Politique de conservation et d'archivage des données

Définition

La politique de conservation et d'archivage des données est le document de gouvernance interne par lequel une organisation formalise, pour chaque catégorie de traitement figurant dans son registre des activités de traitement, les durées de conservation applicables et les modalités concrètes de gestion du cycle de vie des données personnelles. Elle traduit en règles opérationnelles le principe de limitation de la conservation posé par le RGPD, en distinguant généralement plusieurs phases : la durée d'utilisation courante des données pour la finalité du traitement, une éventuelle durée d'archivage intermédiaire à accès restreint pour répondre à des obligations légales ou à des besoins probatoires, et enfin la suppression définitive ou l'anonymisation irréversible des données. Cette politique doit préciser les responsables de sa mise en œuvre, les mécanismes techniques permettant l'application automatisée des durées définies, comme des règles de purge programmées dans les systèmes d'information, ainsi que les modalités de contrôle périodique permettant de vérifier que les durées effectivement observées correspondent bien à celles annoncées aux personnes concernées dans les mentions d'information. Une politique de conservation bien construite facilite grandement la réponse aux demandes d'exercice de droits et réduit la surface d'exposition en cas de violation de données, les données obsolètes non supprimées constituant un risque inutile pour l'organisation comme pour les personnes concernées.