Données historiques : traiter une base sans provenance
Examiner un ancien fichier sans origine fiable : limiter les usages, rechercher les preuves et décider des données à conserver ou supprimer.
Une base ancienne contient des dossiers de bénéficiaires, des coordonnées et des annotations. Personne ne connaît précisément la collecte initiale ni les informations fournies aux personnes. La transférer dans le nouvel outil comme une donnée acquise risque de prolonger un traitement dont les conditions restent inconnues. Il faut d’abord établir les faits et décider du sort de chaque ensemble.
Ce qu’il faut retenir
- La présence d’une donnée dans un fichier ne prouve ni sa licéité ni son utilité actuelle.
- Limitez les nouveaux usages pendant une recherche de provenance organisée.
- Distinguez les éléments prouvés, probables et inconnus, sans fabriquer de consentement historique.
- La décision doit porter sur des catégories concrètes : poursuite justifiée, correction, restriction ou suppression.
Stabiliser le périmètre sans lancer une nouvelle exploitation
Identifiez le détenteur, les accès, les copies connues et les usages actuels. Évitez d’importer toute la base dans un nouvel outil tant que l’examen n’a pas défini ce qui peut l’être. Restreindre temporairement les accès peut protéger les personnes, mais cette mesure d’organisation n’est pas nécessairement une limitation juridique au sens de l’article 18.
Les articles 5(1)(a), 5(1)(b), 5(1)(c) et 5(1)(e) imposent notamment licéité, finalités déterminées, minimisation et conservation limitée. L’article 5(2) exige de pouvoir démontrer le respect de ces principes. RGPD.
Fixez un responsable de recherche et une échéance de décision. Une mise à l’écart sans fin ne règle pas la question de la conservation.
Rechercher les pièces qui expliquent l’origine
| Piste | Ce qu’elle peut établir | Ce qu’elle ne prouve pas seule |
|---|---|---|
| Ancien formulaire | Données demandées et notice présentée | Collecte effective de chaque dossier |
| Contrat ou dossier métier | Relation et finalité | Nécessité de tous les champs annexes |
| Historique d’import | Source technique et date | Licéité du contenu importé |
| Convention de transmission | Acteurs et périmètre prévu | Respect effectif de chaque condition |
| Archives de notices | Information utilisée à une période | Consentement individuel valable |
L’historique des versions de notices peut résoudre une partie de l’incertitude. Interrogez aussi les personnes ayant géré l’ancien processus, puis recoupez leurs explications avec les pièces disponibles.
Exemple hypothétique : une base de suivi mélange des bénéficiaires actuels et des dossiers clos depuis longtemps. Le contrat explique certains champs des dossiers actifs ; il ne justifie pas automatiquement les notes libres de tous les anciens dossiers.
Évaluer la situation présente et l’historique
Déterminez la finalité actuelle, la base légale applicable de l’article 6(1), les données nécessaires et la durée pertinente. Si les données relèvent de l’article 9(1), examinez aussi une condition de l’article 9(2). Une base légale retrouvée pour une activité ne couvre pas mécaniquement tous les usages effectués au fil du temps.
Lorsque le consentement était invoqué, l’article 7(1) impose au responsable de pouvoir démontrer qu’il a été donné. Une case ajoutée aujourd’hui à la base ne constitue pas une preuve de son recueil passé. Une démarche nouvelle doit être appréciée pour l’avenir, sans présenter l’historique comme régularisé rétroactivement.
Si un nouvel usage est envisagé, appliquez l’analyse de changement de finalité. La migration technique ne doit pas masquer cette réutilisation.
Arrêter une décision par ensemble de données
Classez les données selon les faits établis et les obligations applicables. Prévoyez les corrections d’inexactitudes, l’information requise, les accès nécessaires et la suppression des éléments qui ne peuvent plus être conservés. Lorsqu’une obligation légale ou un besoin lié à des droits en justice est invoqué, vérifiez son périmètre plutôt que de geler toute la base par défaut.
Les articles 13 et 14 doivent être examinés selon le mode de collecte et le contexte ; leurs obligations et exceptions ne se déduisent pas du seul âge du fichier. RGPD, chapitre III.
Conservez une trace proportionnée des recherches, de leurs limites et des décisions. La preuve d’effacement permet de documenter la suppression sans conserver une copie complète de la base retirée.
FAQ
L’absence de consentement retrouvé impose-t-elle toujours la suppression ?
Le consentement n’est pas la seule base légale possible. Identifiez celle qui est réellement applicable, sans inventer un fondement pour justifier après coup n’importe quel usage.
Peut-on conserver le fichier uniquement parce qu’il pourrait servir ?
Une utilité indéterminée ne suffit pas. Définissez une finalité légitime, les données nécessaires et une durée justifiée, ou organisez leur suppression.
Faut-il contacter toutes les personnes avant de décider ?
Cela dépend des obligations d’information, des droits et du contexte. Un contact général peut lui-même créer un traitement supplémentaire ; analysez son fondement et son utilité avant de l’engager.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.