CNIL8 septembre 2022CNIL, FR, 8 septembre 2022, Sanction, Groupement X, n° SAN-2022-018, publié, point 24(source)
Expiration de la durée de conservation initiale des données – Tri des données pertinentes à archiver – Archivage intermédiaire – Base de données d'archives dédiée ou séparation logique
La durée de conservation des données à caractère personnel doit être déterminée en fonction de la finalité poursuivie par le traitement. Lorsqu'elles ne sont plus nécessaires au besoin de la finalité pour laquelle elles ont été collectées, les données doivent soit être supprimées, soit faire l'objet d'un archivage intermédiaire lorsque leur conservation est nécessaire pour le respect d'obligations légales ou à des fins préventives ou contentieuses. Les données ainsi placées en archivage intermédiaire le sont pour une durée n'excédant pas celle nécessaire aux finalités pour lesquelles elles sont conservées, conformément aux dispositions en vigueur. Ainsi, après avoir opéré un tri des données pertinentes à archiver, le responsable de traitement doit prévoir, à cet effet, une base de données d'archives dédiée ou une séparation logique dans la base de données active. Cette séparation logique est assurée par la mise en place de mesures techniques et organisationnelles garantissant que seules les personnes ayant un intérêt à traiter les données en raison de leurs fonctions puissent y accéder. Au-delà de ces durées de conservation en archivage intermédiaire, les données à caractère personnel doivent, sauf exception, être supprimées ou anonymisées.