- RGPD Article 5, paragraphe 1, point e): les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire à son objectif déclaré
- Registres AML/KYC: minimum 5 ans après la fin de la relation; jusqu'à 10 ans lorsque le droit national l'exige
- Vous devez documenter les périodes de conservation par catégorie de données — pas une seule règle « 7 ans pour tout »
- Le fait de ne pas supprimer les données expirées constitue en soi une violation du RGPD, même si les données ont été collectées légalement
La plupart des entreprises réglementées investissent massivement dans la collecte et la protection des données personnelles. Beaucoup moins d'investir dans son élimination correcte. En vertu du RGPD, la conservation des données au-delà de la période justifiée par son objectif initial constitue une violation du principe de limitation du stockage, indépendamment de la manière dont les données ont été sécurisées pendant que vous les déteniez.
Pour les cabinets d'avocats, les comptables, les fintechs et d'autres professionnels réglementés, le défi est de naviguer sur les obligations qui se chevauchent : les règlements sur la LAM exigent une conservation minimale de cinq ans; les délais de prescription pour les différends contractuels sont de sept ou dix ans; et le RGPD exige que vous conserviez seulement ce qui est nécessaire. Ces obligations doivent être rapprochées dans un calendrier de conservation documenté.
Voie d'achat HubSecure connexe
Guide de la collection de documents et de la faille guide de la collection de documents sécurisé B01 module Guide logiciel de la collection de documents de comparaison Dropbox Guide de la bibliothèque livre une démo de workflow
Ressources connexes en matière de sécurité, de protection de la vie privée et de gouvernance
Continuer avec HubSecure centre de sécurité et de confiance , accord de traitement de données , sous-processeurs , flux de travail de conformité , opérateur AI régi .
Cas d'utilisation connexe
Ce guide appartient au cluster Secure Document Collection Guides. Continuer avec le hub produit pour une collecte de documents sécurisée.
Le principe de limitation du stockage
L'article 5, paragraphe 1, point e), du RGPD dispose que les données à caractère personnel doivent être conservées sous une forme qui ne permet pas l'identification plus longtemps que nécessaire aux fins pour lesquelles elles sont traitées . Voici deux exigences pratiques : vous devez être en mesure d'indiquer un but pour chaque catégorie de données que vous possédez, et vous devez avoir un déclencheur de suppression défini pour chaque catégorie.
Périodes de conservation communes par catégorie de données
AML et KYC
4AMLD et 5AMLD obligent les entités à conserver les dossiers de diligence raisonnable et les dossiers de transaction pendant au moins cinq ans après la fin de la relation d'affaires ou la fin de la transaction. Les mises en œuvre nationales dans certains États membres de l'UE s'étendent à dix ans lorsque les autorités de contrôle l'exigent.
Contrats et relevés de facturation
La plupart des juridictions de l'UE ont un délai de prescription de six à dix ans pour les créances contractuelles. Les entreprises de services professionnels conservent généralement les lettres de mission, les accords de frais, les factures et la correspondance connexe pour cette période.
Emploi
Les dossiers de paie, les contrats de travail et les dossiers disciplinaires sont habituellement conservés pendant six à sept ans après l'emploi. Les données du CV pour les candidats non reçus devraient être supprimées dans les deux à six mois, à moins que les candidats ne consentent à ce que leur dossier soit conservé.
Commercialisation et registres de consentement
Les registres de consentement devraient être conservés pendant la durée de la relation, plus suffisamment de temps pour défendre une plainte, généralement de deux à trois ans. Les listes de commercialisation actives devraient être revues et nettoyées au moins une fois par année.
Comment construire votre calendrier de rétention
- Inventoriez vos catégories de données — dossiers clients, données sur les employés, données sur les perspectives, dossiers financiers, vidéosurveillance, listes de marketing, journaux de vérification
- Identifier la base juridique et le but de la détention de chaque catégorie
- Fixer le délai de conservation en fonction du minimum légal, du délai de prescription ou des besoins opérationnels documentés — selon le plus long et le plus justifiable
- Définir le déclencheur de suppression — fin du contrat, dernière date de transaction, retrait du consentement, cessation d'emploi
- Attribuer la propriété — qui initie la suppression, qui vérifie qu'elle a été faite
- Implémenter les procédures de suppression dans vos systèmes, y compris les sauvegardes et les archives
- Révision annuelle — mise à jour lorsque les processus ou les exigences juridiques changent
Note sur l'anonymisation : Les données réellement anonymes ne relèvent pas du champ d'application du RGPD. Si vous pouvez retirer toutes les informations d'identification de sorte que la réidentification est impossible même avec des données supplémentaires, le résultat n'est pas des données personnelles. La pseudonymisation à elle seule n'est pas suffisante — les données pseudonymées restent des données personnelles en vertu du RGPD.
Erreurs courantes
- Une politique sans procédures de suppression — écrire des périodes de conservation mais jamais supprimer les données à leur expiration
- Ignorer les sauvegardes — les bandes de sauvegarde et les instantanés cloud contiennent des données personnelles; elles doivent être couvertes par des procédures de conservation
- Les processeurs oubliés — vos accords de traitement de données doivent passer des obligations de conservation aux sous-traitants et aux fournisseurs
- Une période pour tout — une politique générale de "conserver pendant sept ans" survit rarement à un examen de plusieurs types de données avec des bases juridiques différentes
Le calendrier de conservation doit-il être publié?
Votre avis de confidentialité doit inclure des périodes de conservation ou les critères utilisés pour les déterminer (articles 13(2)a) et 14(2)a)). Un langage souple comme "aussi longtemps que nécessaire" sans précisions ne satisfait pas à cette exigence.
Pouvons-nous garder les données "juste au cas où" nous en avons besoin pour les litiges?
Si un litige particulier est raisonnablement prévu, il est justifiable et doit être documenté de placer une saisie légale sur des documents précis. Une approche générale de « tout garder » ne satisfait pas à l'exigence de limitation de stockage du RGPD.
Automatiser la gestion du cycle de vie des données
HubSecure Vault vous permet de définir des périodes de conservation par type d'enregistrement — avec des instructions de suppression automatisée, des pistes d'audit et une documentation prête au RGPD.
Voyez-le en actionExamen des équipes réglementées
Préparé par l'équipe de rédaction HubSecure à l'intention des exploitants, des responsables de la conformité et des examinateurs de TI qui évaluent les logiciels d'exploitation sécurisés des clients.
Auteurs · évaluateurs · Politique éditoriale