Pourquoi faut-il une preuve de suppression ?
Selon le RGPD, une entreprise doit non seulement respecter les principes, mais aussi être en mesure de le démontrer (responsabilité, art. 5, al. 2, RGPD). La LPD ne connaît pas de disposition équivalente. Mais lors d'un contrôle par la révision ou l'autorité de surveillance, d'une plainte ou après une demande d'effacement, ce qui compte en Suisse aussi, c'est ce que l'on peut prouver.
Que doit contenir un journal de suppression ?
Un journal probant répond aux questions : quoi, quand, où, pourquoi et à l'initiative de qui :
- Cycle de suppression ou ordre, avec identifiant et horodatage.
- Fondement : délai échu ou demande d'effacement.
- Les systèmes concernés.
- Le résultat par système : supprimé, anonymisé, archivé – ou non supprimé, avec motif.
- Le nombre d'enregistrements concernés.
- Les validations et interventions, avec personne, rôle et horodatage.
- Les exceptions comme les blocages de suppression et les objections.
Que ne doit-il pas contenir ?
Les contenus supprimés eux-mêmes – sinon, le journal serait une copie de ce qui devait être supprimé. Et pas plus de données personnelles que nécessaire : lorsqu'une preuve est requise pour une personne précise, un identifiant interne suffit généralement à la place du nom. L'accès au journal reste strictement limité.
Pourquoi un tableau ne suffit pas
Un tableau ou un ticket montre l'ordre, pas son effet. Il est tenu à la main, souvent incomplet et peut être modifié après coup. Surtout, il manque le retour des systèmes : il n'indique pas si les données ont réellement été supprimées.
Des preuves solides naissent automatiquement des retours des systèmes qui ont supprimé, et sont archivées de manière centrale et protégée.
Combien de temps conserver une preuve de suppression ?
Il n'existe pas de délai légal à ce sujet. C'est la finalité qui compte : la preuve est nécessaire aussi longtemps que des contrôles, des plaintes ou des prétentions sont à prévoir. Ce délai doit figurer dans le concept de suppression – et ensuite, la preuve est elle aussi supprimée.