LA PAUSE RGPD #3 : Les durées de conservation

Établir les durées de conservation des DCP (données à caractère personnel) et des documents est une des obligations du RGPD. 

Il y a 2 notions à retenir :  

• La conservation en base active qui correspond au dossier de travail,  

• La conservation en archivage intermédiaire, qui correspond à un archivage (papier ou numérique). 

La mise en place d’un archivage intermédiaire numérique implique qu’il soit possible de transférer des documents vers une infrastructure qui soit différente de la base active.  

Par exemple, un serveur (physique, ou virtuel ou cloud) dédié et accessible uniquement par un nombre restreint de personnes.  

La mise en place d’un archivage intermédiaire de « papier » impose une zone d’archivage fermée à clé et accessible uniquement par un nombre restreint de personnes.  

Dans tous les cas, l’archivage intermédiaire doit être conçu pour pouvoir respecter les durées de conservation, donc faciliter la suppression des documents. 

Il est également indispensable de rédiger une procédure d’archivage et de suppression des données qui sera demandée en cas de contrôle.

Dans la sphère RH, il faut être à la fois précis, justifier les durées de conservation et simplifier les durées pour éviter qu’un même document ait des durées de conservation différentes en fonction des traitements réalisés. 

A titre d’exemples : 

1. Les données courantes concernant un salarié seront conservées : 

• Pendant le temps de présence du salarié dans l’entreprise en base active 

• 5 ans à compter de sa date de départ en archivage intermédiaire selon l’article 2224 du Code civil 

​2. Les documents relatifs aux recrutements seront conservés : 

• Pendant la durée nécessaire aux opérations de recrutement augmentée de la période d’essai du candidat retenu en base active 

• 2 ans à compter de la fin de la période d’essai du candidat retenu en archivage intermédiaire selon le guide du recrutement de la CNIL 

• 5 ans à compter de la révélation d’une discrimination en archivage intermédiaire selon l’article L. 1134-5 du Code du travail. Dans ce cas une zone d’archivage intermédiaire spécifique doit être utilisée dans laquelle on pourra retrouver tous les dossiers de contentieux. 

3. Les déclarations d’accident du travail et de maladie professionnelle seront conservées : 

• Pendant la durée nécessaire à la gestion des déclarations en base active 

• 10 ans à compter de la consolidation du dommage initial ou aggravé en archivage intermédiaire selon l’article D. 4711-3 du Code du travail (prescription de 2 ou 5 ans), l’article L. 431-2 du Code de sécurité sociale (prescription de 2 ans), et l’article 2226 du Code civil (Prescription de 10 ans pour les dommages corporels subis lors du travail) 

Il y a 2 façons de supprimer des données et/ou des documents : 

• La suppression des dossiers numériques doit faire l’objet d’un effacement sécurisé en utilisant un utilitaire de type « Eraser ». La mise à la corbeille du dossier n’est pas considérée comme une suppression des documents, même si la corbeille est vidée. 

• La destruction des documents « papier » doit être faite à l’aide d’un broyeur certifié classe 3 de la norme DIN 32757. En cas de destruction massive de documents papier par un prestataire, un certificat de destruction avec la liste des documents ou dossiers détruits doit être remis par le prestataire. 

---

Nos experts RGPD sont à votre disposition pour vous accompagner dans votre conformité RGPD. N’hésitez pas à contacter vos interlocuteurs habituels. 

Pour en savoir davantage sur la question de la collecte des données RH dans le cadre du RGPD, n’hésitez pas à participer au replay de notre webinar du 04 octobre 2022 sur le sujet. L’occasion de découvrir comment transformer cette contrainte en opportunité de simplification.