Conformité

La conformité porte ici sur la capacité à expliquer pourquoi chaque donnée est détenue, utilisée, transmise et conservée. Elle concerne autant les dossiers du personnel que les coordonnées de prospects, les factures, les candidatures ou les justificatifs demandés à un client. Dans une PME, les règles existent souvent par habitudes dispersées entre les métiers, les logiciels et les prestataires. On confond alors facilement la possibilité technique de conserver une information avec la justification réelle de sa présence.

Ce que nous regardons

• Les catégories de données détenues, leur finalité déclarée et l’activité concrète à laquelle elles se rattachent.
• Les durées de conservation définies pour les dossiers actifs, les archives, les courriels et les pièces déposées dans les applications.
• Les règles d’effacement, d’anonymisation ou de révision appliquées lorsque la durée prévue arrive à son terme.
• Les formulaires et procédures par lesquels les informations sont collectées, notamment les champs libres et les pièces justificatives.
• Les transferts vers les sous-traitants, logiciels hébergés et destinataires externes, ainsi que la raison de chaque transmission.
• La capacité à retrouver les données concernant une personne et à traiter une demande sans recherche improvisée dans tous les services.
• La cohérence entre les consignes écrites, les réglages des outils et les pratiques quotidiennes des équipes.

Les écarts les plus courants

Un répertoire partagé conserve des candidatures anciennes sans échéance définie. Elles ne servent plus au recrutement en cours, mais restent mêlées aux dossiers récents parce qu’aucune règle de tri n’a été traduite en action.

Les équipes demandent davantage de pièces que nécessaire par précaution. Ces documents sont ensuite copiés dans la messagerie, le logiciel métier et un dossier local, ce qui rend leur durée de présence différente selon l’emplacement.

Une procédure prévoit bien la suppression de certaines informations, mais le réglage automatique n’a jamais été activé ou ne couvre que l’application principale. Les exports, sauvegardes applicatives et tableaux de suivi échappent au traitement prévu.

Les cinq niveaux

Niveau	Ce que cela décrit
1	La conservation résulte des usages et de l’espace disponible, sans motif établi ni échéance maîtrisée.
2	Quelques obligations sont connues, mais les durées et les décisions varient selon les personnes, les dossiers ou les outils.
3	Les finalités, destinataires et périodes de conservation sont documentés pour les traitements courants, avec des responsabilités désignées.
4	Les règles documentaires sont traduites dans les procédures et les réglages, puis les exceptions sont examinées et justifiées.
5	La légitimité et l’échéance des données sont contrôlées à intervalles définis ; l’effacement effectif est démontré sur les systèmes, copies et archives concernés.

La question à se poser

Pouvez-vous justifier ce que vous conservez aujourd’hui et dire précisément pendant combien de temps vous le conserverez encore ?