Prestataire : distinguer factures et données confiées
Fin de prestation : distinguez les factures à conserver des données confiées par le client, avec une matrice des finalités et des accès.
Un client demande la suppression des données à la fin du contrat. Le prestataire répond qu’il doit tout conserver dix ans pour sa comptabilité. Cette réponse confond deux ensembles : les pièces nécessaires à ses obligations propres et le contenu traité pour le compte du client.
La conservation comptable a un périmètre précis
L’Art. L. 123-22 du Code de commerce prévoit une conservation de dix ans des documents comptables et pièces justificatives dans son champ d’application. Il n’impose pas la conservation de l’intégralité des données hébergées par un prestataire. Source : Légifrance, Art. L. 123-22.
Le contrat de sous-traitance doit prévoir le sort des données confiées à la fin de la prestation, conformément à l’Art. 28(3)(g). L’exception pour une conservation légalement exigée doit être rattachée à une obligation réelle et à son périmètre. Source : RGPD, chapitre IV.
La CNIL distingue les traitements réalisés pour le client des finalités propres du prestataire, notamment la comptabilité. Cette qualification doit se traduire dans les systèmes.
Construire la matrice de séparation
| Ensemble | Question à résoudre | Traitement à organiser |
|---|---|---|
| Factures émises au client | Quelles pièces comptables doivent être conservées ? | Archive propre avec accès adaptés |
| Coordonnées du contact de facturation | Quelles données sont nécessaires aux pièces ou à leur suivi ? | Périmètre limité et durée justifiée |
| Dossiers hébergés pour le client | Quelle instruction de fin de prestation s’applique ? | Restitution ou suppression, avec sort des copies |
| Tickets contenant des pièces clients | Le contenu reste-t-il nécessaire à une finalité déterminée ? | Tri et retrait des éléments non nécessaires |
| Preuves d’un litige identifié | Quelles pièces sont nécessaires à la défense ? | Analyse distincte et conservation circonscrite |
Le tableau est une méthode de tri. Il ne donne pas une durée identique à toutes les lignes. Votre politique de conservation doit décrire ces finalités et les déclencheurs applicables.
Exemple : abonnement logiciel et documents hébergés
Exemple hypothétique. L’éditeur facture un abonnement annuel à une PME. Dans le logiciel, cette PME stocke des dossiers contenant les justificatifs de ses propres clients.
L’éditeur peut devoir conserver sa facture d’abonnement et les pièces qui la justifient. Cela ne rend pas les justificatifs des clients de la PME nécessaires à sa propre comptabilité. La ligne « accès au logiciel pendant douze mois » ne justifie pas, par elle-même, de garder tous les documents qui ont transité dans l’application.
Le guide des obligations de l’éditeur SaaS aide à distinguer ces rôles coexistants.
Définir l’archive et les accès après clôture
Un document conservé pour une obligation légale ne doit pas rester accessible à toutes les équipes comme un compte actif. Déterminez qui peut le consulter et pour quelle tâche. Séparez, autant que nécessaire, l’archive comptable des outils opérationnels et commerciaux.
Lorsque la conservation répond à une obligation légale applicable au prestataire, l’Art. 6(1)(c) peut fonder le traitement nécessaire à cette obligation. L’Art. 17(3)(b) prévoit l’exception correspondante au droit à l’effacement dans son périmètre. Ces dispositions ne dispensent pas de la minimisation, de la sécurité ou de la justification de la durée. Source : RGPD officiel.
Pour les demandes d’effacement, expliquez les données supprimées et celles conservées avec leur justification, sans répondre que « le compte entier est légalement obligatoire ».
Donner une preuve fidèle de clôture
Le compte rendu peut distinguer la suppression des données confiées, les copies restant à traiter et les archives propres légalement justifiées. Il doit éviter l’affirmation contradictoire « toutes les données sont supprimées » suivie d’une conservation générale non décrite.
Si une pièce doit être conservée pour plusieurs raisons, examinez chacune d’elles et la durée qui en résulte réellement. Un éventuel contentieux ne se présume pas indéfiniment pour tous les clients : il appelle une analyse séparée et documentée.
Le contrat de sous-traitance doit permettre d’obtenir ces informations et de contrôler l’exécution de la fin de prestation.
Ce qu’il faut retenir
- La conservation comptable ne couvre pas automatiquement le contenu confié par le client.
- Les rôles et finalités doivent être séparés par ensemble de données.
- L’archive doit avoir un périmètre, une durée et des accès définis.
- La preuve de clôture doit décrire précisément ce qui est supprimé et ce qui reste légalement conservé.
FAQ
Peut-on supprimer une facture à la demande d’un contact ?
Une obligation légale de conservation peut faire obstacle à l’effacement dans son périmètre. Cela n’autorise pas à conserver d’autres données sans justification.
Toutes les données liées à un contrat sont-elles des pièces comptables ?
Non. Il faut identifier les documents comptables et justificatifs pertinents ; les données opérationnelles hébergées pour le client ne prennent pas automatiquement cette qualité.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.