Vos serveurs enregistrent chaque connexion, mais savez-vous combien de temps la loi vous oblige à garder ces traces ? Entre conservation imposée, accès des autorités et principes du RGPD, la frontière est plus fine qu’il n’y paraît.
Qu’appelle-t-on donnée de connexion ou de trafic ?
Une donnée de connexion identifie qui s’est connecté, quand et depuis quel équipement. Elle ne porte pas sur le contenu échangé, mais sur les circonstances de la communication.
On y range l’adresse IP, l’horodatage, l’identifiant d’abonné, les données de trafic et parfois la localisation. Ces métadonnées restent des données personnelles au sens du RGPD.
Beaucoup d’entreprises pensent que seuls les opérateurs télécoms sont concernés. En réalité, tout éditeur de site ou hébergeur qui permet de publier du contenu conserve aussi des données d’identification.
Combien de temps faut-il conserver ces données ?
Le Code des postes et des communications électroniques fixe la règle pour les opérateurs. Le décret du 20 octobre 2021 en précise les durées de conservation après les décisions du Conseil d’État et de la Cour de justice de l’Union européenne.
La logique distingue trois familles de données, chacune avec sa propre durée. Confondre ces catégories est l’erreur la plus fréquente en audit.
| Catégorie | Exemple | Durée courante |
|---|---|---|
| Identité civile | Nom, adresse de l’abonné | 5 ans après la fin du contrat |
| Compte et paiement | Identifiant, coordonnées | 1 an après la fin du contrat |
| Trafic et localisation | Adresse IP, horodatage | 1 an |
Pour les hébergeurs et éditeurs soumis à la loi pour la confiance dans l’économie numérique, les données permettant d’identifier l’auteur d’un contenu se conservent un an. Cette durée s’ajoute à vos propres besoins de traçabilité.
Qui peut accéder à ces données et comment ?
L’accès n’est jamais libre. Il répond à un cadre strict qui protège la personne concernée autant que l’enquête.
Le procureur, un juge d’instruction ou un officier de police judiciaire peut adresser une réquisition. L’entreprise transmet alors les données précises demandées, sans excès.
Les services de renseignement disposent d’un régime distinct, encadré et contrôlé par une autorité indépendante. La conservation généralisée du trafic n’est possible qu’en cas de menace grave et actuelle contre la sécurité nationale.
En dehors de ces demandes, personne dans l’entreprise ne devrait consulter ces journaux sans motif documenté. C’est un point de contrôle classique lors d’un audit.
Comment concilier cette conservation avec le RGPD ?
La conservation imposée par la loi repose sur une base légale claire : l’obligation légale de l’article 6 du RGPD. Vous n’avez pas à recueillir de consentement pour ces traces.
En revanche, tout ce que vous gardez au-delà du minimum imposé relève de votre propre responsabilité. Un journal de sécurité conservé pour vos besoins internes s’appuie souvent sur l’intérêt légitime.
Le principe de minimisation reste central. Vous conservez ce que la loi exige, pas davantage, et vous purgez le reste selon une durée définie et documentée.
- Cartographier chaque journal et son fondement dans le registre des traitements.
- Distinguer la conservation imposée de la conservation utile à votre sécurité.
- Fixer une durée précise et automatiser la purge à échéance.
- Restreindre l’accès aux seules personnes habilitées et tracer les consultations.
- Préparer une procédure de réponse aux réquisitions.
La CNIL détaille les conditions d’usage de cette base dans sa fiche sur l’intérêt légitime.
Cartographier vos journaux, fixer les bonnes durées et répondre sereinement à une réquisition demande du temps et de la méthode. Un DPO externalisé qui pilote votre conformité au quotidien sécurise ces arbitrages et documente chaque choix.
FAQ
Une adresse IP est-elle une donnée personnelle ?
Oui. La CNIL et la jurisprudence considèrent l’adresse IP comme une donnée personnelle, car elle permet, directement ou indirectement, d’identifier une personne. Sa conservation et son accès obéissent donc au RGPD, en plus des règles propres aux données de connexion.
Puis-je effacer les journaux à la demande d’un salarié ?
Pas toujours. Le droit à l’effacement cède devant une obligation légale de conservation. Si la loi impose de garder la trace, vous la conservez jusqu’au terme prévu. Le salarié conserve en revanche un droit d’accès aux journaux qui le concernent.
Toutes les entreprises sont-elles concernées par la conservation ?
Non, pas au même titre. Les opérateurs télécoms relèvent d’un régime dédié. Les hébergeurs et éditeurs de sites permettant de publier du contenu conservent des données d’identification un an. Les autres entreprises gèrent surtout leurs propres journaux de sécurité.
Que faire en cas de réquisition des autorités ?
Vérifiez la nature et le fondement de la demande, puis transmettez uniquement les données visées, sans surplus. Consignez l’opération et informez votre référent conformité. Une procédure préparée à l’avance évite les transmissions excessives ou tardives.
