Établir un concept de suppression avec des durées de conservation pour les données personnelles

Les données personnelles issues de candidatures, de contrats clients ou de newsletters atterrissent dans de nombreuses entreprises dans des bases de données – et y restent souvent stockées bien plus longtemps que ne le permet le RGPD.

En bref : un concept de suppression (Löschkonzept) fixe, pour chaque catégorie de données personnelles, le moment où elles doivent être supprimées dès que la finalité du traitement disparaît et qu'aucune obligation légale de conservation ne subsiste. Il repose sur l'art. 17 RGPD et sur le principe de limitation de la conservation prévu à l'art. 5, par. 1, point e), RGPD. Sans durées de suppression documentées, des amendes pouvant atteindre 20 M€ ou 4 % du chiffre d'affaires annuel sont encourues.

Qu'est-ce qu'un concept de suppression ?

Un concept de suppression est un document interne qui fixe, pour chaque catégorie de données traitée dans l'entreprise – par exemple données clients, données de candidats ou données de journalisation –, une durée de suppression concrète ainsi que la personne responsable et le déroulement technique de la suppression. Il met en pratique, au sein de l'entreprise, le principe de limitation de la conservation de l'art. 5, par. 1, point e), RGPD et rend effectivement exécutable pour les personnes concernées le droit à l'effacement prévu à l'art. 17 RGPD. Le point de départ est en règle générale le registre des activités de traitement, d'où se déduisent les catégories de données et les lieux de stockage. Sont concernées non seulement les bases de données centrales des services spécialisés, mais aussi les boîtes e-mail, les espaces de stockage cloud et les dossiers papier, dans lesquels peuvent se trouver les mêmes catégories de données personnelles.

Pourquoi un concept de suppression est-il obligatoire ?

Un concept de suppression est obligatoire parce que, selon le RGPD, les données personnelles ne peuvent être conservées que le temps nécessaire à la finalité initiale. Lorsque la finalité disparaît et qu'il n'existe plus d'obligation légale de conservation, les données doivent être supprimées – sans durées et routines fixées, cela ne se fait guère de manière systématique dans la pratique. L'absence de concept de suppression compte parmi les griefs les plus fréquents lors des contrôles de protection des données et peut être sanctionnée par des amendes pouvant atteindre 20 M€ ou 4 % du chiffre d'affaires annuel. Celui qui fait vérifier ses obligations de conformité dans le cadre d'un Company Audit rencontre donc presque toujours aussi le sujet du concept de suppression.

Comment établir un concept de suppression en 5 étapes ?

Un concept de suppression se construit en cinq étapes qui s'enchaînent et s'appuient sur le registre des activités de traitement. Au lieu d'inventer une durée pour chaque catégorie de données, de nombreuses entreprises s'appuient sur des classes de suppression prédéfinies assorties de durées usuelles, qui sont ensuite transposées à leurs propres catégories de données. Une structure éprouvée pour les classes de suppression et les durées est fournie par la norme DIN 66398, qui s'est largement imposée dans la pratique :

1. Reprendre les catégories de données et les lieux de stockage du registre des activités de traitement.
2. Déterminer, pour chaque catégorie, la durée de suppression (disparition de la finalité, plus les durées légales de conservation).
3. Définir des routines de suppression techniques et organisationnelles (y compris pour les sauvegardes et les archives).
4. Documenter les responsabilités et les cycles de suppression.
5. Effectuer régulièrement les suppressions et les consigner de manière démontrable.

Qu'est-ce qui prime : la suppression ou l'obligation de conservation ?

Les obligations fiscales de conservation priment sur la suppression – les données personnelles ne peuvent être supprimées qu'à l'expiration du délai légal concerné, même si la finalité initiale du traitement a déjà disparu. Dans la durée de suppression de chaque catégorie de données, cet ordre doit donc être ancré de façon fixe : la disparition de la finalité est prolongée de la durée de conservation applicable avant que la suppression proprement dite ne soit déclenchée. Cela vaut tout autant pour les sauvegardes et les archives, que l'on oublie souvent alors que les mêmes durées s'y appliquent.

À quelle fréquence devez-vous vérifier le concept de suppression ?

Le concept de suppression devrait être vérifié chaque année, afin de saisir sans tarder les nouvelles catégories de données, les durées de conservation modifiées ou les lieux de stockage changés. Une routine de vérification annuelle fixe garantit que les durées de suppression, les responsabilités et les suppressions effectivement réalisées restent cohérentes avec le registre des activités de traitement et sont documentées de façon démontrable en cas de besoin. En plus de la vérification annuelle, il est recommandé de mettre à jour le concept de suppression en fonction des événements, par exemple lors de l'introduction d'un nouveau système informatique ou lorsqu'une durée légale de conservation change.

Que risque-t-on sans concept de suppression ?

Sans concept de suppression, les entreprises s'exposent à des amendes pouvant atteindre 20 M€ ou 4 % du chiffre d'affaires annuel, car l'absence de concept de suppression, ou un concept lacunaire, est un constat fréquent des autorités de contrôle. De plus, les personnes concernées ne peuvent pas faire valoir de manière fiable leur droit à l'effacement prévu à l'art. 17 RGPD si aucune durée ni aucune responsabilité documentée n'existent.

Questions fréquentes

Qui est responsable du concept de suppression ?

L'entreprise est responsable en tant que responsable du traitement au sens de la protection des données ; la mise en œuvre est généralement confiée à des responsables documentés pour chaque catégorie de données, consignés dans le concept de suppression lui-même.

Le concept de suppression s'applique-t-il aussi aux sauvegardes ?

Oui, les routines de suppression techniques et organisationnelles doivent expressément inclure aussi les sauvegardes et les archives, car les données personnelles ne peuvent y être conservées plus longtemps que dans le système de production.

Qu'est-ce que la DIN 66398 ?

La DIN 66398 est une norme qui fournit une structure éprouvée pour les classes et les durées de suppression et qui est souvent utilisée comme modèle pour établir le concept de suppression d'une entreprise.

Les données peuvent-elles être supprimées immédiatement dès la disparition de la finalité ?

Seulement s'il n'existe plus d'obligation légale de conservation. Les durées fiscales de conservation priment sur la suppression, de sorte que les données ne peuvent être effectivement supprimées qu'après leur expiration.

À quelle fréquence les suppressions doivent-elles être documentées ?

Les suppressions devraient être effectuées régulièrement et consignées chaque fois de manière démontrable, afin que le respect des durées de suppression fixées puisse être prouvé lors des contrôles.

Source : art. 17 RGPD, art. 5, par. 1, point e), RGPD. Cet article est une information générale et ne remplace pas un conseil juridique dans un cas particulier. État : juillet 2026.