La conservation des données personnelles n’est pas infinie !

Concrètement, tout-e responsable du traitement, à savoir celui/celle qui détermine les finalités et les moyens du traitement de données personnelles, doit s’interroger sur les données personnelles qu’il/elle traite. Cela lui impose de se poser en particulier la question de la finalité de ce traitement pour ensuite déterminer la durée pendant laquelle celles-ci doivent ou peuvent être conservées. Bien que la pratique révèle de nombreuses difficultés à respecter la limitation de la durée de conservation, celle-ci semble rester un principe essentiel à toute protection des données personnelles. Mais comment déterminer la durée de conservation de ces données ?

Puisqu’il s’agit d’un domaine qui ne se laisse pas régler si ce n’est de cas en cas, le travail auquel le/la responsable du traitement doit se livrer peut parfois se révéler long et compliqué. Le/la responsable du traitement devra déterminer la durée de conservation matériellement juste dans le cas particulier. Il s’agit pour lui/elle de dégager de la situation les caractéristiques qui lui permettront de fonder le plus objectivement possible sa décision. Il/elle ne pourra pas se laisser guider par ses propres intérêts et préférences, mais il/elle devra analyser les éléments pertinents du cas particulier, évaluer le poids des arguments, en fondant sa décision sur des critères objectifs.

Le travail auquel doit se livrer tout-e responsable afin de déterminer la durée concrète de traitement n’est, le plus souvent, pas chose aisée. Et cela, même si parfois il peut compter sur des points d’appui, notamment fournis par la loi, la jurisprudence et les recommandations du PFPDT (Préposé fédéral à la protection des données et à la transparence). En effet, même lorsqu’il/elle aura à sa disposition des points d’appui, ces derniers ne pourront pas être repris aveuglément, sans une analyse critique préalable. Le/la responsable du traitement aura intérêt à se méfier d’une solution trop simple. Cette méfiance est bien mise en évidence par l’exemple des données vidéos. Leur durée de conservation fait l’objet de considérations parfois très différentes. Elles varient notamment si le/la responsable du traitement ressort du secteur public ou privé, ainsi qu’en fonction du type des données (vidéosurveillance des espaces publics ou privés) et des finalités poursuivies par la vidéosurveillance (prévention des infractions aux choses et/ou aux biens). En effet, rien ne libère le/la responsable du traitement d’analyser les circonstances du cas particulier, d’envisager toutes les solutions possibles, pour enfin déterminer la solution adéquate.

Les incertitudes et difficultés liées au travail de détermination de la durée de conservation adéquate pourraient amener le/la responsable du traitement à négliger sa tâche. Dans ce cas, le rôle actif de chaque personne concernée acquiert une importance centrale. Il reviendrait à celle-ci d’interroger le/la responsable du traitement et, éventuellement, de notifier au PFPDT un traitement qui à son avis ne respecte pas la proportionnalité dans la conservation des données, ou d’entamer une action judiciaire.

Accéder à l’article

^{Les différents points évoqués ci-dessus ont été développés dans un article intitulé « La conservation des données personnelles : comment déterminer sa durée ? », publié dans la revue sic!, 3/2021, pp. 103-119, par les autrices qui vous y renvoient pour une analyse détaillée sur ce thème.}