Garder des données indéfiniment est un risque. Le droit de la vie privée exige de supprimer les données dont vous n'avez plus besoin. Ce chapitre traite des politiques de conservation (combien de temps garder les données) et des processus de suppression (comment traiter les demandes de suppression des utilisateurs et les nettoyages du système).
Pourquoi les politiques de conservation comptent
L'obligation légale
Le RGPD et les lois similaires exigent des politiques de conservation. Vous devez supprimer les données une fois la finalité annoncée atteinte. « Garder les données pour toujours, au cas où » viole les principes de minimisation des données et peut valoir des amendes.
L'intérêt pour l'exploitation
Les données anciennes sont moins utiles. Un événement vieux de 2 ans influence rarement les décisions actuelles. Supprimer les anciennes données réduit les coûts de stockage, simplifie les sauvegardes et limite l'exposition en cas de fuite (un jeu de données plus petit à exposer).
Les attentes des utilisateurs
Les utilisateurs s'attendent à ce que vous supprimiez leurs données quand elles ne sont plus nécessaires. Une application de listes de tâches dans le cloud doit supprimer vos tâches quand vous fermez votre compte, pas les garder indéfiniment. Des politiques de suppression claires inspirent confiance.
Définir les politiques de conservation
Quelles données ? Combien de temps ?
Chaque type de données a ses propres besoins de conservation :
Événements de statistiques : 12 mois, c'est typique. Après un an, on analyse rarement les anciens événements. S'il vous en faut plus, 24 mois est raisonnable. Ne gardez pas pour toujours.
Données des comptes clients : gardez-les tant que le compte est actif. Supprimez 90 jours après la fermeture du compte (cela laisse un délai de récupération). Ne gardez pas indéfiniment.
Tickets de support : gardez-les 2 à 3 ans (délai de prescription des litiges). Puis supprimez.
Documents financiers : gardez-les 7 ans (obligations fiscales et légales). Puis supprimez.
Listes marketing : gardez-les tant que le client est dans la liste. Supprimez 30 jours après le désabonnement.
Une conservation plus longue pour des cas précis
Certaines données peuvent exiger une conservation plus longue : détection de fraude (conserver pour la piste d'audit), litiges juridiques (conserver jusqu'à leur résolution), conformité réglementaire (variable selon le secteur). Ce sont des exceptions. La règle par défaut : supprimer dès que les données ne servent plus.
Documenter votre politique
Mettez votre politique de conservation par écrit : types de données, durée de conservation de chacun, base légale de la conservation. Rendez-la accessible aux utilisateurs dans votre politique de confidentialité. « Nous gardons vos données X mois, puis nous les supprimons. » La transparence inspire confiance.
Mettre en place la suppression automatique
Les tâches de suppression planifiées
Configurez des tâches automatiques, exécutées selon un calendrier (chaque mois, chaque trimestre), qui suppriment les données dont la durée de conservation est dépassée. Exemple : une tâche qui supprime tous les événements de statistiques de plus de 12 mois. Lancez-la automatiquement pour que la suppression ne soit ni manuelle ni oubliée.
La suppression déclenchée par un événement
Certaines suppressions sont déclenchées par un événement : quand un utilisateur ferme son compte, supprimez ses données. Quand un utilisateur se désabonne, supprimez son e-mail. Configurez des automatisations qui suppriment quand certains événements se produisent.
Journaliser les suppressions
Consignez les suppressions (quelles données, quand, pourquoi). Cela crée une piste d'audit. Si les autorités demandent pourquoi certaines données manquent, vous pouvez montrer qu'elles ont été supprimées selon la politique, et non dissimulées.
Traiter les demandes de suppression des utilisateurs
Le droit à l'oubli
Le RGPD donne aux personnes un « droit à l'oubli ». Les utilisateurs peuvent demander la suppression de leurs données personnelles. Vous avez 30 jours pour vous y conformer (avec des exceptions pour les obligations légales). Vous devez donc pouvoir supprimer les données d'un utilisateur sur demande.
Mettre en place les processus de suppression
Étape 1 : recevoir la demande. L'utilisateur envoie sa demande de suppression via un formulaire de support ou les réglages de son compte.
Étape 2 : vérifier l'identité. Confirmez que la demande vient du titulaire du compte (et non d'une fausse demande).
Étape 3 : repérer les données. Retrouvez toutes les données liées à cet utilisateur : compte, événements de statistiques, tickets de support, listes d'e-mails, sauvegardes.
Étape 4 : supprimer. Supprimez des systèmes en production et des sauvegardes. Confirmez la suppression par écrit à l'utilisateur.
Étape 5 : consigner. Documentez la suppression : qui l'a demandée, quand, ce qui a été supprimé.
Les exceptions à la suppression
Vous n'êtes pas obligé de supprimer si : vous avez l'obligation légale de garder les données (documents fiscaux, décisions de justice), vous en avez besoin pour une finalité annoncée qui est toujours en cours, ou l'utilisateur a consenti à la poursuite du traitement après sa demande de suppression. Mais ce sont des exceptions. Par défaut, on supprime quand c'est demandé.
Les difficultés de mise en œuvre
Des données réparties
Les données d'un utilisateur sont souvent éparpillées entre plusieurs systèmes : base de données en production, sauvegardes, services tiers (fournisseurs de statistiques, d'e-mailing), ordinateurs portables des employés. Retrouver toutes les données à supprimer est complexe. La solution : tenez un inventaire des données. Sachez où se trouvent les données des utilisateurs. Inscrivez les exigences de suppression dans les accords avec les fournisseurs.
La conservation des sauvegardes
Les sauvegardes contiennent des données d'utilisateurs même après leur suppression des systèmes en production. Combien de temps gardez-vous les sauvegardes ? Vous ne restaurez sans doute pas tous les jours à partir de sauvegardes vieilles de 3 ans, mais des obligations légales peuvent imposer de les garder. Précisez : les sauvegardes peuvent être conservées plus longtemps que les données en production, mais elles doivent aussi être supprimées un jour.
Les données anonymisées
Les données réellement anonymisées ne sont pas couvertes par le droit à la suppression (ce ne sont pas des données personnelles). Mais la plupart des données « anonymisées » sont en fait agrégées ou pseudonymisées (réversibles). Si vous pouvez les ré-identifier, ce sont des données personnelles et elles doivent être supprimées sur demande. Comprenez ce que vous stockez vraiment.
Privacy by Design : la suppression dans l'architecture
Concevez vos systèmes en pensant à la suppression dès le départ. Utilisez des structures de données qui rendent la suppression efficace. Ne mélangez pas des types de données aux besoins de conservation différents. Facilitez la recherche et la suppression des données d'un utilisateur. Si vous prévoyez la suppression dès le départ, la conformité sera plus simple par la suite.
Quelle durée de conservation des statistiques est réaliste selon le type d'activité ?
Blog ou site de contenu : 12 mois suffisent (peu de besoin d'anciennes données). SaaS : 24 mois (analyse des tendances nécessaire). Boutique en ligne : 24 à 36 mois (analyse de la saisonnalité, détection de fraude). Finance et santé : suivez la réglementation (souvent 6 ans ou plus). Passez en revue vos 6 derniers mois de rapports : si vous n'avez pas analysé de données de plus de X mois, supprimez au-delà. Mettez à jour les réglages de votre outil de statistiques pour une suppression automatique.
Quel est le processus exact pour répondre à une demande de suppression dans le délai légal ?
Jour 1 : recevoir la demande, vérifier l'identité, l'enregistrer dans le système de suivi des demandes. Jours 2 à 7 : retrouver toutes les données dans tous les systèmes (base de données, sauvegardes, services tiers). Jours 8 à 20 : exécuter la suppression, la vérifier dans les journaux. Jour 28 : envoyer à l'utilisateur une confirmation indiquant ce qui a été supprimé. Documentez tout. Les 30 jours sont stricts : commencer tout de suite est essentiel.
Comment savoir si mes données « anonymisées » le sont vraiment ou restent des données personnelles ?
Vraie anonymisation : ré-identification impossible (statistiques agrégées uniquement : « 50 % des utilisateurs ont cliqué sur le bouton »). Pseudonymisation : réversible avec une clé (identifiant utilisateur haché, ce sont toujours des données personnelles). Règle de prudence : si vous avez une clé de correspondance ou pouvez recouper avec d'autres données, ce sont des données personnelles et elles doivent être supprimées sur demande. En cas de doute, traitez-les comme des données personnelles.
Combien de temps garder les sauvegardes, et comment traiter les demandes de suppression pour les données de sauvegarde ?
Suppression des données en production : immédiate. Sauvegardes de 0 à 30 jours : supprimer de toutes les copies. Sauvegardes de 30 à 90 jours : vous pouvez les garder si vous ne les restaurez pas pour l'exploitation quotidienne. Sauvegardes de plus de 90 jours : à supprimer tôt ou tard selon le RGPD (pas de stockage indéfini). Créez un calendrier de suppression des sauvegardes : revue trimestrielle, suppression des sauvegardes plus anciennes que la date fixée par la politique. Incluez la confirmation de suppression dans votre réponse à l'utilisateur.
Quel est le processus de suppression pas à pas pour des données réparties entre statistiques, e-mailing, CRM et outils de fournisseurs ?
Étape 1 : un document d'inventaire des données indique où se trouvent les données des utilisateurs (base de données, GA, outil d'e-mailing, CRM, etc.). Étape 2 : une tâche de suppression automatique traite la base principale. Étape 3 : suppression manuelle ou déclenchée par API dans les outils tiers. Étape 4 : les contrats des fournisseurs exigent une confirmation de suppression (délai de 7 jours). Étape 5 : regroupez les confirmations de suppression et envoyez-les à l'utilisateur dans un délai total de 30 jours.
Quelle différence entre un « retard opérationnel » et une violation de la règle des 30 jours ?
Retard acceptable : découverte de données à un endroit inattendu, problèmes techniques légitimes (8 à 10 jours maximum). Inacceptable : « On s'en occupera un jour », attendre l'exécution de la tâche mensuelle, retards de récupération des données au-delà de 15 jours. Les 30 jours valent pour votre réponse et votre explication, pas pour le temps de mise en œuvre. Si vous ne pouvez pas supprimer en 30 jours, c'est une infraction. Signalez les retards tout de suite et documentez-en la raison.