La Commission nationale de l’informatique et des libertés (CNIL) a adopté un nouveau référentiel relatif aux durées de conservation pour les traitements mis en œuvre dans le secteur social et médico-social. Présenté sous forme de tableau, il fait état, pour les traitements les plus récurrents dans ce secteur, des étapes de la vie des données.
Pour mémoire, les données personnelles doivent être conservées pour une durée limitée au regard de la finalité du traitement : une conservation illimitée des données n’est pas acceptable. Cette durée peut être définie par des dispositions légales. Dans les cas où aucun texte n’impose de durée légale, la CNIL peut proposer aux responsables de traitement des durées de conservation. Il s’agit donc de recommandations qui ne revêtent pas un caractère obligatoire.
C’est dans ce contexte que ce nouveau référentiel a été publié.
La durée de conservation des données se scinde en deux temps :
Il s’agit de la durée nécessaire à la réalisation de l’objectif poursuivi lors de la collecte des données. La base active permet d’accéder facilement aux données dans l’environnement de travail pour toutes les personnes ayant besoin d’y accéder.
Une fois, l’objectif poursuivi atteint, les données ne sont plus en base active. Toutefois, elles peuvent encore être conservées si elles présentent un intérêt administratif, permettent de répondre à une obligation légale (obligation comptable, sanitaire, sociale ou fiscale) ou à des fins probatoires. En archivage intermédiaire, seules un nombre limité de personnes habilités peuvent les consulter.
A l’issue du délai de conservation en archivage intermédiaire, les données doivent être supprimées ou anonymisées : la réglementation relative à la protection des données personnelles ne sera alors plus applicable.
Dans ce nouveau référentiel, la CNIL aborde notamment la durée de conservation dans le cadre des données traitées pour les besoins de l’accueil, l’hébergement et l’accompagnement social et médico-social des personnes, des informations enregistrées concernant la personne en situation de handicap et s’il y a lieu de son représentant légal ou encore la gestion des demandes d’agréments d’adoption.
Aussi, quelque que soit le traitement de données envisagé, le responsable de traitement est tenu de s’interroger sur la durée de conservation applicable et doit être en mesure de pouvoir la justifier en cas de demandes des personnes concernées et/ou de contrôle de la CNIL.
Nous reviendrons sur l’ensemble des principes fondamentaux posés par la réglementation lors de la prochaine Formation Cycle DPO, Protection données personnelles, Santé.