Erreur de purge : rétablir les dossiers nécessaires
Erreur de purge : délimitez les dossiers supprimés, restaurez les données encore nécessaires et contrôlez les effets pour les personnes.
Une règle de suppression a effacé des dossiers actifs au lieu des seules données arrivées à échéance. Restaurer toute la base à une ancienne date peut corriger une partie du problème, tout en réintroduisant des données légalement effacées et en perdant des modifications récentes. La reprise doit suivre le périmètre de l’erreur.
Arrêter la règle erronée et préserver les faits
Suspendez l’opération concernée et vérifiez les traitements dépendants : suppressions répliquées, exports, index et notifications automatiques. Conservez la configuration, la requête exécutée, ses dates et les journaux disponibles dans un espace restreint.
L’Art. 4(12) inclut la destruction et la perte accidentelles de données personnelles. L’Art. 32(1)(c) vise les moyens de rétablir la disponibilité et l’accès dans des délais appropriés. Une suppression non autorisée peut donc constituer une violation même sans divulgation. Source : RGPD.
Comparer le périmètre attendu au résultat
| Élément | Vérification |
|---|---|
| Règle prévue | Catégories et échéances qui devaient être purgées |
| Règle exécutée | Filtres, dates, fuseaux et exceptions appliqués |
| Dossiers effacés | Identifiants et pièces concernés |
| Données encore nécessaires | Finalités et obligations actuelles |
| Effacements légitimes antérieurs | Éléments à ne pas réintroduire |
| Modifications depuis la sauvegarde | Écritures à préserver ou réconcilier |
Un simple total de lignes supprimées ne permet pas de décider de la restauration. Faites valider le périmètre par les responsables métier qui connaissent les dossiers.
Restaurer dans un environnement maîtrisé
Vérifiez d’abord la disponibilité et la fiabilité de la sauvegarde. La CNIL recommande de contrôler régulièrement l’intégrité des sauvegardes et la capacité de restauration.
Préparez une copie de reprise avec des accès limités, puis sélectionnez les données nécessaires lorsque l’architecture le permet. Si une restauration globale est indispensable, organisez avant remise en service la réapplication des corrections et effacements pertinents. Le guide sur les restaurations sans annuler les effacements détaille cette coordination.
Exemple hypothétique. La sauvegarde contient un ancien contact supprimé à sa demande et plusieurs dossiers actifs effacés par erreur. La reprise doit récupérer ces dossiers sans réactiver le contact supprimé ni ses usages antérieurs.
Évaluer les effets avant la fin de la reprise
Identifiez les personnes privées d’un service, d’une preuve ou d’une information nécessaire. Vérifiez les décisions prises à partir d’une base incomplète pendant l’incident. Le risque peut dépendre de la nature du service davantage que du nombre de dossiers.
Les obligations des Art. 33 et 34 s’apprécient selon ce risque. Le guide sur l’indisponibilité de données aide à relier la durée de l’arrêt aux conséquences concrètes. Si une notification est requise, l’enquête technique en cours ne permet pas d’ignorer le délai de l’Art. 33(1) ; le paragraphe 4 autorise les compléments progressifs.
Valider les dossiers et reprendre la purge
Contrôlez les pièces, relations entre enregistrements, dates et habilitations. Faites confirmer par le métier que les fonctions nécessaires sont rétablies. Une base techniquement chargée peut encore contenir des doublons ou rattachements erronés.
Corrigez ensuite la règle et les conditions de sa remise en service. Préservez les échéances de conservation : la date de restauration ne devient pas un nouveau point de départ général.
Documentez les faits, décisions et mesures conformément à l’Art. 33(5), ainsi que les limites de la récupération. Les copies de reprise doivent être supprimées lorsqu’elles ne sont plus nécessaires, selon les règles retenues.
Ce qu’il faut retenir
- Comparez la purge attendue aux dossiers réellement supprimés.
- Restaurez sans annuler les effacements légitimes ni écraser les modifications récentes.
- Validez la reprise avec les utilisateurs métier et analysez le risque pour les personnes.
FAQ
Une erreur de purge est-elle toujours à notifier ?
Il faut qualifier la violation et apprécier le risque selon les Art. 33 et 34. Une suppression accidentelle n’est pas automatiquement sans risque au motif qu’aucun tiers n’a reçu les données.
Peut-on garder toutes les sauvegardes après l’erreur ?
Conservez celles qui sont nécessaires à la reprise ou à une justification précise, avec des accès limités. L’incident ne justifie pas une conservation indéfinie de toutes les copies.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.