Fiche 6 : Durees de conservation

Fiche 6 : Durées de conservation

La Fiche 6 du Guide CNIL pour les SPST traite des durées de conservation applicables aux différentes catégories de données traitées par les Services de Prévention et de Santé au Travail.

Points clés de la Fiche 6

• DMST : 40 ans à compter de la dernière visite (minimum 10 ans après le départ)
• Expositions CMR : 50 ans après la fin de l’exposition
• Distinction entre base active, archivage intermédiaire et destruction
• Nécessité de procédures de purge documentées
• Traçabilité de la destruction (bordereaux d’élimination)

Compléments issus du Guide pratique CNIL et du Référentiel CNIL Santé

Les informations ci-dessous viennent compléter la Fiche 6 du Guide CNIL pour les SPST. Elles sont issues de deux documents de la CNIL :

• Le Guide pratique « Les durées de conservation » (juillet 2020), élaboré avec le Service interministériel des archives de France (SIAF).
• Le Référentiel « Durées de conservation, Traitements dans le domaine de la santé (hors recherches) ».

Base active et archivage intermédiaire : ce que précise la CNIL

Le Guide CNIL SPST mentionne la distinction base active / archivage intermédiaire. Le Guide pratique CNIL (section 2.6) apporte des précisions importantes sur la mise en oeuvre concrète de cette séparation dans un SPST :

• Séparation physique : extraction des DMST archivés du logiciel métier vers une base d’archivage dédiée, avec des fonctionnalités limitées (consultation uniquement, export pour répondre aux demandes de droits).
• Séparation logique : les dossiers restent dans le même logiciel mais sont isolés par une restriction des habilitations. Les membres de l’équipe pluridisciplinaire qui traitaient ces dossiers en phase active n’y ont plus accès librement.

Dans un SPST, cette séparation concerne les DMST des salariés dont le suivi est terminé (fin d’adhésion de l’entreprise, départ du salarié). Le logiciel métier doit permettre de distinguer les dossiers actifs des dossiers archivés.

Source : Guide pratique CNIL (juillet 2020), section 2.6.

Durées obligatoires et durées recommandées

Le Référentiel CNIL Santé (légende p. 2) précise une distinction que la Fiche 6 du Guide CNIL SPST n’aborde pas en détail :

• Les durées obligatoires, imposées par un texte (exemple : 40 ans pour le DMST, art. D. 4624-46 du Code du travail). Le SPST n’a aucune marge de manoeuvre.
• Les durées recommandées par la CNIL, sans caractère contraignant. Le SPST peut retenir une durée différente, à condition de documenter et justifier ce choix dans son registre des traitements.

Source : Référentiel CNIL, « Traitements dans le domaine de la santé (hors recherches) », légende p. 2.

Données utilisées dans plusieurs traitements

Le Guide pratique CNIL (section 2.7) traite un cas fréquent dans les SPST : une même donnée utilisée pour plusieurs finalités avec des durées différentes. Par exemple, l’identité d’un salarié figure à la fois dans le DMST (40 ans) et dans les données administratives de l’adhésion (5 ans).

Règle à retenir : les données sont conservées jusqu’au terme de la durée la plus longue, mais ne peuvent plus être utilisées pour la finalité dont la durée est échue. Le SPST doit distinguer les finalités dans ses systèmes d’information.

Source : Guide pratique CNIL (juillet 2020), section 2.7.

Grille d’analyse proposée par la CNIL

Le Guide pratique CNIL (section 2.9) propose une grille d’analyse que le DPO du SPST peut utiliser pour chaque traitement :

1. Contexte : Le traitement contient-il des données sensibles (données de santé) ? Quels éléments sont utiles à la détermination de la durée ?
2. Utilisation courante : Un texte impose-t-il une durée ? S’agit-il d’une durée minimale ou maximale ? Si aucun texte ne s’applique, jusqu’à quand les données sont-elles nécessaires pour la finalité ?
3. Archivage intermédiaire : Un texte impose-t-il l’archivage ? Si non, les données présentent-elles un intérêt juridique (contentieux potentiel) ?
4. Suppression : À l’issue de l’archivage, suppression irréversible ou anonymisation.

Source : Guide pratique CNIL (juillet 2020), section 2.9.

Documentation à constituer

Le Guide pratique CNIL (section 2.3) complète la Fiche 6 en détaillant la documentation que le SPST doit constituer pour prouver sa conformité :

• Le registre des activités de traitement (art. 30 RGPD) avec les durées pour chaque traitement.
• Un tableau de référence centralisant les durées retenues, les fondements juridiques et les procédures de purge.
• Les procédures d’archivage et de suppression (purge automatique dans le logiciel, destruction physique des dossiers papier).
• Les instructions écrites transmises aux sous-traitants (éditeur de logiciel, hébergeur HDS, prestataire d’archivage).

Source : Guide pratique CNIL (juillet 2020), section 2.3.