Données personnelles : RGPD, CNIL, droits, obligations et conservation

05Les droits des personnes

Délai de réponse : un mois à compter de la demande, prorogeable de deux mois supplémentaires pour les demandes complexes ou nombreuses, la personne étant informée de la prorogation dans le premier mois.

À retenir

L'effacement n'est pas absolu : lorsque la loi oblige à conserver certaines données (par exemple les factures), l'entreprise les garde, pour la durée légale, sans les utiliser à d'autres fins.

06La conservation des données et des documents

Le principe de durée de conservation limitée se concilie avec les obligations légales de conservation :

Conséquences pour les données personnelles : pendant ces durées, une donnée personnelle contenue dans une pièce obligatoire (nom d'un client sur une facture) est conservée en vertu d'une obligation légale ; au-delà, elle est supprimée ou anonymisée. Pour les autres données (prospects, candidatures), la durée est fixée par le responsable selon la finalité.

À retenir

Valeur de l'écrit électronique : il a la même force probante que l'écrit papier si l'auteur est identifié et si l'intégrité est garantie (code civil, art. 1366). Les conditions techniques précises de conservation relèvent de l'UE 9.

07Le rôle de la CNIL et les sanctions

Les sanctions peuvent être évoquées (sans être l'enjeu d'un cas) :

Exemples corrigés

Cas 1 : repérer les données assujetties dans le SI d'une PME

Faits. La société Hervé (40 salariés, vente de matériel) dresse l'inventaire de ses fichiers.

Question. Pour chaque fichier : contient-il des DCP ? des données sensibles ? Quelle base légale et quelle précaution retenir ?

Réponse.

Conclusion argumentée. Six fichiers sur huit contiennent des données personnelles (1, 3, 4, 5, 6, 7), dont deux fichiers sensibles (4 et 7) qui exigent une vigilance particulière. Le fichier 2 est à vérifier, le fichier 8 est hors champ. Le fichier 7 est le plus exposé juridiquement : un contrôle d'accès biométrique doit être justifié et fait probablement l'objet d'une analyse d'impact.

Écrit au décideur (au dirigeant). « Six de vos huit fichiers contiennent des données personnelles. Les dossiers du personnel (arrêts maladie, mandat syndical) et le contrôle d'accès par empreinte digitale concernent des données sensibles : leur traitement est interdit sauf exceptions, et l'accès doit être restreint. Je recommande de rédiger le registre des traitements à partir de cet inventaire, de réexaminer l'usage de l'empreinte digitale pour la salle des serveurs (un badge suffirait peut-être) et de fixer une durée de conservation pour les candidatures et la vidéosurveillance. »

Cas 2 : la perte d'un ordinateur portable

Faits. Le lundi 9 novembre 2026 à 9 h, la société Hervé constate la perte d'un ordinateur portable non chiffré d'une responsable des ressources humaines. Il contient le fichier de 340 clients particuliers (nom, courriel, historique d'achats) et un tableur avec les arrêts maladie de 12 salariés.

Question. Quelles sont les obligations et quel est le délai ?

Analyse.

Mesures complémentaires : déclaration de perte, désactivation à distance des accès, changement des mots de passe, analyse de ce que contenait l'appareil.

Conclusion argumentée. L'incident est notifiable à la CNIL avant le jeudi 12 novembre à 9 h ; l'information est obligatoire pour les 12 salariés dont les données de santé étaient exposées. Le défaut de chiffrement est la cause du risque élevé : c'est un manquement à l'obligation de sécurité, à corriger.

Écrit au décideur (au dirigeant). « Un ordinateur non chiffré contenant les arrêts maladie de 12 salariés a été perdu. Nous devons notifier la CNIL au plus tard jeudi 12 novembre à 9 h et informer les 12 salariés sans attendre, car leurs données de santé sont exposées. Pour les 340 clients, nous documenterons notre évaluation du risque dans le registre. Je recommande de chiffrer tous les portables de l'entreprise dans les prochaines semaines. »

Cas 3 : une demande d'effacement et d'accès d'un client

Faits. Le 12 octobre 2026, un client de la société Hervé demande l'accès à ses données, puis l'effacement de tout son dossier. Il a passé commande le 3 mars 2026. L'énoncé précise que les factures sont conservées dix ans à compter de la clôture de l'exercice 2026 (le 31 décembre 2026).

Question. Dans quel délai répondre ? Peut-on tout effacer ?

Réponse.

Conclusion argumentée. La société répond dans le mois (12 novembre 2026), accorde l'accès, efface ce qui n'est plus nécessaire et explique au client pourquoi la facture est conservée.

Écrit au décideur (au dirigeant). « Nous devons répondre au client avant le 12 novembre 2026. L'accès est de droit ; l'effacement est partiel : nous supprimons son profil marketing mais conservons sa facture du 3 mars 2026 jusqu'au 31 décembre 2036, car la loi nous y oblige. Je rédige la réponse en lui indiquant ces raisons et ses droits, y compris celui de saisir la CNIL. »

Vocabulaire essentiel

Points clés à retenir

1. Une DCP se rapporte à une personne physique identifiée ou identifiable ; les données sensibles sont à traitement interdit sauf exceptions.
2. Principes : base légale, finalité, minimisation, exactitude, durée limitée, sécurité, responsabilité.
3. Six bases légales : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêt légitime.
4. Obligations : information, registre, sécurité, contrat avec les sous-traitants, protection dès la conception, AIPD, DPO selon les cas, gestion des violations.
5. Violation : consignée dans un registre ; notification à la CNIL sous 72 heures sauf absence de risque ; information des personnes si le risque est élevé.
6. Droits : information, accès, rectification, effacement, limitation, portabilité, opposition, décision automatisée ; réponse sous un mois, prorogeable de deux mois.
7. Conservation : 10 ans pour les documents comptables et pour les documents fiscaux dont le délai de 6 ans expire après le 1er janvier 2027 (loi n° 2026-534 du 25 juin 2026, art. 36).
8. CNIL : conseil, contrôle, sanction (20 M€ ou 4 % du chiffre d'affaires mondial au maximum en procédure ordinaire ; 20 000 € en procédure simplifiée).

Pièges fréquents

1. Croire qu'une donnée sur une société n'est jamais personnelle : un contact nominatif l'est.
2. Confondre anonymisation et pseudonymisation : seule l'anonymisation sort du règlement.
3. Dire que la notification à la CNIL n'est due qu'en cas de risque élevé : c'est le cas pour l'information des personnes, pas pour la notification.
4. Oublier le délai de 72 heures ou le décompter à partir de la violation plutôt que de la prise de connaissance.
5. Accorder un effacement total alors que la loi impose de conserver certaines pièces.
6. Confondre responsable de traitement et sous-traitant.
7. Confondre la durée limitée de conservation et les durées légales : la seconde prime pour les pièces obligatoires.
8. Annoncer comme adoptée la réforme « omnibus » : le RGPD en vigueur est seul au programme.
9. Faire des sanctions le cœur d'une réponse : le programme attend surtout les droits et les obligations.

Q&R pour le tuteur IA

Q : Qu'est-ce qu'une donnée à caractère personnel ? R : Toute information qui se rapporte à une personne physique identifiée ou identifiable, directement (nom, photographie) ou indirectement (identifiant, combinaison d'informations). Les données d'une société, en tant que telle, n'en sont pas.

Q : Quelles données sont dites sensibles ? R : Celles qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ainsi que les données génétiques, biométriques aux fins d'identification, de santé, et celles relatives à la vie ou à l'orientation sexuelle. Leur traitement est interdit sauf exceptions.

Q : Que doit faire une entreprise en cas de violation de données ? R : La consigner dans un registre interne, la notifier à la CNIL dans les 72 heures après en avoir pris connaissance sauf si elle n'est pas susceptible d'engendrer un risque, et informer les personnes dans les meilleurs délais si le risque est élevé.

Q : Quels sont les droits des personnes ? R : Information, accès, rectification, effacement, limitation, portabilité, opposition, et droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé. L'entreprise répond dans un mois, prorogeable de deux mois.

Q : Qui est le responsable de traitement et qui est le sous-traitant ? R : Le responsable détermine les finalités et les moyens du traitement. Le sous-traitant traite les données pour son compte (hébergeur, prestataire de paie) ; un contrat précise ses obligations.

Q : Quel est le rôle de la CNIL ? R : Elle conseille et accompagne, contrôle et sanctionne. Les sanctions peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial en procédure ordinaire ; la procédure simplifiée est limitée à 20 000 euros.

Q : Combien de temps conserver les documents comptables et fiscaux ? R : Dix ans pour les documents comptables. Les documents fiscaux sont conservés dix ans lorsque l'ancien délai de six ans expire après le 1er janvier 2027 (loi n° 2026-534 du 25 juin 2026, art. 36).