Suppression défendable : comment détruire des données personnelles et en garder la preuve

La suppression défendable consiste à détruire des données d’une manière que vous pouvez justifier après coup. Les données sont supprimées selon un calendrier défini, et vous pouvez toujours montrer ce qu’elles étaient, pourquoi elles remplissaient les conditions de suppression, quand celle-ci a eu lieu, et qu’aucun élément placé sous conservation légale n’a été emporté par la purge.

N’importe qui peut supprimer un fichier. Le problème, c’est qu’une fois le fichier disparu, la preuve que vous l’avez traité correctement disparaît généralement avec lui. La suppression défendable résout ce problème en capturant la preuve avant que les données ne disparaissent.

Pourquoi supprimer puis oublier échoue

Supprimer puis oublier échoue parce que la suppression est en soi un acte de conformité, et que le principe de responsabilité de l’article 5(2) vous oblige à prouver que vous l’avez effectuée correctement. Une fois le fichier disparu, il ne vous reste plus rien pour le prouver. La suppression n’est pas un nettoyage facultatif : le RGPD vous pousse à supprimer les données personnelles dès que leur finalité prend fin, et l’article 5(1)(e) fait de la conservation excessive une violation.

C’est là le piège. Si votre processus consiste à “supprimer le fichier et passer à autre chose”, vous avez satisfait à l’obligation de suppression et manqué à l’obligation de responsabilité. Lorsqu’un ancien salarié saisit une autorité de contrôle, ou qu’un auditeur examine un échantillon de votre pratique de conservation, la question n’est pas “les données ont-elles disparu ?”. C’est “montrez-moi que vous avez supprimé ce qu’il fallait, dans les délais, et que vous avez conservé tout ce que vous étiez tenu de garder”. Supprimer puis oublier n’a aucune réponse à cela.

Les deux façons dont une suppression tourne mal

Supprimer trop. Vous purgez une période de conservation et emportez au passage un enregistrement placé sous conservation légale pour un litige en cours. Détruire des données que vous aviez l’obligation de préserver constitue une destruction de preuves. Un processus défendable vérifie chaque conservation légale avant de détruire quoi que ce soit, et bloque la destruction si l’une d’elles est active. La conservation légale elle-même est appliquée au niveau de la couche de stockage.

Supprimer sans preuve. Vous supprimez correctement, mais n’en gardez aucune trace. Deux ans plus tard, vous ne pouvez pas montrer quelles catégories vous avez effacées, ce que vous avez conservé, ni pourquoi. En pratique, cela revient au même que de n’avoir jamais rien supprimé, puisque vous ne pouvez pas le démontrer. Une responsabilité que vous ne pouvez pas étayer est une responsabilité que vous n’avez pas.

La suppression défendable est la discipline qui évite ces deux écueils.

Ce qu’exige la suppression défendable

Cinq éléments doivent être en place avant, pendant et après la destruction :

Un déclencheur que vous pouvez justifier. La suppression découle d’un calendrier de conservation ou d’une demande d’effacement valable au titre de l’article 17, et non d’une décision ponctuelle. Le motif est consigné.
Une vérification de conservation légale. Avant toute destruction, le processus confirme que l’enregistrement n’est soumis à aucune obligation de préservation. Si c’est le cas, la destruction est bloquée et ce blocage est journalisé.
Une décision délimitée. Vous consignez précisément ce qui est détruit et ce qui est conservé, par catégorie, avec le fondement juridique de tout ce qui est gardé.
La destruction elle-même. Les données sont mises hors d’usage, y compris dans les sauvegardes, selon un calendrier défini, et non sur la promesse d’une suppression instantanée qui n’atteint jamais les sauvegardes.
Un certificat de l’événement. Un enregistrement daté qui capture tout ce qui précède et survit aux données qu’il décrit.

Qu’un seul de ces éléments manque, et la suppression cesse d’être défendable. Une destruction sans vérification de conservation légale est imprudente. Une destruction sans certificat est invisible.

Supprimer puis oublier ou suppression défendable

La différence ne tient pas au fait que les données soient supprimées ou non. Elle tient à ce qui survit à la suppression.

Étape	Supprimer puis oublier	Suppression défendable
Déclencheur	Ponctuel, quand quelqu’un s’en aperçoit	Calendrier de conservation ou demande d’effacement valable, consigné
Conservation légale	Non vérifiée	Vérifiée, et destruction bloquée si une conservation légale est active
Périmètre	Le fichier entier	Par catégorie, avec un fondement juridique pour tout ce qui est gardé
Destruction	Supprimer et passer à autre chose	Mise hors d’usage selon un calendrier défini, sauvegardes comprises
Preuve	Aucune	Un certificat daté qui survit aux données

Ce que doit contenir un certificat de destruction

Un certificat de destruction est l’artefact que vous conservez une fois les données disparues. C’est la preuve : il doit donc se suffire à lui-même. Un certificat utile consigne :

Ce qui a été détruit, identifié sans reproduire les données personnelles elles-mêmes. Un hachage du contenu ou un identifiant pseudonyme y parvient bien : il prouve de quel enregistrement il s’agit sans le recréer.
Quand la destruction a été décidée et quand elle s’est achevée, avec un horodatage digne de confiance plutôt qu’une valeur d’horloge système que n’importe qui pourrait modifier.
Pourquoi l’enregistrement remplissait les conditions : la règle de conservation ou le motif d’effacement qui a déclenché la destruction.
Le statut de conservation légale à ce moment-là, montrant qu’aucun élément soumis à une obligation de préservation n’a été emporté.
Le niveau d’assurance, énoncé honnêtement. Un certificat qui en promet trop est pire que pas de certificat du tout, car il échoue la première fois que quelqu’un le vérifie. Un bon certificat dit exactement ce qu’il atteste et ce qu’il n’atteste pas.

Ce dernier point est celui que la plupart des fournisseurs omettent. Un certificat qui indique “détruit et vérifié” sans expliquer comment la vérification a été effectuée est un artefact marketing, pas une preuve. Un certificat qui énonce ses propres limites est un certificat sur lequel un auditeur peut réellement s’appuyer.

Comment cela s’articule avec la conservation et l’effacement

La suppression défendable est la couche d’exécution de deux choses que vous devez déjà faire. Votre calendrier de conservation RH détermine quand les données peuvent être supprimées. Le droit à l’effacement crée des suppressions à la demande entre ces dates programmées. La suppression défendable est la manière dont les deux se concrétisent sans créer de faille dans votre responsabilité. Le mécanisme de conservation légale qui prime sur eux est appliqué au niveau de la couche de stockage.

Le principe d’un Legal Evidence Pack s’applique ici aussi : la preuve doit être capturée au moment de l’événement et doit pouvoir être vérifiée par quelqu’un qui n’y a pas pris part.

Comment SealDoc soutient la suppression défendable

SealDoc conserve un hachage SHA-256 de chaque document et enregistre chaque événement de son cycle de vie dans une piste d’audit chaînée par hachage : toute modification ultérieure est détectable, et l’ordre des événements ne peut pas être réécrit sans que cela se voie. L’API de SealDoc refuse d’effacer un document pendant sa période de conservation. Une fois que la période le permet, un effacement sur demande est consigné dans la même piste d’audit.

Tout fonctionne sur une infrastructure européenne, sans hyperscaler américain sur le trajet, de sorte que la piste d’audit ne devient pas elle-même un problème de transfert de données.