RGPD et destruction d'archives : ce que doivent savoir les entreprises
Depuis l'entrée en application du RGPD en 2018, la gestion des données personnelles ne s'arrête pas à leur collecte : leur suppression, y compris sous forme papier, fait partie des obligations légales des entreprises. Voici ce qu'il faut savoir.
Le RGPD s'applique aussi au papier
On pense souvent RGPD = données numériques. En réalité, le règlement européen s'applique à toute donnée personnelle, quel que soit son support · y compris les dossiers papier, contrats, fiches de paie ou dossiers clients archivés dans un local.
La notion de durée de conservation limitée
Le RGPD impose de ne pas conserver les données personnelles au-delà de la durée nécessaire à leur finalité. Concrètement, une entreprise ne peut pas garder indéfiniment des dossiers clients ou salariés "au cas où" : passé les durées légales de conservation (variables selon le type de document), ils doivent être détruits.
Pourquoi une simple poubelle ne suffit pas
Jeter des documents confidentiels avec les déchets classiques expose l'entreprise à un risque réel : vol d'identité, fraude, concurrence déloyale, ou simple non-conformité constatée lors d'un contrôle. La CNIL peut sanctionner une entreprise qui ne peut pas démontrer une gestion rigoureuse de la fin de vie de ses données.
La norme NF Z 40-350 : un cadre de référence
Cette norme française encadre les prestations de destruction de documents confidentiels, avec plusieurs niveaux de sécurité selon la sensibilité des données (données courantes, sensibles, ou hautement confidentielles). Faire appel à un prestataire respectant cette norme permet de démontrer une démarche de conformité sérieuse.
Le certificat de destruction : une preuve indispensable
À l'issue d'une prestation de destruction sécurisée, un certificat doit être remis à l'entreprise cliente. C'est ce document qui atteste, en cas de contrôle, que les données ont bien été détruites dans les règles · et qui protège l'entreprise en cas de litige.
Quels documents sont concernés ?
Dossiers RH (contrats, fiches de paie, arrêts maladie), dossiers clients et prospects, documents comptables et financiers arrivés en fin de durée légale de conservation, données de santé pour les professions concernées · la liste est large et dépend du secteur d'activité.
Questions fréquentes
Oui, dès lors qu'elles traitent des données personnelles sur support papier · ce qui concerne la quasi-totalité des structures (RH, clients, fournisseurs).
Pour de petits volumes ponctuels, cela peut suffire, mais un broyeur de bureau standard n'atteint pas toujours les niveaux de sécurité requis pour des données sensibles, et ne fournit pas de certificat de destruction.
Les documents sont collectés (souvent dans des contenants scellés), transportés et détruits de façon sécurisée et tracée, avec remise d'un certificat.