Durée de conservation des données de formulaire — Combien de temps garder ?

La plupart des organisations réfléchissent beaucoup à la manière de collecter les données de formulaire, beaucoup moins au moment de les supprimer. Le résultat est une accumulation silencieuse : des milliers de soumissions stockées dans des outils de formulaire, parfois bien après leur durée de vie utile, souvent oubliées, occasionnellement remontant à la surface lors d'une fuite ou d'une demande d'accès. Cet article est un guide pratique des durées de conservation pour les soumissions de formulaire — ce que la loi exige, comment fixer des valeurs par défaut sensées et comment les outils à connaissance nulle changent la donne.

Le réglage par défaut sur lequel la plupart des organisations vivent

Ouvrez le tableau de bord d'un outil de formulaire typique en service depuis deux ou trois ans. Vous y trouverez en général chaque soumission jamais reçue, complète et lisible, sans aucune suppression programmée. Les raisons sont familières : personne ne porte la question de la conservation, l'outil ne vous incite pas à fixer une limite, et le coût marginal d'une ligne supplémentaire dans une base tend vers zéro. Donc les données restent.

Ce réglage par défaut a un coût précis. Sous le RGPD (art. 5(1)(e), limitation de la conservation) et la nLPD (art. 6 al. 4, proportionnalité et nécessité), les données personnelles ne doivent pas être conservées plus longtemps que nécessaire au regard de la finalité pour laquelle elles ont été collectées. « Indéfini par défaut » n'est pas une réponse défendable — c'est l'absence de réponse, et les régulateurs la traitent de plus en plus comme telle.

Ce que la loi exige réellement

RGPD et nLPD adoptent la même position fondamentale : ne conserver les données personnelles que le temps nécessaire à la finalité de la collecte. Aucun ne fixe une seule échéance qui s'applique à tous les formulaires ; tous deux exigent que vous fixiez des échéances cohérentes avec vos finalités et que vous puissiez les défendre.

RGPD — principe de limitation de la conservation

L'article 5(1)(e) exige que les données soient « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Le considérant 39 le renforce : des délais d'effacement ou de revue périodique doivent être fixés. Les autorités attendent un calendrier de conservation documenté, non un principe vague.

nLPD (Suisse) — proportionnalité et nécessité

La LPD révisée suit la même logique : les données peuvent être traitées (y compris stockées) uniquement dans la mesure nécessaire à la finalité indiquée. Lorsqu'un responsable ne peut justifier la poursuite de la conservation, la suppression ou l'anonymisation est requise. Le PFPDT a indiqué que les calendriers de conservation seront un sujet d'inspection standard.

Couches sectorielles

Au-delà des principes généraux, les règles sectorielles imposent des minimums et maximums que vous ne pouvez ajuster librement :

• Santé : les dossiers médicaux ont souvent une longue conservation minimale (Suisse : ~10 ans après traitement pour les adultes ; davantage pour les mineurs et certaines spécialités)
• Finance et KYC : la législation LBA impose typiquement 5 à 10 ans de conservation des dossiers de diligence client
• Fiscal et comptable : nombreuses juridictions imposent 7 à 10 ans pour les documents commerciaux
• Emploi : paie, contrats et dossiers RH ont des minimums variables (typiquement 5 à 10 ans après fin du contrat)
• Recherche et essais cliniques : ICH-GCP et règlement européen sur les essais cliniques exigent 25 ans pour le dossier permanent de l'essai

Un cadre pratique pour fixer la conservation

Le cadre qui marche pour la plupart des processus pilotés par formulaire a quatre étapes : identifier la finalité, identifier l'obligation la plus longue, fixer une durée de conservation unique, documenter.

Valeurs par défaut sensées comme point de départ

Ce sont des points de départ — non un conseil juridique — qui fonctionnent pour beaucoup d'organisations petites ou moyennes et que l'on peut resserrer ou allonger après revue par un DPO ou un avocat.

Pourquoi la plupart des outils de formulaire compliquent la suppression

Si vous avez essayé d'opérationnaliser la conservation dans Google Forms, Microsoft Forms ou Typeform, vous reconnaîtrez la friction : pas de suppression automatique. Il faut s'en souvenir, sur un calendrier que vous fixez, dans une UI qui vous pousse à garder, pas à supprimer. Et lorsque vous supprimez, c'est un acte mou — disparu de votre vue, mais les sauvegardes du fournisseur en gardent une copie pendant une fenêtre que vous ne maîtrisez pas pleinement.

Pire : même votre suppression est réversible côté fournisseur, parce qu'il détient les clés. « Nous l'avons supprimé » signifie techniquement « nous l'avons marqué comme supprimé dans notre base applicative ». Le texte clair continue d'exister sur le stockage et les sauvegardes du fournisseur pour une durée — typiquement 30 à 90 jours — gouvernée par sa politique interne, pas par la vôtre.

Comment l'architecture à connaissance nulle change la donne

Quand les données sont chiffrées dans le navigateur du répondant avant transmission, le fournisseur ne stocke que du chiffré. Les clés vivent côté propriétaire du formulaire — l'organisation. Cela change ce que « suppression » signifie de deux manières importantes.

• La suppression est cryptographiquement définitive. Quand le propriétaire supprime une soumission, le chiffré est retiré de la base active. Le fournisseur n'a aucune copie en clair — pas de sauvegarde cachée, pas d'accès du support, pas de chemin de récupération. Les données sont parties.
• Les frontières de conservation sont tenues par la physique, pas par la politique. Un calendrier de conservation sur un outil classique est une promesse ; sur un outil à connaissance nulle, c'est une propriété. Aucune copie en clair ne peut survivre silencieusement à votre planning.
• Les demandes d'accès et d'effacement sont plus simples. Quand un répondant demande la suppression (RGPD art. 17, équivalent nLPD), « nous l'avons supprimé » est techniquement et démonstrablement vrai.

Erreurs fréquentes à éviter

Erreur 1 : une seule durée pour tous les formulaires

Un formulaire KYC et une inscription newsletter ont des obligations différentes. Un « 7 ans pour tout » global est trop long pour la newsletter et peut-être trop court pour le KYC. La granularité par formulaire est la bonne.

Erreur 2 : confondre conservation et archive

Si vous avez besoin de stockage long pour la conformité, l'outil de formulaire n'est rarement le bon endroit. Déplacez les données vers un système d'archive (CRM, DMP, gestion de dossier), avec ses propres contrôles, et laissez la conservation côté formulaire à « assez pour traiter ».

Erreur 3 : la suppression comme tâche manuelle

Le nettoyage manuel ne tient pas sur la durée. Choisissez un outil qui supporte la suppression automatique à l'horizon de conservation, puis vérifiez qu'il fonctionne.

Erreur 4 : ne pas documenter le pourquoi

Si un régulateur demande pourquoi vous gardez les candidatures neuf mois, « parce qu'on a choisi » ne suffit pas. « Parce que cela correspond à la fenêtre de défense anti-discrimination en droit du travail [juridiction] », oui. Notez la raison à côté du nombre.

Erreur 5 : oublier les copies en aval

Les données de formulaire finissent dans des CRM, ticketing, threads e-mail, tableurs. La politique doit suivre la donnée, pas seulement le formulaire d'origine. Documentez la propagation, alignez les calendriers.

Une politique de conservation minimale viable

Si vous n'avez rien aujourd'hui, vous pouvez livrer une politique viable en un après-midi. Voici un squelette :

1. Listez chaque formulaire actif (ou chaque formulaire ayant reçu une soumission ces 12 derniers mois)
2. Pour chacun, écrivez une finalité en une ligne, le plancher obligatoire le plus long, la durée de conservation choisie
3. Configurez l'outil pour appliquer la durée automatiquement — ou, à défaut, programmez une tâche calendaire récurrente avec des responsables nommés
4. Ajoutez la table à votre registre des activités et liez-la depuis votre politique de confidentialité
5. Programmez une revue annuelle

Comment le communiquer aux répondants

RGPD et nLPD exigent que vous indiquiez aux répondants combien de temps vous comptez garder leurs données. La formulation n'a pas besoin d'être compliquée :

Nous conserverons les informations que vous fournirez sur ce formulaire pendant [X mois/ans] après [événement déclencheur], après quoi elles seront automatiquement supprimées de notre système de formulaires. Si vous avez demandé à être contacté à propos d'un service, nous garderons une preuve de ce consentement [Y mois] au-delà de la désinscription.

Placez le texte dans l'avis de confidentialité du formulaire, liez la politique complète depuis la case de consentement et référencez la table depuis votre registre. Ceux qui s'en soucient regarderont ; les régulateurs aussi.

L'essentiel

La conservation est la moitié silencieuse de la protection des données. La plupart des organisations sont bonnes à la collecte, faibles à la suppression. La correction est mécanique, pas philosophique : documenter un calendrier par formulaire, l'appliquer automatiquement, préférer des outils qui rendent la suppression définitive.

Schweizerform a été conçu avec la conservation en tête. Chiffrement dans le navigateur, stockage chiffré uniquement, conservation configurable avec suppression cryptographique — ensemble, ils transforment la conservation d'une promesse du fournisseur sur son comportement en une propriété du système. Le genre de garantie qu'un DPO peut poser sur le bureau d'un régulateur sans broncher.