Archivage légal électronique : définition d'un nouveau paradigme ?

B. Les recommandations de la CNIL

La CNIL avait souhaité définir un équilibre entre les obligations de conservation et le droit à l'oubli. Dans ce cadre, elle a procédé à une classification des archives (A), et a appliqué des règles de durée sélective en fonction de chaque catégorie d'archives (B).

1. La classification des archives

Elle est issue de la délibération de la CNIL du 11 octobre 200577(*). La recommandation qui en est issue distingue trois catégories d'archives.

Il y a d'abord les « archives courantes » de données à caractère personnel. Elles sont définies comme toute archive de « données d'utilisation courantes par les services concernés dans les entreprises, organismes ou établissements privés ». On peut citer en exemple les données concernant un client dans le cadre de l'exécution d'un contrat.

Viennent ensuite les « archives intermédiaires ». Ce sont celles qui présentent un intérêt administratif, comme par exemple en cas de contentieux, et dont la conservation est fixée par les règles de prescription légale. C'est le cas des factures électroniques sur lesquelles seront portées des informations nominatives, factures pouvant servir en cas de redressement fiscal.

Enfin, il y a les « archives définitives », entendues comme étant exclusivement les données à caractère historique, scientifique ou statistique. Tel semble être le cas des archives dont la durée légale de conservation a expiré mais que l'entreprise souhaite conserver sans aucune intention particulière de réutilisation. Ce sont les archives les moins courantes.

A chacune de ces catégories correspondent des règles de durées différentes.

2. L'application sélective des durées

Pour les archives courantes, la CNIL recommande que le délai de destruction soit relatif à la finalité du traitement. Au-delà, elles devront en principe être obligatoirement détruites. La CNIL reconnaît toutefois qu'elles puissent être traitées en archives intermédiaires ou définitives. Il faudra alors son accord ou celui de la personne concernée.

Quant aux archives intermédiaires, la Commission recommande une durée de conservation correspondant à la gestion des recours ou aux durées légales de prescription. De même, elle propose aux professionnels une politique de destruction ou de mise en archive définitive si besoin il y a.

Concernant maintenant les archives définitives, la CNIL considère qu'elles peuvent être conservées ad vitam aeternam dès l'instant qu'elles ne portent pas atteinte à la vie privée. Pour la Commission, dès lors que « le traitement des archives définitives se limite à assurer la conservation à long terme de documents d'archive, et sauf demande spéciale motivée, soumis le cas échéant, à l'appréciation de la Commission, le responsable du traitement n'est pas tenu de donner suite aux demandes concernant les informations archivées et n'a pas à le notifier à la CNIL ». Mais dans ce cas, l'archiviste doit pouvoir justifier de l'absence de tout risque d'atteinte à la vie privée.

Enfin, pour toutes les autres archives qui, sans être définitives, sont insusceptibles de porter atteinte à la vie privée, la CNIL intervient régulièrement par des normes simplifiées^78(*). Par exemple, les archives relatives à la gestion des fichiers de clients ne peuvent être conservées au-delà de 10 ans (norme simplifiée n° 11, modifiée par Délib. n° 96-101, 19 nov. 1996). De même, les informations personnelles intégrées dans la gestion des biens immobiliers ne doivent pas être conservées après le règlement du solde de l'intéressé. La CNIL pose toutefois une exception concernant les informations nécessaires à l'accomplissement des obligations légales (norme simplifiée n° 21 du 18 décembre 2003).

En définitive, nous nous sommes aperçus que les délais de prescription influençaient fortement la fixation des durées de conservation. De même, nous avons constaté l'existence de délais de destruction en matière d'archives de données personnelles. L'archiviste devra en tenir compte pour éviter d'engager sa responsabilité pénale.

Afin d'échapper à cette responsabilité et à toutes les contraintes juridiques et techniques de l'archivage électronique, certaines entreprises ont recours aux services de tiers archivistes.

* ⁷⁷ Délib. n° 2005-213, 11 oct. 2005, portant adoption d'une recommandation concernant les modalités d'archivage électronique dans le secteur privé, des données à caractère personnel ; JO 23 nov.

Le texte de la délibération est disponible également sur le site www.cnil.fr.

* ⁷⁸ L'adoption de normes simplifiées fait partie des pouvoirs de la CNIL tels qu'ils résultent de la L. de 1978 modifiée. Les normes simplifiées concernent « les catégories les plus courantes de traitements de données à caractère personnel, dont la mise en oeuvre n'est pas susceptible de porter atteinte à la vie privée et aux libertés ».Elles permettent entre autres de préciser « la durée de conservation des données à caractère personnel » (art. 24). Toutes les normes simplifiées sont disponibles sur le site www.cnil.fr.