence dans le droit au respect de la vie privée du requérant. Néanmoins, cette ingérence est « prévue par la loi » et poursuit le but légitime de la protection de la santé ;
- reposent sur des motifs pertinents et suffisants dès lors qu’elles contribuent à garantir la sécurité transfusionnelle.
(CEDH, 8 septembre 2022, Affaire Drelon c. France, n°3153/16, 27758/18, points 86-100)
2. Durée de conservation supérieure au délai de prescription pour une infraction
Tables Informatique et Libertés
Le Conseil d’Etat considère que, dans le cadre d’un traitement de données ayant notamment pour finalités de constater l’ensemble des infractions non routières faisant l’objet d’une amende forfaitaire, la durée de conservation de données ayant pour finalité la caractérisation des délits non routiers (10 ans) et des contraventions non routières (5 ans) peut être supérieure au délai de prescription pour ces infractions, dans la mesure où les délais de conservation ont été fixés pour couvrir la procédure dans son ensemble, incluant l’encaissement effectif de l’amende et le cas échéant les procédures juridictionnelles.
3. Conservation de données relatives aux impayés au-delà du règlement de la somme due
Tables Informatique et Libertés
Selon le Conseil d’Etat, il n’est pas disproportionné de prévoir une conservation des données ayant pour finalité la gestion des impayés pendant une durée suffisante, au-delà du règlement de la somme due, pour prévenir le renouvellement de tels incidents.
4. Durée de conservation des empreintes digitales d’une carte nationale d’identité
TABLES INFORMATIQUE ET LIBERTÉS
La durée de conservation des empreintes digitales d’une carte nationale d’identité ne peut être illimitée, dès lors que :
- elle n’est pas nécessaire aux finalités du fichier,
- la carte nationalité d’identité a une durée limitée de validité et
- tout détenteur d’une carte nationale d’identité périmée peut en solliciter le renouvellement.
(CE, 10ème/9ème SSR, 18 novembre 2015, Mme B…D… et Mme A…C…, n°372111, T., point 6).
5. Conserver des données pour une finalité non prévue par l’acte réglementaire
TABLES INFORMATIQUE ET LIBERTÉS
La conservation de données pour une finalité non prévue par l’acte réglementaire est illicite.
6. Durée de conservation de données d’identification des élèves scolarisés
Tables Informatique et Libertés
Est excessive la durée de conservation des données relatives à l’identification des élèves scolarisés portée à 35 ans n’apparaît pas nécessaire aux finalités du traitement.
(CE, 10ème/9ème SSR, 19 juillet 2010, M. X et Mme Y, n° 334014, T., point 13).
7. Conservation de l’inscription à la « liste repoussoir »
Tables Informatique et Libertés
La Cnil recommande de conserver l’inscription à la « liste repoussoir » (liste permettant au responsable du traitement de ne pas utiliser à nouveau les données de contact si elles venaient à lui être transmises à nouveau par une autre personne que la personne concernée) de la personne ayant fait opposition pendant une durée minimale de trois ans et de ne conserver que les empreintes de l’adresse ou du numéro utilisé pour la prospection.
(Cnil, P, 26 juin 2023, Mise en demeure, Société X, n°MED-2023-040, non publié).
8. Conserver des données en archivage intermédiaire
Tables Informatique et Libertés
Rempli ses obligations en matière de limitation de la conservation des données, l’entreprise qui à l’issue d’une période de conservation en base active, anonymise les données non pertinentes et conserve en base d’archivage intermédiaire, les données pertinentes jusqu’à l’anonymisation de ces données en fin d’archivage intermédiaire.
(Cnil, FR, 23 juin 2022, Clôture d’injonction, Société X, n° SAN-2022-012, non publié).
Nos avocats peuvent vous accompagner, n’hésitez pas à nous contacter : paris@lexing.law
Marion Catier
Avocate, Directeur d’activité au sein du pôle Contentieux numérique
Morgane Ammar
Avocat
Pour en apprendre davantage
À l'aube d'une ère où l'intelligence artificielle (IA) est en passe de devenir un compagnon quotidien...
Les intelligences artificielles génératives telles que ChatGPT constituent une révolution pour les professionnels du droit...