Pourquoi une entreprise a-t-elle besoin d'un concept de suppression ?
Les données personnelles ne peuvent être traitées que tant que la finalité l'exige. Le RGPD exige en outre de pouvoir démontrer le respect de ces principes (art. 5, al. 2, RGPD). Sans concept, on ne sait pas ce qui doit être supprimé et quand – et personne ne peut le prouver.
Un concept de suppression est rentable aussi en dehors du service juridique : moins de données, c'est moins de dommages en cas de violation de la sécurité des données, des demandes d'accès traitées plus vite et des coûts de stockage et de migration réduits.
Comment un concept de suppression est-il structuré ?
Les éléments ont fait leurs preuves depuis la DIN 66398 et se retrouvent dans l'ISO/IEC 27555 :
| Élément | Contenu |
|---|---|
| Types de données | Groupes de données ayant la même finalité et le même délai, par exemple les données contractuelles ou les dossiers de candidature. |
| Délai de suppression | Combien de temps les données sont conservées, avec justification et base légale. |
| Point de départ | À partir de quel événement le délai court, par exemple dès la fin du contrat ou dès la clôture d'un dossier. |
| Classes de suppression | Combinaisons d'un délai et d'un point de départ ; plusieurs types de données partagent une même classe. |
| Exceptions | Quand les suppressions sont suspendues, par exemple en cas de litige ou d'enquête (legal hold). |
| Responsabilités | Qui fixe, valide, applique et contrôle les délais. |
| Mise en œuvre par système | Comment chaque système supprime, anonymise ou archive. |
Qu'est-ce qui change avec l'ISO/IEC 27555 ?
La méthode reste : types de données, classes de suppression et délais de suppression standard, c'est-à-dire le délai par défaut de chaque classe de suppression. La nouveauté est le cadre international. L'ISO/IEC 27555 fait partie de la famille de normes ISO/IEC 27000 et s'intègre ainsi dans les systèmes de management existants de la sécurité de l'information et de la protection des données.
Qui dispose déjà d'un concept de suppression selon la DIN 66398 n'a pas besoin de recommencer. Il est judicieux, lors du prochain réexamen, d'adapter les termes et les références à la nouvelle norme.
Pourquoi les concepts de suppression échouent-ils en pratique ?
Rarement à cause de la méthode, le plus souvent à cause de la mise en œuvre :
- Le concept existe sous forme de document, mais les systèmes ne suppriment pas.
- Les dépendances entre applications sont négligées : un client est supprimé dans un système et encore référencé dans un autre.
- Personne ne reçoit de retour indiquant si la suppression a réellement eu lieu.
- Les délais changent, les systèmes ne sont pas mis à jour.
- Les exceptions sont gérées par e-mail et tombent dans l'oubli.
Du concept à la suppression prouvée
Un concept de suppression devient efficace lorsqu'il est relié aux systèmes :
- 1Gérer et valider les délais, avec justification et base légale, dans un registre des durées de conservation.
- 2Transmettre les délais validés et les blocages de suppression à un pilotage central des suppressions.
- 3Les applications signalent quels enregistrements ont atteint leur délai.
- 4La suppression se fait dans le bon ordre, avec des contrôles et – si nécessaire – des validations.
- 5Chaque application indique en retour ce qu'elle a supprimé. C'est ce qui constitue la preuve.