Archivage électronique des données personnelles : durées, sécurité et droit d’accès

La recommandation encadre l’archivage électronique des données à caractère personnel dans les entreprises, organismes et établissements privés. Les archives courantes et intermédiaires doivent être conservées pendant une durée spécifique et proportionnée à la finalité poursuivie, notamment au regard des prescriptions commerciales, civiles ou fiscales, conformément aux articles 6-5° et 24 de la loi du 6 janvier 1978. Les durées déclarées à la CNIL doivent être respectées, leur dépassement étant sanctionné par l’article 226-20 du code pénal.

Le responsable de traitement doit organiser une purge ou une destruction sélective et assurer la sécurité des données conformément à l’article 34 de la loi du 6 janvier 1978. Les archives intermédiaires doivent faire l’objet d’un accès limité et d’une séparation logique. Les archives définitives doivent être isolées des systèmes de production et accessibles uniquement de manière ponctuelle et motivée. L’article 35 impose, en cas de sous-traitance, la sélection d’un prestataire présentant des garanties suffisantes et la conclusion d’un contrat encadrant ses instructions et obligations de sécurité. Le manquement à l’obligation de sécurité est sanctionné par l’article 226-17 du code pénal.

Les archives courantes et intermédiaires restent soumises au droit d’accès prévu par l’article 39-I-4°. Une exclusion peut concerner les archives définitives lorsque leur conservation exclut manifestement tout risque d’atteinte à la vie privée, conformément à l’article 39-II. L’anonymisation est recommandée, notamment pour les données sensibles visées à l’article 8.

⬇️Télécharger la décision version officielle

La CNIL encadre l’archivage électronique des données personnelles par les entreprises et organismes privés. Elle distingue archives courantes, intermédiaires et définitives, et précise les exigences relatives aux durées de conservation, à la sécurité, à la sous-traitance, à la traçabilité et au droit d’accès. Elle recommande notamment la purge sélective, l’isolement des archives, la sécurisation des migrations et l’anonymisation des données sensibles.

La CNIL adopte une recommandation relative à l’archivage électronique des données à caractère personnel par les entreprises, organismes et établissements privés. Ces acteurs doivent conserver de nombreuses informations liées à leur activité, notamment des documents internes, pièces comptables, déclarations sociales et fiscales, transactions bancaires et contrats.

La recommandation distingue les archives courantes, utilisées dans l’activité quotidienne, les archives intermédiaires, conservées notamment pour répondre à un intérêt administratif ou à un contentieux, et les archives définitives, présentant un intérêt historique, scientifique ou statistique.

Elle précise les règles applicables aux durées de conservation, à la sécurité, à la sous-traitance, à la traçabilité et au droit d’accès. Elle préconise également des procédures de purge sélective, l’isolement des archives, la sécurisation des changements de support et l’anonymisation des données, notamment sensibles.

• Définir une durée de conservation spécifique et proportionnée à la finalité
• Respecter les durées déclarées dans les formalités adressées à la CNIL
• Prévoir une purge ou une destruction sélective des données
• Mettre en œuvre une sécurité adaptée aux risques et aux données
• Limiter et séparer les accès aux archives intermédiaires et définitives
• Garantir le droit d’accès aux archives courantes et intermédiaires
• Justifier l’absence de risque d’atteinte à la vie privée pour déroger

• Documents internes, pièces comptables et déclarations sociales ou fiscales
• Transactions bancaires et contrats conservés sous forme électronique
• Dossiers de formalités préalables adressés à la CNIL
• Procédures de purge et de destruction sélective des données
• Dispositifs de séparation logique et de traçabilité des consultations
• Procédés d’anonymisation des données archivées

Le responsable de traitement doit formaliser une gouvernance complète de l’archivage, avec des durées différenciées, des accès contrôlés et des dispositifs de sécurité adaptés. Le sous-traitant doit être contractuellement encadré, tandis que les personnes concernées conservent un droit d’accès aux archives courantes et intermédiaires.

• Établir une politique de conservation par catégorie de données
• Organiser la purge ou destruction sélective à l’échéance
• Isoler les archives intermédiaires et définitives des systèmes de production
• Tracer chaque consultation et sécuriser les changements de support
• Prévoir les demandes d’accès et documenter les éventuelles exclusions
• Contractualiser les obligations de sécurité du sous-traitant

À faire

• Classifier les archives courantes, intermédiaires et définitives
• Documenter les durées selon chaque finalité
• Mettre en place une purge sélective
• Limiter les habilitations et tracer les accès
• Formaliser les obligations du sous-traitant

À éviter

• Conserver les données sans durée définie
• Dépasser les durées déclarées à la CNIL
• Laisser les archives accessibles en production
• Négliger la sécurité lors d’un changement de support
• Refuser automatiquement tout droit d’accès

Les durées de conservation proportionnées aux finalités

Les archives courantes et intermédiaires doivent respecter des durées spécifiques et proportionnées à la finalité poursuivie, en particulier au regard des prescriptions commerciales, civiles ou fiscales. Ces durées doivent être précisées dans les formalités préalables adressées à la CNIL et respectées sous peine de la sanction prévue par l’article 226-20 du code pénal.

Les mesures de sécurité des données archivées

L’article 34 de la loi du 6 janvier 1978 impose des mesures techniques et organisationnelles adaptées aux risques et à la nature des données. Les archives intermédiaires doivent être isolées et accessibles à un service limité ; les archives définitives doivent être conservées sur un support indépendant des systèmes de production. L’article 35 encadre la sous-traitance.

Le droit d’accès aux archives personnelles

Les archives courantes et intermédiaires sont soumises au droit d’accès prévu par l’article 39-I-4° de la loi du 6 janvier 1978. Une exception existe pour les archives définitives lorsque leur conservation exclut manifestement tout risque d’atteinte à la vie privée, dans les conditions de l’article 39-II. Le responsable doit pouvoir justifier cette exclusion.

Article 9 du Code civil, Articles 226-16 à 226-24 du Code pénal, Article 226-17 du Code pénal, Article 226-20 du Code pénal, Loi n° 78-17 du 6 janvier 1978, Loi n° 2004-801 du 6 août 2004, Article 6-5° de la loi n° 78-17 du 6 janvier 1978, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 24 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 35 de la loi n° 78-17 du 6 janvier 1978, Article 36 alinéa 2 de la loi n° 78-17 du 6 janvier 1978, Article 39-I-4° de la loi n° 78-17 du 6 janvier 1978, Article 39-II de la loi n° 78-17 du 6 janvier 1978