Définir la durée de conservation des données dans le champ médico-social

Les données personnelles ne peuvent être conservées indéfiniment, en particulier dans le domaine de la santé. Une durée de conservation doit être déterminée par le responsable de traitement (dans un établissement médico-social pour personnes âgées, ce sera le directeur) en fonction de l’objectif ayant conduit à la collecte de ces données. Ce principe de conservation limitée des données personnelles est prévu par le règlement général sur la protection des données (RGPD) et la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (dite « loi informatique et libertés »).

La définition de la durée de conservation relève de l’analyse de conformité que le responsable doit mener pour son traitement. Parfois, celle-ci est fixée par la réglementation (par exemple, l’article L. 3243-4 du Code du travail impose à l’employeur de conserver un double du bulletin de paie du salarié pendant 5 ans). Cependant, pour de nombreux traitements de données, la durée de conservation n’est pas fixée par un texte et il appartient au responsable de traitement de la déterminer en fonction de sa finalité.

Pour cela, la Cnil a élaboré des outils destinés à tout professionnel, quel que soit son secteur (public ou privé) et quelle que soit la taille de sa structure. Parmi ces outils, on identifie un guide pratique (datant de 2020) et surtout, pour le secteur social et médico-social, un « référentiel de durées de conservation », afin de faciliter la recherche de la durée pertinente effectuée par le responsable de traitement.

La structure médico-sociale pour personnes âgées doit anticiper et appliquer cette règle de limitation de la conservation des données dans ses procédures internes. La Cnil propose à ce sujet un plan d’actions en plusieurs étapes, afin que le traitement de ces données soit conforme au règlement général sur la protection des données (RGPD).