En avril 2026, la CNIL a mis à jour son référentiel des durées de conservation en gestion des ressources humaines. Bulletins de paie, candidatures non retenues, dossiers du salarié : les durées y sont détaillées. La difficulté se situe plus loin. Lors des audits, je constate que la durée figure au registre, mais que la purge des données n’a jamais tourné, ou qu’elle s’arrête à la base principale en oubliant les copies.
Ce que dit le texte
L’article 5, paragraphe 1, point e, du RGPD impose de conserver les données sous une forme identifiante pendant une durée n’excédant pas celle nécessaire aux finalités. L’article 5, paragraphe 2, ajoute que le responsable de traitement doit être en mesure de démontrer qu’il respecte ce principe. Un effacement que l’on ne peut pas prouver ne protège donc pas l’organisme lors d’un contrôle.
La CNIL décrit le cycle de vie en trois temps sur sa page consacrée aux durées de conservation : base active, archivage intermédiaire, archivage définitif pour les seules données à valeur historique. L’archivage intermédiaire exige une séparation physique ou logique et un accès réservé à des personnes habilitées. Les référentiels publiés servent de repère ; on peut s’en écarter en documentant son choix.
Où la purge des données échoue
Les sauvegardes
Le guide CNIL de la sécurité des données personnelles recommande des sauvegardes régulières, dont une copie hors ligne et une sur un site distinct. Ces copies ne se modifient pas à la volée, et c’est normal. L’organisme doit en revanche fixer une durée de rétention des sauvegardes, s’assurer qu’elles expirent réellement, et prévoir qu’une restauration réapplique les suppressions effectuées depuis la date de la copie. Sans cette règle, une restauration fait revenir des données censées avoir disparu.
Les sous-traitants
L’article 28, paragraphe 3, point g, prévoit qu’en fin de prestation le sous-traitant supprime ou restitue les données, selon le choix du responsable. Encore faut-il exercer ce choix et obtenir une attestation. Pendant la prestation, la purge doit aussi s’appliquer chez l’éditeur du logiciel hébergé : une durée paramétrée dans l’application ne dit rien des copies de test, des exports ou des environnements de recette.
Les journaux et les fichiers périphériques
Le même guide de sécurité fixe un repère de six mois à un an pour les journaux d’événements, sur une période glissante. Les journaux contiennent souvent des identifiants, des adresses ou des extraits de requêtes. Il faut ajouter les boîtes de messagerie, les dossiers partagés, les exports tableur et les postes de travail réaffectés, que le guide demande d’effacer avant réattribution.
Deux cas sensibles : DMST et dossiers RH
Pour un service de prévention et de santé au travail, le dossier médical en santé au travail se conserve en principe quarante ans après la dernière visite du travailleur dans le service, dans la limite de dix ans après son décès, selon la synthèse de l’INRS. Certaines expositions imposent des durées propres : cinquante ans après la fin de l’exposition aux agents chimiques dangereux, par exemple. La purge doit donc se calculer dossier par dossier, à partir de la date de dernière visite et des expositions tracées, ce que le logiciel métier ne fait pas toujours seul.
Côté ressources humaines, le référentiel CNIL distingue plusieurs régimes : cinq ans pour les candidatures non retenues à compter du recrutement sur le poste, à des fins de preuve ; deux ans après le dernier contact pour une CVthèque ; cinq ans en archivage intermédiaire pour les bulletins de paie. Un même salarié génère ainsi plusieurs échéances, dans plusieurs outils.
Une feuille de route en étapes
- Partir du registre et du guide CNIL des durées de conservation pour fixer, traitement par traitement, la durée en base active, en archivage intermédiaire et l’événement qui déclenche le décompte.
- Recenser tous les emplacements de chaque catégorie de données : application principale, sauvegardes, sous-traitants, messagerie, partages réseau, journaux.
- Choisir pour chaque emplacement le mode de sortie : suppression, anonymisation réelle, ou expiration naturelle pour les sauvegardes.
- Automatiser ce qui peut l’être, et planifier une campagne périodique pour le reste, avec un responsable désigné.
- Garder une trace de chaque purge : date, traitement, volume, méthode, personne qui l’a validée. Pour les supports physiques, utiliser un outil d’effacement reconnu et conserver le certificat.
- Obtenir des sous-traitants une attestation de suppression en fin de contrat, et vérifier le point lors des audits article 28.
- Contrôler une fois par an, sur un échantillon, que les données échues ont bien disparu.
Cette documentation sert aussi pour les demandes d’effacement de l’article 17 : l’organisme qui sait déjà purger un traitement en bloc répond plus vite à une demande individuelle.
Les DPO du réseau DPO FRANCE aident les organismes à bâtir leur tableau de gestion des durées et à organiser des purges vérifiables, y compris dans les SPST. DPO SUITE rattache à chaque traitement ses durées, ses documents de conservation et les preuves d’effacement, ce qui rend la démonstration possible le jour d’un contrôle.
