Expertises des Systèmes d'information - Juin 2021 - N°469 - Le mensuel du droit de l'informatique et du multimédia - 237

DOCTR INE
DONNÉES PERSONNELLES
Quelle durée de conservation
des messageries électroniques
professionnelles ?
La question de la durée de conservation de la
messagerie électronique n'est pas aisée, mais
devient fondamentale lorsqu'un salarié quitte
l'entreprise.
L
'employeur peut-il conserver
tout ou partie du
contenu de la boîte électronique
du salarié ayant cessé
ses fonctions dans l'entreprise ?
Si oui, pour quelle durée ?
Rappel du principe
Conformément au principe de
limitation de la conservation visé à
l'article 5-1-e) du RGPD, les données
à caractère personnel ne doivent
être conservées par l'organisme qui
les traite que le temps strictement
nécessaire à la réalisation des finalités
poursuivies. Au-delà, elles doivent
être anonymisées, supprimées, ou
archivées (archivage intermédiaire
ou archivage public).
Ce principe s'applique quelle que soit
la nature ou la finalité du traitement.
Ainsi, dans le cadre de la relation de
travail, les données pourront être
conservées en base active pendant
toute la durée de cette relation
notamment s'agissant des données
du registre unique du personnel.
En revanche, au terme de la relation
de travail, l'employeur ne pourra les
conserver, « sous forme d'archives
intermédiaires distinctes de la base
active, avec accès restreint »1
, que
parce qu'il doit tenir compte des
dispositions législatives ou règlementaires
spécifiques qui lui sont
applicables (comme des obligations
comptables, sociales, fiscales) ou
parce que les données présentent
un « intérêt » en cas de contentieux.
Pour aider les entreprises à encadrer
leurs traitements « mis en œuvre aux
fins de gestion du personnel », la Cnil
a adopté un référentiel dans lequel
sont données des « illustrations
pratiques » de durées de conservation
pouvant, selon le contexte, être retenues
par les organismes concernés.
Ainsi, des durées de conservation
sont proposées pour trois activités de
traitement : (i) la gestion de la paie,
(ii)
le registre unique du personnel
et (iii) la gestion des mandats des
représentants du personnel. Aucune
indication n'est en revanche donnée
concernant les autres activités de
traitement pourtant visées dans ce
référentiel, comme la gestion des
rémunérations, le suivi des carrières
et de la mobilité, la formation, la
gestion aides
sociales ou encore
la mise à disposition du personnel
d'outils informatiques. Il appartient
donc aux organismes de définir
eux-mêmes les durées de conservation
applicables à ces activités de
traitement, en fonction de ce qui est
strictement nécessaire à la réalisation
des finalités poursuivies. Vaste
et délicat programme... Prenons
l'exemple de l'activité de traitement
portant sur la mise à disposition
d'outils informatiques, telle que la
messagerie électronique professionnelle.
Quelle durée de conservation
retenir pour l'employeur ? Peut-il
maintenir l'adresse électronique
EXPERTISES JUIN 2021
active ? Peut-il conserver tout ou
partie du contenu de la boîte électronique
du salarié ayant cessé ses
fonctions dans l'entreprise ? Si oui,
pour quelle durée ?
La Cnil n'a jamais pris une position
officielle sur ces questions.
C'est pourquoi, nous nous sommes
tournés
vers
d'autres
autorités
nationales de contrôle. Par chance,
l'autorité belge de protection des
données (l'« APD ») a eu l'occasion de
se prononcer sur le sujet.
L'affaire belge
Dans cette affaire2
, les faits remontaient
à 2019, lorsque le plaignant,
ancien administrateur d'une société
spécialisée dans la commercialisation
de
dispositifs médicaux,
constata, après avoir cessé ses activités
dans cette société, que cette
dernière continuait d'utiliser ses
anciennes
adresses
électroniques.
Après un courrier recommandé
resté sans réponse par lequel le plaignant
demandait à la défenderesse
de fermer les boîtes e-mails, le plaignant
déposa une requête auprès de
l'autorité de contrôle belge.
Lors de l'audition, la défenderesse
expliqua que seuls les
messages « entrant » étaient redirigés
vers une personne unique de l'entreprise,
sans utilisation de l'adresse de
messagerie du plaignant pour des
237
Expertises des Systèmes d'information - Juin 2021 - N°469 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2021 - N°469 - Le mensuel du droit de l'informatique et du multimédia
