Combien de temps une entreprise peut-elle conserver des données personnelles ?
Une entreprise ne peut pas conserver des données personnelles pendant une durée librement fixée. Selon la LPD, elles doivent être détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement. La durée dépend donc de l’objectif poursuivi et doit rester proportionnée.
La règle générale n’énonce pas un nombre de jours, de mois ou d’années. Elle impose une logique de finalité et de proportionnalité: les données personnelles ne peuvent être collectées que pour des finalités déterminées et reconnaissables, puis traitées d’une manière compatible avec ces finalités. En pratique, la conservation n’est admissible que tant que les données restent nécessaires pour l’objectif poursuivi. Dès que cette nécessité disparaît, elles doivent être détruites ou anonymisées. Une entreprise doit donc relier chaque catégorie de données à une finalité concrète et vérifier si cette finalité existe encore réellement au moment où elle continue de conserver les données.[1]
Pour apprécier la durée de conservation, il faut aussi tenir compte du principe de proportionnalité. Conserver des données plus longtemps que nécessaire n’est pas conforme à ce principe. Il faut également s’assurer que les données sont exactes et prendre des mesures appropriées pour rectifier, effacer ou détruire les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées. Il est donc utile de vérifier, pour chaque traitement, au moins trois points: la finalité précise, la nécessité actuelle de conserver les données pour cette finalité, et l’issue prévue lorsque cette nécessité cesse, à savoir la destruction ou l’anonymisation.[1]
Cette réponse résume le texte légal cité tel que publié sur Fedlex. Avant d’agir, vérifiez la disposition actuellement en vigueur ainsi que toute modification ultérieure.[1]