La conservation des données (en anglais Retention Management) définit les règles et procédures de conservation (obligatoire ou non) de certaines données (documents physiques ou numériques). L'apparition des données numériques et du big data posent des problèmes spécifiques de conservation.
Enjeux
La conservation à court, moyen ou long termes de certaines données est une obligation légale et/ou une responsabilité sociétale (préservation du patrimoine culturel et/ou numérique d'individus, familles, roupes, d'institution publique ou privée, culturelles, universitaires et scientifiques notamment).
Cas des données personnelles
Certaines données personnelles (sur la santé, les salaires, les diplômes…) doivent être conservées.
Elle vise principalement à la facturation, mais aussi à permettre l'analyse rétrospective de trafic et une certaine surveillance.
Législation
La conservation de certaines données (personnelles, judiciaires, de santé, militaires, etc.) est soumise à des dispositions législatives particulières.
Directive 97/66 du 15 décembre 1997 « concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications » (qui devait être transposé par le projet de loi sur la société de l'information de 2001[1])
Directive 2006/24/CE sur la conservation des données
La Directive 2006/24/CE, du , exigeait jusqu'en 2014 la conservation des données pendant une période allant de six mois à deux ans, en particulier en vue de:
de limiter la durée de conservation des données à un an;
de ne l'autoriser qu'en cas de mandat judiciaire et seulement pour des enquêtes visant des crimes assez important pour faire l'objet d'un mandat d'arrêt européen;
de ne transférer les données aux autorités nationales que sur demande d'expresse, et cas par cas;
de permettre un opt-in pour les États membres, leur permettant de ne pas conserver les données des appels sans réponse;
d'imposer des sanctions pénales à l'utilisation illégale de ces données;
et de compenser le coût de la conservation des données pour les opérateurs privés en les dédommageant.
Les cours constitutionnelles de Bulgarie et de Roumanie ont jugé que la législation sur la conservation des données était inconstitutionnelle, tandis que l'Irlande a posé une question préjudicielle devant la Cour européenne de justice[3] afin de savoir si ladite directive était compatible avec les articles 7 (respect de la vie privée et familiale) et 8 (protection des données à caractère personnel) de la Charte européenne des droits fondamentaux.
