Om dokumentmallen
Politique de suppression & conservation des données RGPD 2026/2027 – package complet SV/EN avec Word, PDF & Excel
Un package de modèles opérationnels complet pour les entreprises et organisations ayant besoin d'introduire, de documenter et de respecter concrètement le principe RGPD de minimisation de la conservation. Le package aide l'organisation à passer de « nous devrions supprimer » à un processus piloté comprenant un calendrier de conservation (retention schedule), des procédures de suppression, une mise en conservation légale (legal hold), un contrôle des sous-traitants, une gestion des sauvegardes et un suivi mesurable.
2-en-1 suédois + anglais : sept modèles sont disponibles dans les deux langues et sont fournis au format Word modifiable et PDF. Un registre Excel avancé pour le pilotage continu est également inclus. Au total, vous recevez 14 modèles de documents + 1 registre Excel = 29 fichiers.
Le package a été vérifié par rapport au Règlement général sur la protection des données (UE) 2016/679, aux lignes directrices actuelles de l'IMY sur la minimisation de la conservation et la suppression, ainsi qu'aux règles de conservation suédoises pertinentes, notamment la loi sur la comptabilité et la loi sur la prescription. Les modèles sont conçus pour une utilisation en 2026/2027.
Ce qui est inclus dans le package
| Modèle | SV | EN | Usage |
|---|---|---|---|
| Plan de conformité | Word/PDF | Word/PDF | Rôles, inventaire, modèle de décision et mise en œuvre. |
| Politique de suppression / Retention Policy | Word/PDF | Word/PDF | Règles de gouvernance pour le stockage, la suppression, l'anonymisation et les exceptions. |
| Calendrier de conservation | Word/PDF | Word/PDF | Motiver la durée de conservation par traitement, déclencheur et base juridique. |
| Procédure de suppression & anonymisation | Word/PDF | Word/PDF | Suppression opérationnelle, journal de suppression, vérification et sauvegarde. |
| Legal Hold & exceptions de suppression | Word/PDF | Word/PDF | Exceptions limitées en cas de réclamations juridiques, enquêtes et audit. |
| Contrôle des systèmes, sous-traitants & sauvegardes | Word/PDF | Word/PDF | SaaS, sous-traitants, suppression douce, cache, sauvegarde et preuve de suppression. |
| Guide utilisateur détaillé | Word/PDF | Word/PDF | Étape par étape, de l'inventaire à la suppression vérifiée. |
| Registre de conservation des données RGPD | Excel (XLSX) | Tableau de bord + registres opérationnels avec formules et suivi. | |
Beaucoup d'organisations ont une formulation stipulant que « les données personnelles sont conservées aussi longtemps que nécessaire » mais manquent du lien entre la finalité, la durée de conservation, les paramètres système et la suppression réelle. Ce package relie le juridique, le calendrier de conservation, les systèmes techniques, les sous-traitants, les sauvegardes et la preuve de la suppression effectuée.
Le principe de minimisation de la conservation du RGPD
L'article 5.1 e du RGPD signifie que les données à caractère personnel ne doivent pas être conservées sous une forme permettant l'identification des personnes concernées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées. Lorsque les données ne sont plus nécessaires, elles doivent, en règle générale, être supprimées ou anonymisées.
L'IMY souligne que les organisations doivent déterminer combien de temps différentes données personnelles peuvent être conservées et disposer de procédures fonctionnelles de suppression, par exemple par des contrôles réguliers ou une suppression automatisée.
Il n'existe aucune règle générale du type « tout conserver pendant X années »
Une partie centrale du package est donc une évaluation de la conservation (retention assessment). Chaque durée de conservation est liée à une finalité claire, une base juridique, un déclencheur de conservation et une justification du pourquoi cette durée précise est nécessaire. Là où des exigences légales spécifiques existent, elles sont documentées séparément.
Calendrier de conservation – relier le juridique aux systèmes réels
Le modèle de calendrier de conservation aide l'organisation à documenter, entre autres :
- traitement et finalité,
- base juridique,
- personnes concernées et catégories de données,
- systèmes et sous-traitants,
- déclencheur de conservation – par exemple fin du contrat, fermeture du dossier ou dernière activité,
- durée de conservation ou règle basée sur un événement,
- évaluation de la nécessité,
- exigence légale de conservation,
- réclamation juridique/legal hold,
- méthode de suppression/anonymisation,
- date de révision et responsable.
L'article 30 du RGPD précise en outre que le registre des activités de traitement doit, si possible, contenir les délais prévus pour l'effacement des différentes catégories de données à caractère personnel.
Suppression, anonymisation, pseudonymisation et sauvegarde
Le package distingue clairement plusieurs mesures techniquement et juridiquement différentes :
- Suppression définitive (Hard delete / purge) – la donnée est supprimée du système opérationnel.
- Anonymisation – l'identification est supprimée d'une manière telle que la ré-identification n'est raisonnablement pas possible.
- Pseudonymisation – réduit les risques mais les données restent des données personnelles et ne comptent donc pas comme une suppression définitive.
- Cycle de vie/TTL – suppression automatique des logs ou du stockage d'objets, par exemple.
- Expiration de sauvegarde (Backup expiry) – suppression sécurisée par rotation planifiée plutôt que par archivage parallèle permanent.
La sauvegarde ne doit pas devenir un archivage permanent caché
Le contrôle des systèmes et des sauvegardes documente, entre autres, la rétention des sauvegardes, la possibilité d'une suppression granulaire, ce qui se passe en cas de restauration, et comment l'organisation s'assure que les décisions de suppression précédentes sont réappliquées après une restauration.
Legal hold et réclamations juridiques
Dans certaines situations, l'organisation peut avoir besoin de conserver les données plus longtemps pour constater, exercer ou défendre des droits en justice. Le package contient donc un modèle de legal hold séparé qui exige une décision délimitée avec les personnes concernées, les systèmes, les catégories de données, la date de début et la date de révision.
La loi suédoise sur la prescription a pour règle générale un délai de prescription de dix ans pour les créances et normalement trois ans pour certaines créances de consommation. Cela ne signifie pas automatiquement que toutes les données personnelles doivent être conservées pendant dix ou trois ans. La conservation doit toujours être nécessaire et proportionnée à la réclamation concrète.
Comptabilité – sept ans ne signifie pas toutes les données clients
La loi sur la comptabilité exige que les informations comptables soient conservées jusqu'à la fin de la septième année suivant la fin de l'exercice comptable. Il est donc important de distinguer les informations comptables elles-mêmes et les autres données opérationnelles des clients qui ne sont pas soumises aux mêmes exigences.
La politique et le calendrier de conservation du package ont donc des champs séparés pour documenter quel type de document ou de donnée est réellement couvert par l'exigence de conservation spécifique.
RH et anciens employés
L'IMY souligne aux employeurs que les données personnelles des employés ne peuvent être conservées que le temps nécessaire à la finalité, et que l'employeur doit avoir des délais et des procédures établis pour la suppression. Lorsque des données doivent être conservées en raison d'exigences légales, par exemple, l'accès et les autorisations doivent être limités.
Systèmes et sous-traitants
Une politique bien rédigée ne sert à rien si la plateforme SaaS ne peut pas supprimer les données. C'est pourquoi le package contient un modèle de vérification technique pour les propriétaires de systèmes et les sous-traitants avec un contrôle de :
- suppression individuelle,
- politiques TTL/cycle de vie,
- suppression douce (soft delete),
- index de recherche et cache,
- rétention des sauvegardes,
- résiliation de contrat,
- sous-traitants ultérieurs,
- certificat/preuve de suppression,
- processus de restauration et réapplication de la suppression.
Registre Excel avec tableau de bord et suivi automatique
Le fichier XLSX inclus est conçu pour une utilisation continue et contient :
- Tableau de bord avec des KPI pour les suppressions en retard, les mises en conservation légale (legal holds), les demandes de suppression et les lacunes système,
- Registre de traitement,
- Calendrier de conservation,
- File d'attente de suppression avec calcul automatique de la date de suppression,
- Legal Holds,
- Demandes d'effacement avec délai de réponse automatique,
- Systèmes & sous-traitants,
- Sauvegardes & archives,
- Journal de suppression,
- Checklist de preuves et sources.
Le droit à l'effacement et la conservation, ce n'est pas la même chose
L'article 17 du RGPD donne droit à l'effacement dans certaines situations, mais contient également des exceptions, par exemple lorsque le traitement est nécessaire pour respecter une obligation légale ou pour constater, exercer ou défendre des droits en justice. Le registre des demandes de suppression du package aide donc à distinguer la demande de la personne concernée et le calendrier de suppression ordinaire de l'organisation.
Questions fréquentes
Existe-t-il une règle RGPD générale stipulant que les données personnelles doivent être conservées par exemple pendant deux ou cinq ans ?
Non. La durée de conservation doit, en règle générale, être dérivée de la finalité, de la nécessité et de la base juridique. Une législation spécifique peut, en revanche, exiger que certaines données ou documents soient conservés pendant une certaine période.
Toutes les données clients doivent-elles être conservées sept ans en raison de la loi sur la comptabilité ?
Non. Les exigences de conservation de la loi sur la comptabilité s'appliquent aux informations comptables. Les autres informations clients doivent être évaluées en fonction de leur propre finalité et base juridique.
La pseudonymisation est-elle la même chose que la suppression ?
Non. Les données pseudonymisées sont normalement toujours des données personnelles. La pseudonymisation peut réduire les risques mais ne remplace pas une suppression définitive lorsque la durée de conservation a expiré.
Comment la sauvegarde doit-elle être gérée ?
La sauvegarde nécessite une rétention documentée et un modèle de rotation. Il est également important de définir ce qui se passe si une ancienne sauvegarde est restaurée afin que des données personnelles précédemment supprimées ne soient pas réintroduites de façon permanente.
Pouvons-nous arrêter la suppression en cas de litige ?
Oui, dans certains cas, une mise en conservation légale (legal hold) délimitée peut être justifiée. Elle doit être documentée, proportionnée et régulièrement réévaluée.
Les documents en anglais sont-ils inclus ?
Oui. Les sept modèles sont disponibles en version anglaise séparée dans un contexte de droit suédois/UE.
Excel est-il inclus ?
Oui. C'est l'un des produits où Excel est central pour la gestion opérationnelle et le suivi.
Format et livraison
- 14 modèles de documents – 7 suédois + 7 anglais.
- 14 DOCX + 14 PDF + 1 XLSX = 29 fichiers.
- 28 pages A4 par série de format Word/PDF sur SV+EN.
- Produit numérique – aucun article physique n'est envoyé.
Base juridique et sources des autorités
- Règlement général sur la protection des données (UE) 2016/679 – notamment les articles 5, 13, 14, 17 et 30
- IMY – Combien de temps pouvons-nous conserver des données personnelles ?
- IMY – Principes fondamentaux selon le RGPD
- Loi sur la comptabilité (1999:1078)
- Loi sur la prescription (1981:130)
