Combien de temps garder les données de l'exploitation

Deux réflexes cohabitent dans les sociétés de sécurité privée, et ils sont aussi problématiques l’un que l’autre. Le premier consiste à tout garder indéfiniment, par prudence : on ne sait jamais, un litige peut survenir. Le second consiste à ne rien organiser du tout : les données s’accumulent là où elles tombent, personne ne sait ce qui existe, et la question de leur suppression ne se pose jamais.

La durée de conservation des données de vidéosurveillance et, plus largement, des données de l’exploitation, ne se traite pas par le réflexe. Conserver plus longtemps que nécessaire crée une exposition — ce qu’on détient peut être demandé, réclamé, ou compromis. Conserver trop peu prive l’entreprise des moyens de se défendre le jour où on la met en cause. La bonne réponse n’est pas un chiffre unique : c’est un tri par nature de données, formalisé, appliqué automatiquement.

Pourquoi tout garder est un risque

L’argument de la prudence semble solide. Il ne l’est pas, pour quatre raisons concrètes.

Ce que vous détenez peut vous être demandé. Un stock de données conservé sans finalité définie devient une source d’obligations : demandes de personnes concernées, réquisitions, demandes de clients. Répondre sur dix ans d’archives coûte incomparablement plus cher que répondre sur une période bornée.

Ce que vous détenez peut être compromis. Une base d’images, de positions et d’informations sur des personnes est un actif sensible. Sa valeur pour l’entreprise décroît avec le temps ; son potentiel de nuisance en cas d’incident de sécurité, non.

Ce que vous détenez sans savoir pourquoi est difficile à justifier. Le principe général en matière de données personnelles est de ne les conserver que le temps nécessaire à la finalité pour laquelle elles ont été collectées. Un stock indifférencié rend cette démonstration impossible.

Trier par nature de données

Une politique utilisable distingue les types de données, parce qu’ils n’ont ni la même finalité, ni la même sensibilité, ni la même utilité dans le temps.

La main courante et les consignations quotidiennes

Elles constituent la mémoire de la prestation : ce qui a été constaté, ce qui a été fait. Leur utilité s’étend au moins sur la durée pendant laquelle un client ou un tiers peut contester l’exécution. Elles contiennent souvent des éléments relatifs à des personnes — visiteurs, intervenants, tiers — ce qui appelle un tri : le récit factuel et les éléments identifiants n’ont pas nécessairement la même durée d’utilité.

Les rapports d’incident

Plus sensibles et plus durablement utiles que la consignation ordinaire, parce qu’ils sont susceptibles d’être produits en cas de litige. Ils appellent souvent une conservation distincte, et une durée liée à la nature de l’événement plutôt qu’à une règle uniforme : un incident sans suite et un incident ayant donné lieu à une procédure ne se traitent pas de la même façon.

Les images de vidéosurveillance

C’est la catégorie la plus encadrée, et celle où l’improvisation est la plus risquée. Les images relèvent d’un régime propre, avec des exigences en matière de finalité, d’information des personnes, d’accès et de durée de conservation. Il ne faut pas se fier à la durée configurée par défaut sur l’installation : elle correspond souvent à la capacité de l’enregistreur, pas à une décision.

Un point mérite d’être souligné : la conservation d’une séquence extraite dans le cadre d’un incident obéit à une logique différente de celle de l’enregistrement courant. Cette extraction doit être tracée — qui l’a faite, quand, pourquoi, à qui elle a été remise.

Les pointages et les données d’horaires

Ils servent à la paie, à la facturation et à la démonstration de l’exécution du contrat. Leur conservation est liée à des obligations propres, notamment sociales et comptables, qui ne relèvent pas de la même logique que les données opérationnelles.

Les données de localisation

Les traces de position issues du suivi d’activité sont parmi les plus sensibles, parce qu’elles décrivent le comportement de personnes identifiées. La règle de bon sens est d’en limiter la conservation à ce qui est strictement utile à la finalité — vérifier une présence, lever un doute — et de ne pas les traiter comme un historique à archiver. Sur ce point, l’écart entre la donnée brute et le résultat exploité est important : conserver la validation d’un passage de ronde n’implique pas de conserver le trajet complet.

Les données relatives au personnel

Dossiers, éléments contractuels, éléments disciplinaires, documents d’habilitation : ils relèvent de régimes propres, avec des durées liées à des obligations distinctes. Ils ne doivent pas se mélanger aux données d’exploitation, ni en termes d’accès, ni en termes de conservation.

Un rapport d’incident et une consignation ordinaire n’ont ni la même sensibilité ni la même utilité dans le temps.

Écrire la politique, puis l’automatiser

Une politique de conservation qui n’existe que dans la tête du dirigeant n’existe pas. Elle doit être écrite, et tenir en un tableau lisible.

Une ligne par type de données. Sa nature, sa finalité, sa durée d’utilité active, ce qu’il advient ensuite — suppression, archivage à accès restreint, anonymisation — et qui en est responsable.

Une justification pour chaque durée. Pas un article de texte cité de mémoire : la raison opérationnelle ou l’obligation identifiée avec votre conseil. C’est ce qui rend la politique défendable et révisable.

Une date de revue. Les textes évoluent, l’activité change, de nouveaux traitements apparaissent. Une politique écrite une fois et jamais relue devient fausse sans que personne ne s’en aperçoive.

Ensuite, il faut que la purge s’exécute d’elle-même. Une suppression qui dépend d’une action manuelle périodique n’a lieu qu’une fois, le mois où elle a été décidée. L’automatisation est ce qui transforme une intention en pratique.

Trois précautions accompagnent cette automatisation :

Savoir qui peut la désactiver. C’est le point le plus important. Une purge que n’importe quel utilisateur peut suspendre n’est pas une garantie. Le nombre de personnes habilitées doit être réduit, connu, et toute suspension doit laisser une trace datée et motivée.

Prévoir la suspension légitime. Lorsqu’un litige, une réclamation ou une procédure porte sur une période, les données concernées ne doivent pas être détruites par le fonctionnement automatique. Il faut donc pouvoir geler un périmètre précis — et non désactiver la purge globale.

Vérifier que la suppression est réelle. Ce qui est supprimé d’une vue peut subsister ailleurs : sauvegardes, exports envoyés, copies locales. Une politique honnête recense ces emplacements, y compris les fichiers exportés par les responsables pour leurs besoins propres.

Un système qui applique la politique par défaut évite d’en faire dépendre le respect d’une action mensuelle.

Le cadre applicable : à vérifier, systématiquement

Rien de ce qui précède ne constitue une durée à appliquer. Les durées de conservation dépendent de la nature des données, de la finalité du traitement, du secteur, des obligations sociales, comptables et contractuelles, et du cadre de la protection des données personnelles. Elles diffèrent selon les catégories, et ne se transposent pas d’une entreprise à une autre.

En France, la CNIL publie des orientations sur les traitements de données, y compris pour les dispositifs de vidéo et le suivi de l’activité des salariés, et l’exercice de l’activité de sécurité privée relève d’un encadrement dont le CNAPS est l’autorité de référence. Ces règles évoluent et s’apprécient au cas par cas. Toute politique de conservation doit être établie et vérifiée auprès de l’autorité compétente et d’un conseil qualifié, en tenant compte de la situation propre de l’entreprise et de ses contrats. Cet article n’est pas un avis juridique.

Questions fréquentes

Faut-il une durée unique pour toute l’exploitation ? Non, et c’est même le principal défaut des politiques improvisées. Une durée unique conduit mécaniquement à conserver trop longtemps certaines catégories et pas assez longtemps d’autres. Le tri par nature est le seul point de départ tenable.

Que faire des archives accumulées sans politique ? Les traiter comme un chantier distinct : recenser ce qui existe et où, identifier ce qui se rattache à un dossier encore utile, et décider du sort du reste avec un conseil. Ce chantier ne doit pas retarder la mise en place de la politique pour les données courantes.

Le client peut-il imposer une durée de conservation ? Il peut exprimer un besoin, qui sera examiné au regard du cadre applicable. Une exigence contractuelle ne dispense pas de respecter les règles en matière de données personnelles. Ce point se traite au moment de la contractualisation, avec un conseil.

Qui doit être responsable de la politique dans l’entreprise ? Une personne identifiée, avec une suppléance. La responsabilité diffuse produit toujours le même résultat : personne ne relit la politique, personne ne vérifie les purges, et l’entreprise découvre l’état réel de ses données à l’occasion d’un incident.

Pour voir comment les consignations, les photos et leurs accès s’organisent au même endroit, la page sur la main courante électronique en détaille le fonctionnement, et celle sur la géolocalisation précise ce qui est enregistré lors d’un suivi de terrain.