Apprécier les besoins opérationnels de conservation
De plus, la CNIL indique que les données doivent être effacées à l’issue de l’utilisation courante, soit la durée nécessaire à l’objectif de traitement.
Si l’opération de traitement est confiée à un sous-traitant, le contrat doit préciser les obligations de chaque partie et intégrer les exigences de l’article 28 du RGPD.
En conséquence, c’est au responsable de traitement de communiquer à son sous-traitant les durées à appliquer à chaque traitement.
Enfin, il appartient d’identifier les besoins opérationnels et de fixer sur cette base une durée à appliquer ou des critères pour la fixer (temps de la relation commerciale par exemple).
Identifier la durée de conservation des logs
Aussi, pour être en mesure de prouver qu’il respecte le RGPD, le responsable de traitement doit constituer un ensemble de documents recensant les différentes actions menées et analyses effectuées pour sa mise en conformité au RGPD :
- analyse d’impact relative à la protection des données,
- mentions d’informations,
- registre des activités de traitement, etc.
De plus, les durées de conservation doivent être communiquées aux personnes concernées via les mentions d’informations.
Plus précisément, il s’agit d’indiquer aux personnes les différentes phases de conservation des données de manière distincte (base active et, le cas échéant, préciser également l’archivage intermédiaire).
Si l’information aux personnes est délivrée en deux phases, l’indication des durées de conservation appliquées peut être effectuée dans le second niveau d’information.
