Combien de temps conserver les documents : les délais légaux

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

Les obligations de conservation des données selon différentes lois israéliennes

La loi sur la protection de la vie privée, 5741-1981 (חוק הגנת הפרטיות, התשמ״א-1981), ne contient pas d’exigence absolue et univoque de conservation des données pendant une durée déterminée. Toutefois, la loi limite l’utilisation des informations à la finalité pour laquelle la base de données a été créée (article 8(b)). Le règlement sur la protection de la vie privée (sécurité des données), 5777-2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017), oblige le responsable de la base de données à vérifier une fois par an que les informations qu’il conserve ne dépassent pas ce qui est nécessaire aux finalités de la base de données (article 2(c)). C’est le « principe de minimisation des données » (data minimization). Autrement dit : plus d’informations = plus de risque juridique.

Différentes lois israéliennes fixent des exigences de conservation différentes selon le type de données :

Données fiscales et comptables : les instructions de l’impôt sur le revenu (tenue de la comptabilité), 5733-1973 (הוראות מס הכנסה (ניהול פנקסי חשבונות), התשל״ג-1973), prévoient (article 25) que la comptabilité est conservée sept ans après la fin de l’année fiscale à laquelle elle se rapporte, ou six ans après la date de dépôt de la déclaration de revenus de cette année, la date la plus tardive étant retenue. Cela comprend les livres comptables, les factures et les reçus.

Données bancaires : l’arrêté sur l’interdiction du blanchiment d’argent (obligations d’identification, de déclaration et de conservation des registres des sociétés bancaires pour la prévention du blanchiment d’argent et du financement du terrorisme), 5761-2001 (צו איסור הלבנת הון (חובות זיהוי, דיווח וניהול רישומים של תאגידים בנקאיים למניעת הלבנת הון ומימון טרור), התשס״א-2001), oblige une banque à conserver les documents d’identification du client au moins sept ans après la clôture du compte, et les registres des opérations au moins sept ans après la date d’enregistrement de l’opération.

Données relatives à l’emploi : la loi sur la protection du salaire, 5718-1958 (חוק הגנת השכר, התשי״ח-1958) (article 24), oblige l’employeur à tenir un registre des salaires, et la loi sur les heures de travail et de repos, 5711-1951 (חוק שעות עבודה ומנוחה), impose l’enregistrement des heures de travail. La loi ne fixe pas de durée de conservation uniforme pour le dossier du salarié. En pratique, on conserve habituellement les documents au moins sept ans après la fin de l’emploi, soit le délai de prescription général selon la loi sur la prescription, 5718-1958 (חוק ההתיישנות, התשי״ח-1958), car c’est la période pendant laquelle un salarié peut encore agir en justice.

Données de santé : le règlement sur la santé publique (conservation des dossiers), 5737-1976 (תקנות בריאות העם (שמירת רשומות), תשל״ז-1976), oblige un hôpital à conserver le dossier médical d’un patient 20 ans après l’hospitalisation ou le dernier traitement, et à conserver le dossier d’un patient de la consultation externe de l’hôpital 7 ans après le dernier traitement. C’est une exigence stricte, notamment en raison du risque d’actions en responsabilité médicale qui n’apparaissent que des années après les soins.

Données de sécurité informatique : ici, le risque est inverse : c’est une conservation trop courte qui constitue la violation. Pour une base de données soumise au niveau de sécurité moyen ou élevé, les données de journalisation du mécanisme de contrôle d’accès à la base de données (qui a accédé, quand, à quel composant, et si l’accès a été autorisé ou refusé) sont conservées au moins 24 mois (article 10(d) du règlement sur la protection de la vie privée (sécurité des données), 5777-2017). Les données accumulées dans l’exécution des obligations de sécurité, dont la documentation des incidents de sécurité (article 11), sont conservées de manière sécurisée pendant 24 mois, pour toute base de données autre qu’une base gérée par une personne physique (articles 17(a) et 21).

Étude de cas : les durées de conservation dans une société de commerce en ligne

Prenons une boutique en ligne ordinaire. Que doit-elle conserver ?

• Données de base des clients : nom, adresse, téléphone, e-mail, tant qu’elles sont nécessaires au traitement de la commande, des réclamations et des retours, ou jusqu’à la fin d’une procédure judiciaire en cours
• Données des transactions : numéro de commande, prix, date : sept ans après la fin de l’année fiscale, selon les instructions sur la tenue de la comptabilité
• Justificatifs de paiement : les preuves de paiement sont conservées avec les documents comptables ; il n’y a aucune raison de conserver les données complètes de la carte de crédit après la transaction, sauf si le client a demandé l’enregistrement d’un moyen de paiement pour de futurs achats
• Documentation des demandes et réclamations : la documentation du traitement et de la solution, jusqu’à la fin du délai de prescription, si une procédure judiciaire est envisageable
• Données d’inscription : nom d’utilisateur et mot de passe chiffré, jusqu’à la fermeture du compte, et ensuite seulement s’il existe un besoin défini (par exemple la prévention de la fraude) et pour une durée limitée

Si une société conserve ces informations plus longtemps que nécessaire, elle détient des « informations superflues », contrairement à l’obligation d’examen annuel du règlement sur la sécurité des données, et elle augmente le préjudice et le risque juridique en cas de fuite. Par exemple, conserver les données de carte de crédit d’un client qui n’a effectué aucune transaction depuis deux ans est un risque inutile, à la fois face au client, face à la société de carte de crédit et face à l’Autorité de protection de la vie privée.

Des exigences plus strictes pour les données sensibles

Certains types de données exigent des durées de conservation plus courtes ou un traitement particulier :

Données génétiques et biométriques : la loi sur la protection de la vie privée qualifie les informations génétiques et les identifiants biométriques d’« informations particulièrement sensibles » (article 3). Des exigences de sécurité plus strictes s’y appliquent donc, et les informations génétiques font aussi l’objet de dispositions particulières dans la loi sur l’information génétique, 5761-2000 (חוק מידע גנטי, התשס״א-2000). La durée de conservation doit être la plus courte qu’exige la finalité de la collecte. Par exemple, une empreinte digitale enregistrée pour l’accès au bureau devrait être effacée lorsque le salarié part, car la finalité est alors épuisée.

Autres données sensibles : les données de santé mentale, les antécédents judiciaires et les données religieuses doivent être très protégés. Les durées de conservation doivent être plus courtes, et il faut parfois les effacer dès que la finalité pour laquelle elles ont été collectées est atteinte.

Un plan de conservation à jour et un effacement correct

Une société doit avoir une politique écrite de conservation des données (Data Retention Policy). Ce plan doit comprendre :

• Les différents types de données (inscription, transactions, santé, etc.)
• La durée de conservation de chaque type
• Le fondement juridique de cette durée (fiscalité, blanchiment d’argent, santé, prescription)
• Le processus d’effacement (comment exactement les données seront effacées : de façon définitive, par un marquage « effacé », ou par destruction physique)
• Une personne responsable de l’effacement
• La documentation de chaque effacement (pour les besoins des contrôles réglementaires)

Lors de l’effacement, il faut s’assurer que les données ne peuvent pas être restaurées. Une simple suppression dans l’explorateur de fichiers ne suffit pas : il faut utiliser un outil d’effacement sécurisé. Dans les grandes sociétés, il est recommandé de faire vérifier l’effacement par un tiers pour prouver qu’il a été effectué.

Quelles données exigent une durée de conservation particulièrement courte ?

Les chefs d’entreprise doivent vérifier si certains types de données ne doivent être conservés que pendant la durée la plus courte possible :

Données de localisation : si une société disposant d’une application mobile conserve des données de localisation pour analyser des déplacements, elle ne peut les conserver que tant qu’elles servent une finalité claire (par exemple jusqu’à la fin de l’analyse pour laquelle elles ont été collectées). Ensuite, on les efface.

Images des caméras de surveillance : les images ne doivent être conservées que pendant une courte durée, selon ce qu’exige la finalité de sécurité pour laquelle les caméras ont été installées. Une conservation plus longue est considérée comme « excessive ».

Messages d’hameçonnage (phishing) : si un salarié reçoit un e-mail suspect, il faut le transmettre à l’équipe de sécurité et l’effacer après traitement.

L’effacement comme droit de la personne

La loi sur la protection de la vie privée ne prévoit pas de « droit à l’oubli » général. Mais l’article 14 de la loi donne à toute personne qui a consulté les informations la concernant et les a trouvées inexactes, incomplètes, peu claires ou non à jour le droit de demander au responsable de la base de données de les rectifier ou de les effacer. Selon l’article 7 du règlement sur la protection de la vie privée (conditions de consultation des informations et procédure d’appel contre le refus d’une demande de consultation), 5741-1981 (תקנות הגנת הפרטיות (תנאים לעיון במידע וסדרי הדין בערעור על סירוב לבקשת עיון), התשמ״א-1981), le responsable de la base de données qui refuse de rectifier ou d’effacer les informations doit en informer le demandeur dans un délai de 30 jours à compter de la réception de la demande, et l’absence de réponse dans ce délai vaut avis de refus (voir aussi l’article 14(c) de la loi). Depuis l’amendement n° 13, le tribunal peut accorder des dommages-intérêts exemplaires jusqu’à 10 000 ₪ à celui qui n’a pas reçu un tel avis (article 15A). Même lorsqu’il n’existe pas d’obligation légale d’effacer, conserver des informations dont la finalité de collecte est épuisée est contraire au principe de minimisation des données. Une organisation qui reçoit une demande d’effacement doit donc vérifier s’il existe une obligation de conservation qui prévaut sur la demande (comme une obligation de conservation à des fins fiscales) et, à défaut, effacer.

Une exception importante : aux informations personnelles transférées en Israël depuis l’Espace économique européen (les États de l’Union européenne, l’Islande, la Norvège et le Liechtenstein), à l’exception des informations qu’une personne a communiquées directement sur elle-même, s’applique le règlement sur la protection de la vie privée (dispositions relatives aux informations transférées en Israël depuis l’Espace économique européen), 5783-2023 (תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023). Selon ce règlement, le responsable de la base de données doit mettre en œuvre un mécanisme garantissant qu’il ne conserve pas d’informations qui ne sont plus nécessaires, et effacer ces informations le plus tôt possible (article 4). Sur demande écrite de la personne concernée, il doit effacer les informations collectées illicitement ou qui ne sont plus nécessaires à leur finalité, sauf si l’une des exceptions s’applique, par exemple l’exécution d’une obligation légale ou la conduite d’une procédure judiciaire (article 3).

Questions fréquentes

Combien de temps faut-il conserver les documents fiscaux, les documents bancaires et les dossiers des salariés en Israël ?

Les documents comptables sont conservés sept ans après la fin de l’année fiscale (ou six ans après la date de dépôt de la déclaration, la date la plus tardive étant retenue), les documents bancaires sept ans selon l’arrêté sur l’interdiction du blanchiment d’argent, et les dossiers des salariés sont habituellement conservés sept ans après la fin de l’emploi, soit le délai de prescription général. Le dossier médical d’un patient hospitalisé est conservé 20 ans. Chaque type d’information est soumis à une durée de conservation différente, fixée par la règle qui le concerne, et il n’existe pas de règle unique adaptée à tous les types d’informations.

Conserver des informations au-delà de la durée requise est-il plus sûr juridiquement ?

Non. Conserver des informations au-delà du nécessaire est un risque juridique autonome, même en l’absence de tout signalement ou incident. Des informations conservées sans justification légale claire sont une charge et un risque en soi : le risque ne vient pas seulement d’une conservation trop courte.

Une personne peut-elle exiger l’effacement de ses informations personnelles ?

En partie. L’article 14 de la loi sur la protection de la vie privée permet à celui qui a consulté les informations le concernant et les a trouvées inexactes, incomplètes, peu claires ou non à jour de demander au responsable de la base de données de les rectifier ou de les effacer. Si le responsable refuse, il doit en informer le demandeur dans un délai de 30 jours à compter de la réception de la demande (article 14(c) de la loi et article 7(b) du règlement sur la protection de la vie privée (conditions de consultation des informations et procédure d’appel contre le refus d’une demande de consultation), 5741-1981). Un droit général à l’« oubli » (l’effacement d’informations exactes) n’est pas prévu par la loi israélienne et, en tout état de cause, une obligation légale de conservation (comme une obligation de conservation à des fins fiscales) prévaut sur la demande.