Durees de conservation
La définition et le respect des durées de conservation constituent l’un des principes fondamentaux du RGPD (article 5.1.e). Pour un SPST, ce sujet est particulièrement complexe en raison de la diversité des données traitées : données de santé du DMST, données administratives des entreprises adhérentes, données RH internes, données de vidéosurveillance, données du site internet, etc.
Cette page présente l’ensemble des durées de conservation applicables aux traitements d’un SPST. Elle s’appuie sur deux sources complémentaires au Guide CNIL pour les SPST :
- Le Guide pratique CNIL « Les durées de conservation » (juillet 2020), élaboré en partenariat avec le Service interministériel des archives de France (SIAF), qui pose le cadre méthodologique général.
- Le Référentiel CNIL « Durées de conservation, Traitements dans le domaine de la santé (hors recherches) », qui détaille les durées spécifiques au secteur de la santé.
Le principe de limitation de la conservation
L’article 5.1.e du RGPD impose à chaque responsable de traitement de déterminer une durée de conservation des données personnelles cohérente et justifiée au regard de l’objectif de leur traitement. Un SPST ne peut donc conserver des données de manière illimitée, sauf dans certains cas spécifiques prévus par la loi.
Source : Guide pratique CNIL, « Les durées de conservation » (juillet 2020), section 1.2.
Les trois phases du cycle de vie des données
Conformément au Guide pratique CNIL (section 1.3), le cycle de vie d’une donnée personnelle dans un SPST se décompose en trois phases successives :
- L’utilisation courante (« base active ») : les données sont accessibles par les services opérationnels chargés du traitement. Par exemple, le DMST d’un salarié suivi est accessible à l’équipe pluridisciplinaire pendant la durée du suivi.
- L’archivage intermédiaire : les données ne sont plus utilisées pour atteindre l’objectif fixé mais doivent être conservées pour répondre à une obligation légale ou constituer des éléments de preuve. Seules les personnes spécifiquement habilitées peuvent y accéder, de manière ponctuelle.
- L’archivage définitif : concerne uniquement les données archivées sans limitation de durée à des fins archivistiques dans l’intérêt public. Cette phase concerne essentiellement le secteur public.
Source : Guide pratique CNIL, « Les durées de conservation » (juillet 2020), sections 1.3 et 1.5.
Durées obligatoires et durées recommandées
Le Référentiel CNIL « Traitements dans le domaine de la santé » distingue deux catégories de durées :
- Les durées obligatoires, imposées par la réglementation (Code du travail, Code de la santé publique, Code de la sécurité intérieure, etc.).
- Les durées recommandées par la CNIL, qui ne revêtent pas un caractère obligatoire mais constituent des points de repère. Le responsable de traitement peut opter pour une durée différente, à condition de documenter ce choix.
Source : Référentiel CNIL, « Durées de conservation, Traitements dans le domaine de la santé (hors recherches) », légende p. 2.
Tableau des durées de conservation applicables aux SPST
Données de santé et suivi médical
| Type de données | Durée en base active | Archivage intermédiaire | Fondement juridique | Source |
|---|---|---|---|---|
| DMST (Dossier Médical en Santé au Travail) | Pendant la durée du suivi du salarié | 40 ans à compter de la dernière visite | Art. D. 4624-46 du Code du travail | Guide CNIL SPST, Fiche 5 |
| Exposition CMR (agents cancérogènes, mutagènes, reprotoxiques) | Pendant la durée du suivi | 50 ans à compter de la fin de l’exposition | Art. R. 4412-55 du Code du travail | Guide CNIL SPST, Fiche 5 |
| Exposition agents biologiques (groupes 3 et 4) | Pendant la durée du suivi | 40 ans à compter de la fin de l’exposition | Art. R. 4426-9 du Code du travail | Guide CNIL SPST, Fiche 5 |
| Exposition rayonnements ionisants | Pendant la durée du suivi | Jusqu’au 75e anniversaire du travailleur | Art. R. 4451-83 du Code du travail | Guide CNIL SPST, Fiche 5 |
| Avis d’aptitude, d’inaptitude, attestations de suivi | Pendant la relation contractuelle | 5 ans | Recommandation CNIL | Guide CNIL SPST, Fiche 5 |
Données administratives et relations adhérents
| Type de données | Durée en base active | Archivage intermédiaire | Fondement juridique | Source |
|---|---|---|---|---|
| Fiches d’entreprise | Pendant la durée de l’adhésion | 5 ans après la fin de l’adhésion | Recommandation CNIL | Guide CNIL SPST, Fiche 5 |
| Données administratives des entreprises adhérentes | Pendant la durée de la relation contractuelle | 5 ans après la fin du contrat | Prescription civile de droit commun (art. 2224 du Code civil) | Guide pratique CNIL (section 2.1) |
| Contrats d’adhésion | Pendant la durée de la relation contractuelle | 5 ans après la fin du contrat | Art. 2224 du Code civil (prescription civile) | Guide pratique CNIL (section 2.1) |
| Contrats de sous-traitance (art. 28 RGPD) | Pendant la durée du contrat | 5 ans après la fin du contrat | Prescription civile de droit commun | Guide pratique CNIL (section 2.1) |
| Correspondance commerciale (courriers, emails) | Pendant la durée de la relation contractuelle | 5 ans après la fin du contrat | Art. 2224 du Code civil | Guide pratique CNIL (section 2.1) |
Comptabilité et gestion financière
Le SPST, en tant que personne morale (généralement une association loi 1901), est soumis aux obligations comptables de droit commun. Le Guide pratique CNIL (section 2.1) rappelle que les textes suivants imposent des durées de conservation spécifiques.
| Type de données | Durée en base active | Archivage intermédiaire | Fondement juridique | Source |
|---|---|---|---|---|
| Livres et registres comptables (livre-journal, grand livre, livre d’inventaire) | Exercice comptable en cours | 10 ans à compter de la clôture de l’exercice | Art. L. 123-22 du Code de commerce | Guide pratique CNIL (section 2.1) |
| Pièces justificatives comptables (factures émises et reçues, bons de commande, bons de livraison) | Exercice comptable en cours | 10 ans à compter de la clôture de l’exercice | Art. L. 123-22 du Code de commerce | Guide pratique CNIL (section 2.1) |
| Documents fiscaux (déclarations fiscales, avis d’imposition, TVA) | Exercice fiscal en cours | 6 ans à compter de la dernière opération mentionnée ou de la date à laquelle le document a été établi | Art. L. 102 B du Livre des procédures fiscales | Guide pratique CNIL (section 2.1) |
| Documents bancaires (relevés, virements, prélèvements) | Exercice comptable en cours | 5 ans | Art. L. 110-4 du Code de commerce (prescription commerciale) | Guide pratique CNIL (section 2.1) |
| Cotisations sociales (URSSAF, retraite, prévoyance) | Exercice en cours | 3 ans (durée du contrôle URSSAF) puis 5 ans en cas de contentieux | Art. L. 244-3 du Code de la sécurité sociale | Guide pratique CNIL (section 2.1) |
| Rapports du commissaire aux comptes | Exercice comptable en cours | 10 ans | Art. L. 123-22 du Code de commerce | Guide pratique CNIL (section 2.1) |
Données RH internes du SPST
Un SPST est également employeur. À ce titre, il traite un volume important de données personnelles relatives à ses propres salariés (médecins du travail, infirmiers, secrétaires médicaux, ergonomes, psychologues du travail, etc.). Le Guide pratique CNIL (section 2.1) et les référentiels sectoriels de la CNIL encadrent ces durées.
Gestion administrative du personnel
| Type de données | Durée en base active | Archivage intermédiaire | Fondement juridique | Source |
|---|---|---|---|---|
| Dossiers du personnel (contrat, avenants, fiches de poste) | Pendant la durée du contrat de travail | 5 ans après le départ du salarié | Art. 2224 du Code civil (prescription civile de droit commun) | Guide pratique CNIL (section 2.1) |
| Registre unique du personnel | Pendant la durée de présence du salarié | 5 ans après le départ du salarié | Art. R. 1221-26 du Code du travail | Guide pratique CNIL (section 2.1) |
| Documents relatifs au recrutement (CV, lettres de motivation) | 2 ans maximum après le dernier contact avec le candidat | N/A | Recommandation CNIL | Guide pratique CNIL (section 2.1) |
| Entretiens annuels d’évaluation et entretiens professionnels | Pendant la durée de présence du salarié | 6 ans après le dernier entretien (obligation de l’entretien professionnel tous les 2 ans sur 6 ans) | Art. L. 6315-1 du Code du travail | Guide pratique CNIL (section 2.1) |
| Données de formation professionnelle | Pendant la durée de présence du salarié | 6 ans (bilan des entretiens professionnels) | Art. L. 6315-1 du Code du travail | Guide pratique CNIL (section 2.1) |
| Sanctions disciplinaires | 3 ans à compter de la notification de la sanction | N/A (prescription des sanctions disciplinaires) | Art. L. 1332-5 du Code du travail | Guide pratique CNIL (section 2.1) |
| Documents de fin de contrat (solde de tout compte, certificat de travail, attestation Pôle emploi) | Remise au salarié | 5 ans (contestation du solde de tout compte : 6 mois, mais prescription civile : 5 ans) | Art. L. 1234-20 du Code du travail / Art. 2224 du Code civil | Guide pratique CNIL (section 2.1) |
Paie et charges sociales
| Type de données | Durée en base active | Archivage intermédiaire | Fondement juridique | Source |
|---|---|---|---|---|
| Bulletins de paie (double employeur) | Pendant la relation contractuelle | 5 ans | Art. L. 3243-4 du Code du travail | Guide pratique CNIL (section 2.6) |
| Éléments de calcul de la paie (primes, heures supplémentaires, absences) | Pendant la relation contractuelle | 5 ans | Art. L. 3243-4 du Code du travail | Guide pratique CNIL (section 2.1) |
| Déclarations sociales nominatives (DSN) | Exercice en cours | 3 ans (délai de contrôle URSSAF) puis conservation possible jusqu’à 5 ans | Art. L. 244-3 du Code de la sécurité sociale | Guide pratique CNIL (section 2.1) |
| Données relatives aux arrêts maladie et accidents du travail | Pendant la durée de présence du salarié | 5 ans après le départ du salarié (possiblement davantage en cas de maladie professionnelle) | Art. 2224 du Code civil / Art. L. 431-2 du Code de la sécurité sociale | Guide pratique CNIL (section 2.1) |
Temps de travail, accès et déplacements
| Type de données | Durée en base active | Archivage intermédiaire | Fondement juridique | Source |
|---|---|---|---|---|
| Données de badgeage / contrôle d’accès aux locaux | 3 mois glissants | N/A | Recommandation CNIL | Guide pratique CNIL (section 2.1) |
| Données de suivi du temps de travail (horaires, heures supplémentaires) | Pendant la relation contractuelle | 5 ans (pour le décompte des heures) | Art. L. 3171-4 du Code du travail | Guide pratique CNIL (section 2.1) |
| Données de géolocalisation des véhicules de service | 2 mois maximum | N/A | Recommandation CNIL (norme simplifiée n° 51) | Guide pratique CNIL (section 2.1) |
| Données de téléphonie (relevés d’appels professionnels) | 1 an maximum | N/A | Recommandation CNIL | Guide pratique CNIL (section 2.1) |
| Notes de frais et justificatifs de déplacement | Exercice comptable en cours | 10 ans (pièces comptables) | Art. L. 123-22 du Code de commerce | Guide pratique CNIL (section 2.1) |
Instances représentatives du personnel
| Type de données | Durée en base active | Archivage intermédiaire | Fondement juridique | Source |
|---|---|---|---|---|
| Données relatives aux élections du CSE (listes électorales, procès-verbaux) | Pendant la durée du mandat | 5 ans après la proclamation des résultats (délai de contestation) | Art. R. 2314-24 du Code du travail | Guide pratique CNIL (section 2.1) |
| Données de vote électronique (fichiers des électeurs, émargements) | Pendant la durée du scrutin | 15 jours après la proclamation des résultats (sauf contentieux en cours) | Art. R. 2314-17 du Code du travail | Guide pratique CNIL (section 2.1) |
Sécurité et traçabilité
| Type de données | Durée en base active | Archivage intermédiaire | Fondement juridique | Source |
|---|---|---|---|---|
| Images de vidéosurveillance | 30 jours maximum | N/A (sauf procédure disciplinaire ou pénale en cours) | Art. L. 252-3 du Code de la sécurité intérieure | Guide pratique CNIL (section 2.1) |
| Journaux de connexion (logs techniques) | 6 mois à 1 an | 1 an | Recommandation CNIL / ANSSI | Guide pratique CNIL (section 2.1) |
| Registre des violations de données | Pendant toute la durée d’activité du SPST | 5 ans après la dernière violation enregistrée | Art. 33.5 du RGPD | Guide pratique CNIL (section 2.3) |
| Registre des activités de traitement | Pendant toute la durée du traitement | Conservation recommandée après la fin du traitement pour documenter la conformité | Art. 30 du RGPD | Guide pratique CNIL (section 2.3) |
| Demandes d’exercice de droits (accès, rectification, effacement, etc.) | Le temps du traitement de la demande | 5 ans à compter de la réponse | Recommandation CNIL | Guide pratique CNIL (section 2.3) |
| Analyses d’impact (AIPD) | Pendant toute la durée du traitement concerné | Conservation recommandée après la fin du traitement | Art. 35 du RGPD | Guide pratique CNIL (section 2.3) |
Site internet et communication du SPST
| Type de données | Durée en base active | Archivage intermédiaire | Fondement juridique | Source |
|---|---|---|---|---|
| Cookies et traceurs | 13 mois maximum à compter du dépôt | N/A | Art. 82 de la loi Informatique et Libertés / Lignes directrices CNIL cookies | Guide pratique CNIL (section 2.1) |
| Consentement aux cookies | Preuve conservée pendant la durée de validité du consentement | 6 mois après le retrait ou l’expiration du consentement | Recommandation CNIL | Guide pratique CNIL (section 2.1) |
| Formulaires de contact / demandes d’information | Le temps du traitement de la demande | 3 ans à compter du dernier contact | Recommandation CNIL (prospection) | Guide pratique CNIL (section 2.1) |
| Données de connexion (hébergeur) | 1 an à compter de la création du contenu | N/A | Décret n° 2011-219 du 25 février 2011 (LCEN) | Guide pratique CNIL (section 2.1) |
Comment documenter sa conformité en matière de durées
Le Guide pratique CNIL (section 2.3) rappelle que la documentation constitue un élément clé de conformité. Un SPST doit pouvoir justifier chaque durée de conservation retenue. Cette documentation doit comporter :
- Le registre des activités de traitement mentionnant les durées de conservation pour chaque traitement.
- Un document de référence centralisant, par exemple sous forme de tableau, les durées retenues pour chaque catégorie de données, avec la référence juridique ou la justification correspondante.
- Les procédures d’archivage et de suppression, y compris les modalités de purge automatique ou manuelle.
- Les instructions écrites transmises aux sous-traitants en matière de durées de conservation.
Source : Guide pratique CNIL, « Les durées de conservation » (juillet 2020), section 2.3.
Les risques en cas de non-respect
Le Guide pratique CNIL (section 2.8) rappelle qu’en cas de non-respect du principe de limitation de la conservation, l’article 83.5 du RGPD prévoit une amende administrative pouvant s’élever jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent.
Lors de ses contrôles, la CNIL vérifie systématiquement les durées de conservation. Les manquements les plus fréquemment constatés sont :
- L’absence de définition d’une durée de conservation (aucune politique n’a été définie et les données ne sont jamais effacées).
- Des durées excessives (conservation indéfinie dans le système d’information).
- L’absence de mécanisme de purge (les données sont effacées manuellement selon une périodicité variable).
Source : Guide pratique CNIL, « Les durées de conservation » (juillet 2020), section 2.8.
Grille d’analyse pour identifier les durées applicables
Le Guide pratique CNIL (section 2.9) propose une grille d’analyse que chaque SPST peut utiliser pour déterminer la durée applicable à chacun de ses traitements :
- Contexte : Le traitement contient-il des données personnelles ? Quel est son objectif ? Les données sont-elles des données sensibles (données de santé) ?
- Utilisation courante : Un texte législatif ou réglementaire impose-t-il une durée pour ce traitement ? Si oui, laquelle ? Si non, jusqu’à quand les données sont-elles nécessaires pour atteindre la finalité fixée ?
- Archivage intermédiaire : Un texte impose-t-il d’archiver ces données ? Si non, les données présentent-elles un intérêt administratif ou juridique (contentieux) ?
- Suppression ou anonymisation : À l’issue de l’archivage, les données doivent être supprimées ou anonymisées de manière irréversible.
Source : Guide pratique CNIL, « Les durées de conservation » (juillet 2020), section 2.9.
Cas particulier : données utilisées dans plusieurs traitements
Le Guide pratique CNIL (section 2.7) attire l’attention sur le cas où une même donnée est utilisée dans deux traitements distincts avec des durées de conservation différentes. C’est un cas fréquent dans un SPST : par exemple, l’identité d’un salarié figure à la fois dans le DMST (40 ans) et dans les données administratives de suivi (5 ans).
Dans ce cas, les données associées à la durée la plus longue seront conservées. En revanche, pour l’autre finalité dont la durée est plus courte, ces données ne pourront plus être utilisées au-delà de la durée prévue pour cette finalité.
Source : Guide pratique CNIL, « Les durées de conservation » (juillet 2020), section 2.7.
Besoin d’aide pour définir vos durées de conservation ?
La définition des durées de conservation dans un SPST nécessite une analyse fine de chaque traitement. Contactez-nous pour un accompagnement personnalisé.