La fiche 5 du guide CNIL pour les SPST fixe les durées de conservation des données du service, à commencer par celles du dossier médical en santé au travail. Elle rappelle que chaque donnée doit avoir une durée définie, justifiée par la finalité, et qu’au-delà, elle est supprimée ou archivée selon des règles précises.
Aucune durée applicable au dossier médical n’a changé en octobre. Trois décisions du mois rappellent en revanche ce que coûte une conservation qui n’est pas justifiée, en particulier pour des données sensibles.
Ce qui change
Le 16 octobre 2026, le Conseil d’État a confirmé les sanctions prononcées contre deux sociétés de voyance (décisions n° 499596 et n° 499597). Elles conservaient pendant six ans des données révélant des éléments sensibles sur leurs clients. Le juge retient que cette durée n’était pas justifiée au regard de la durée de trois ans recommandée par la CNIL pour ce type de relation.
Le Garante, l’autorité italienne, a sanctionné une compagnie aérienne de 180 000 euros par une décision du 14 mai 2026, publiée le 9 octobre. La compagnie gardait pendant sept ans les formulaires médicaux remplis par des passagers pour bénéficier d’une assistance, bien au-delà du besoin.
Enfin, la revendication publiée en octobre contre un réseau d’aide à domicile, non confirmée par l’organisme, mentionne des données qui auraient plus de dix ans. Une archive jamais purgée finit par alimenter une fuite.
Ces décisions appliquent l’article 5.1.e du RGPD, le principe de limitation de la conservation. L’autorité vérifie ce qui est réellement conservé ; une durée écrite mais jamais appliquée ne protège de rien.
Ce que cela implique pour un SPST
Le dossier médical obéit à des durées fixées par le code du travail. Les autres données du service sont plus exposées, parce qu’elles sont dispersées et rarement purgées.
- Les bases d’anciens logiciels métiers, conservées après une migration « pour consultation », contiennent souvent l’intégralité des dossiers de plusieurs années.
- Les exports ponctuels (listes de convocation, extractions pour une étude, tableaux de suivi) restent sur des disques partagés ou dans des messageries.
- Les boîtes de messagerie d’anciens salariés du service, conservées sans limite, contiennent des échanges sur des situations individuelles.
- Les enregistrements d’appels, les formulaires en ligne et les documents scannés à l’accueil suivent rarement une durée formalisée.
Pour chacun de ces gisements, le service doit fixer une durée, désigner un responsable et prouver la suppression. Une destruction se documente : date, périmètre, méthode, attestation du prestataire lorsqu’il intervient.
Le cas des données transférées depuis un ancien logiciel mérite une attention particulière. Si les dossiers ont été repris dans le nouvel outil, l’ancienne base n’a plus de finalité propre. Si elle reste nécessaire pour un temps limité, son accès doit être restreint et sa suppression programmée.
Comment le traiter dans DPO SUITE
Ouvrez le registre des délais de conservation et vérifiez que chaque document est qualifié : nom, point de départ, base légale, durée et localisation. Ajoutez les documents souvent oubliés : « Base de l’ancien logiciel métier », « Exports ponctuels », « Messagerie des salariés partis », « Enregistrements d’appels ». Pour chacun, interrogez le responsable de la donnée afin qu’il valide le délai proposé.
Dans le module infrastructure, recensez les serveurs et composants qui hébergent encore d’anciennes bases ou des exports. Rattachez-les aux traitements concernés pour que la localisation des données soit exacte.
Pour chaque gisement conservé sans justification, créez une non-conformité et une action corrective « Destruction avec attestation », avec une échéance et un responsable. Rattachez l’attestation de destruction, stockée dans le drive du client connecté, quand elle est disponible. Ces actions apparaîtront ensuite dans le rapport annuel du DPO, avec leur date de clôture.
Tester la création de votre registre dans DPO SUITE.
Repères
- Article 5.1.e du RGPD
- Conseil d’État, 16 octobre 2026, n° 499596 et n° 499597, conseil-etat.fr
- Décision du Garante italien du 14 mai 2026 (publiée le 9 octobre 2026)
- Référentiel CNIL relatif aux durées de conservation
- Guide CNIL SPST, fiche 5
