Créer une politique de conservation des documents client

Une bonne politique de conservation répond à une question précise pour chaque copie détenue par votre entreprise : pourquoi cette copie doit-elle encore exister aujourd'hui ?

Elle ne doit pas attribuer la même durée à tous les fichiers client. Un dépôt temporaire utilisé pour contrôler une demande peut n'être utile que quelques jours, alors que le contrat, le document fiscal ou le dossier professionnel qui en résulte doit parfois rester beaucoup plus longtemps dans un système officiel. Traiter les deux copies comme un même document conduit soit à conserver inutilement des fichiers sensibles, soit à supprimer des archives que l'entreprise doit garder.

La politique doit distinguer la finalité, l'emplacement et l'événement qui déclenche la suppression. Elle doit aussi désigner la personne habilitée à approuver une exception.

Partez du principe de limitation de la conservation

Le règlement général sur la protection des données ne fixe pas un nombre universel de jours ou d'années pour les données personnelles. Son article 5 exige des données adéquates, pertinentes et limitées à ce qui est nécessaire, puis une conservation sous une forme identifiable qui n'excède pas la durée nécessaire aux finalités du traitement. Le texte officiel du RGPD en français nomme ces principes minimisation des données et limitation de la conservation.

La CNIL rappelle que les données personnelles ne peuvent pas être conservées indéfiniment. Sa page sur les durées de conservation explique que la durée doit être déterminée selon la finalité de la collecte et tenir compte des obligations légales applicables.

D'autres pays et secteurs suivent leurs propres règles. Les obligations fiscales, sociales, professionnelles ou liées à un contentieux peuvent modifier la durée. Une politique ne remplace pas un conseil sur ces obligations.

Séparez la copie de collecte du document officiel

De nombreuses erreurs de conservation commencent par un mot mal défini : "document".

Imaginons qu'un client dépose un relevé bancaire afin qu'un expert-comptable confirme un montant. Le dépôt, un éventuel téléchargement, le dossier de travail comptable et la déclaration transmise sont des copies ou des documents différents. Leurs durées peuvent l'être aussi.

La copie de collecte n'hérite pas de la durée du document final. Ne la conservez que tant qu'elle remplit la finalité de collecte, sauf exigence documentée contraire.

Posez les questions suivantes pour chaque processus :

• Quelle décision ou tâche nécessite le fichier déposé ?
• Quel système conserve le document faisant autorité après la fin de la tâche ?
• Ce système a-t-il besoin du fichier original, d'une information qui en est tirée, d'une validation ou seulement du résultat ?
• Quel événement prouve que la finalité de collecte est atteinte ?
• Quelle loi, quel contrat ou quelle règle professionnelle impose une durée plus longue ?
• Qui peut suspendre la suppression, et pour quels motifs ?

Cette séparation permet à un service de collecte temporaire de le rester. Elle empêche aussi l'équipe de transformer par accident une boîte mail ou un portail de dépôt en archive.

Utilisez une fiche de conservation

Construisez le calendrier autour des processus métier, pas des extensions de fichiers. "PDF" ne dit rien de la finalité. "Justificatif d'identité pour référencer un fournisseur" en dit beaucoup plus.

Cet exemple n'est pas un calendrier légal. Il montre le niveau de détail nécessaire pour en rédiger un.

Construisez la politique processus par processus

1. Recensez tous les canaux de collecte

Énumérez les endroits où arrivent les fichiers client : boîtes mail personnelles, boîtes partagées, formulaires web, portails de dépôt, applications de messagerie, espaces partagés et supports physiques. Ajoutez les copies automatiques, comme les archives de messagerie et les dossiers synchronisés dans le cloud.

Partez d'une vraie demande et suivez un fichier depuis l'expéditeur jusqu'à sa suppression définitive. Les entretiens avec le personnel révèlent souvent un canal absent de la procédure écrite.

La Federal Trade Commission américaine recommande de recenser les endroits où les informations sensibles entrent et sont stockées. Son guide Protecting Personal Information conseille aussi de ne garder les informations sensibles que tant qu'un besoin légitime existe et de rédiger une politique de conservation lorsque des documents doivent rester.

2. Identifiez les exigences externes

Pour chaque processus, répertoriez les lois, règles réglementaires, contrats, conditions d'assurance, recommandations professionnelles et suspensions de suppression applicables. Consignez la source exacte et sa date de vérification. "La conformité l'impose" n'est pas assez précis.

Ne reprenez pas une durée provenant d'un autre pays ou secteur. Même dans une seule organisation, les dossiers fiscaux, les candidatures et les contrôles d'identité peuvent suivre des règles différentes.

Si l'autorité exige seulement un résultat ou un justificatif limité, n'en concluez pas qu'elle impose chaque document source et chaque copie de travail. Confirmez le périmètre avec la personne responsable de l'exigence.

3. Définissez une période opérationnelle normale

Choisissez le temps dont l'équipe a normalement besoin pour recevoir, consulter et clôturer le dépôt. Fondez-vous sur le processus, pas sur la capacité de stockage.

Un outil de collecte temporaire peut proposer des choix standards comme 7, 30 ou 90 jours. Ce sont des périodes de travail, pas des conclusions juridiques. Choisissez la plus courte qui couvre la tâche de manière fiable. Si le travail la dépasse systématiquement, corrigez le calendrier ou le processus au lieu de demander une prolongation pour chaque dépôt.

Fixez l'expiration à l'arrivée du document. Une date visible pendant le contrôle est plus facile à gérer qu'une promesse de nettoyer l'espace plus tard.

4. Définissez les événements de départ et de fin

"Conserver 30 jours" reste incomplet tant que la politique n'indique pas le début du premier jour. Il peut s'agir du dépôt, de l'acceptation, de la clôture du dossier, de la fin du contrat ou de la fin d'une période comptable.

La collecte temporaire bénéficie généralement d'un délai calculé à partir de l'arrivée, car chaque dépôt reçoit immédiatement une échéance. La suppression anticipée peut ensuite suivre l'événement de fin. Le document permanent peut utiliser un autre événement selon son propre calendrier.

5. Faites de la suppression anticipée la norme

L'expiration est la dernière date ordinaire, pas une raison de conserver un dépôt terminé jusqu'au dernier moment.

Donnez une action de clôture claire à la personne chargée du contrôle. Avant de supprimer la copie de collecte, elle doit consigner le résultat requis ou déplacer le document officiel vers le système approuvé. Elle peut ensuite retirer les éléments temporaires.

Ce processus est plus simple lorsque la demande d'origine est ciblée. Notre guide de minimisation des demandes de documents montre comment éviter de recueillir des éléments dont l'équipe n'aura jamais besoin.

6. Encadrez les prolongations et les suspensions

Une prolongation doit consigner une nouvelle date, un motif et une personne chargée de l'approuver. Les motifs en texte libre peuvent aider les contrôleurs, mais ne placez ni contenu du document ni information personnelle dans les journaux.

Définissez les motifs acceptables, comme un retard vérifié dans le processus ou une suspension légale documentée. L'annulation d'un abonnement, l'échec d'un paiement ou les congés d'un salarié ne doivent pas suspendre silencieusement la suppression automatique.

Si la plupart des dépôts d'une catégorie nécessitent une prolongation, la durée normale est mal choisie ou le processus rencontre un blocage.

7. Définissez le périmètre de la suppression

La suppression de la ligne visible peut laisser l'objet original, les images d'aperçu, les sorties d'impression temporaires, les liens actifs, les clés de chiffrement enveloppées ou les métadonnées sensibles. La politique doit nommer ces éléments et attribuer la responsabilité de leur retrait.

Les sauvegardes peuvent suivre un cycle distinct. Indiquez combien de temps les données supprimées peuvent y rester, comment elles sont maintenues hors d'usage normal et ce qui se passe après une restauration. Notre guide sur la suppression de documents dans le cloud détaille cette limite.

Les téléchargements et captures d'écran hors de l'espace contrôlé exigent leurs propres politiques d'appareil et d'archivage. Aucun portail ne peut supprimer une copie externe qu'il ne contrôle pas.

Tenez un registre des exceptions

Une exception doit contenir assez d'informations pour être réexaminée sans devenir elle-même un nouveau document sensible.

Consignez :

• La référence du dépôt ou du processus
• La date de suppression initiale
• La nouvelle date ou le statut de suspension
• Un motif court et codé
• La fonction qui a approuvé
• L'heure de l'approbation
• La prochaine date de réexamen d'une suspension sans échéance

Ne copiez pas les noms de fichiers, noms de clients ou contenus de documents dans le registre, sauf si une exigence distincte et documentée les rend réellement nécessaires et les protège par une autre règle de conservation.

Même une suspension sans échéance doit avoir une date de réexamen. Celui-ci ne force pas la suppression. Il vérifie si le motif reste valable.

Vérifiez que la politique fonctionne

Une politique qui n'existe que dans un document n'a encore rien contrôlé.

Suivez quelques dépôts terminés dans le calendrier. Vérifiez la collecte, la solution de repli par e-mail, les téléchargements, les dérivés et le document officiel. Confirmez l'exécution de la suppression et l'absence de contenu sensible dans l'éventuelle trace résiduelle.

Testez aussi la gestion des échecs. Si le stockage est temporairement indisponible lors du passage d'une tâche de suppression, le système doit réessayer de manière sûre au lieu de marquer l'opération comme terminée. Un espace expiré ou annulé ne doit pas arrêter le calendrier.

Réexaminez le calendrier lorsqu'un processus, une exigence ou la politique de sauvegarde d'un prestataire change, ou lorsqu'un incident révèle une copie non répertoriée.

Un modèle de règle courte

La règle opérationnelle peut rester concise :

Chaque document sensible reçu pour un contrôle temporaire doit se voir attribuer une finalité, un responsable et une date de suppression dès la collecte. La personne chargée du contrôle transfère tout document à conserver vers le système de référence approuvé, puis supprime la copie temporaire à la fin de la tâche ou à la date programmée. Toute prolongation exige un motif, une approbation et une nouvelle date de réexamen. La suppression continue pour les espaces expirés, annulés ou en défaut de paiement. Les téléchargements externes suivent les politiques de l'organisation relatives aux appareils et aux archives.

Joignez à cette règle la fiche détaillée et les références des autorités. Le personnel a d'abord besoin de la règle, puis des justificatifs lorsqu'un cas difficile se présente.

Questions fréquentes

Combien de temps une entreprise doit-elle conserver les documents client ?

Il n'existe aucune durée unique pour tous les documents client. Elle dépend de la finalité, du droit applicable, des contrats, des règles professionnelles et de la nature temporaire ou officielle de la copie. Consignez le motif de chaque durée et réexaminez-la lorsque la finalité prend fin.

Le RGPD impose-t-il une suppression après 30 ou 90 jours ?

Non. Le RGPD exige que les données personnelles ne soient pas conservées plus longtemps que nécessaire à leur finalité, sous réserve des conservations plus longues autorisées et des garanties appropriées. Il ne fixe pas une règle générale de 30 ou 90 jours pour les fichiers client.

Peut-on conserver des documents au cas où ils seraient utiles plus tard ?

Une vague possibilité ne constitue pas un bon motif. Identifiez la finalité future précise, sa base juridique et la durée qu'elle justifie. Si l'organisation ne peut pas expliquer pourquoi une copie reste nécessaire, elle doit normalement l'effacer ou l'anonymiser, sous réserve des exigences applicables.

Faut-il supprimer à l'expiration ou après un contrôle manuel ?

La collecte standardisée et volumineuse bénéficie d'une suppression automatique à l'heure prévue. L'équipe peut supprimer plus tôt à la fin du travail. Les processus soumis à de véritables suspensions légales ont besoin d'un mécanisme contrôlé de pause et de réexamen, pas d'une file manuelle générale qui laisse tous les éléments indéfiniment.

Quelle preuve de suppression faut-il conserver ?

Conservez le minimum de preuves non sensibles nécessaire à la responsabilité, comme une référence interne, l'événement de suppression, son heure et son résultat. Ne conservez pas de noms de fichiers, contenus de documents, identités d'expéditeurs ou chemins de stockage, sauf si une exigence distincte et documentée les rend nécessaires.

L'annulation d'un service met-elle fin à la politique de conservation ?

Non. La suppression automatique doit continuer lorsqu'un essai prend fin, qu'un paiement échoue ou qu'un espace est annulé. Le statut de facturation ne crée aucune nouvelle finalité pour conserver des documents sensibles.