RGPD et archives : mini guide de survie

Depuis 2018, les archivistes doivent jongler avec un invité exigeant : le RGPD. Ce règlement a beau avoir plus de sept ans, il continue de susciter des sueurs froides : "puis-je conserver ce dossier ? Dois-je anonymiser ces données ?". Et quand bien même on masque un nom ou une adresse, rien ne garantit un anonymat complet : les recoupements peuvent suffire à identifier une personne. Pas de panique : ce mini guide vous propose les bons réflexes pour rester dans les clous et éviter les migraines juridiques.

RETROUVEZ CET ARTICLE ET PLUS ENCORE DANS NOTRE GUIDE PRATIQUE : Archivage physique et électronique : enjeux, méthodes et outils

Découvrez L'Archiviste Augmenté, la newsletter thématique gratuite d'Archimag dédiée aux professionnels des archives et du patrimoine !

Première règle : savoir ce que l’on conserve

Impossible de respecter le RGPD si vous ne savez pas où dorment les données personnelles. Cela veut dire cartographier vos fonds : registres, dossiers RH, archives médicales, e-mails stockés "au cas où", fichiers Excel oubliés sur un serveur…

Conseil pratique : si vous ne savez pas par où commencer, parlez-en au DPO (délégué à la protection des données) de votre organisme. Il vous aidera à identifier les données sensibles et à les classifier.

Le grand ménage : minimiser, trier, jeter

L’idée n’est pas de faire place nette pour faire joli, mais d’éviter de garder des données personnelles sans base légale :

les doublons ? Débarrassez-vous-en,
les documents obsolètes ? Détruisez-les, mais de façon sécurisée (broyage, effacement certifié),
ce qui a une valeur probante ou patrimoniale ? Conservez.

Petit rappel : le RGPD (art. 6) autorise le traitement et la conservation de données si :

la loi l’impose (obligation légale),
la mission relève de l’intérêt public (c’est le cas des archives publiques),
ou bien, exceptionnellement, si un intérêt légitime est démontré (rare en archivage public).

L’accès aux archives : ce n’est pas "open bar"

Deux types de publics, deux approches :

accès interne (agents, chercheurs habilités) : appliquez des règles d’habilitation claires, contrôlez les accès, tenez un journal. Pas de partage sauvage de fichiers via une clé USB, par exemple,
accès externe (citoyens, médias, chercheurs) : respectez les délais légaux de communicabilité (article L. 213-2 du Code du patrimoine).

Voici quelques repères :

25 ans pour la vie privée en général,
50 ans pour les documents mettant en cause la sécurité publique,
75 ans pour les dossiers judiciaires,
100 ans pour les documents médicaux,
120 ans après la naissance pour certaines données sensibles (secret médical).

Dérogations sur les archives publiques

Les archives publiques sont librement communicables, sauf exceptions soumises à délai. En cas de besoin avant échéance, une dérogation peut être demandée : elle passe par le service d’archives compétent et peut être soumise à l’avis de la Cada.

Tracer et documenter chaque action

Vous devez obéir à un principe simple : tout ce que vous faites doit pouvoir être justifié : pourquoi ce registre est-il conservé ? Pourquoi ce dossier a-t-il été détruit ? Quand cette demande a-t-elle été traitée et comment ? Ces éléments doivent être consignés dans un registre de traitement (RGPD art. 30), qui vous sauvera en cas de contrôle de la Cnil.

Conseil : cette tâche (et cette responsabilité) ne devrait pas reposer uniquement sur vos épaules : travaillez avec le DPO, les juristes et les services versants pour définir qui documente quoi et comment.

Pour ce faire, adoptez ces réflexes au quotidien :

cartographiez vos fonds (avec le DPO),
éliminez l’inutile, conservez l’utile,
sécurisez les accès (pas de documents sensibles sur une clé USB qui traîne),
informez les usagers avec des réponses claires, validées juridiquement,
documentez tout ce que vous faites,
consultez régulièrement la Cnil, la Cada et la Base de données des durées de conservations des documents d’Archimag pour rester à jour,
ne restez jamais seul : en cas de doute, contactez le DPO ou le juriste,
formalisez vos recherches puis rédigez des notes de préconisations. Gérer les archives à l’ère du RGPD, ce n’est pas seulement appliquer les textes au quotidien, c’est aussi savoir les traduire en consignes claires et durables pour vos collègues et successeurs :

- précisez le fondement juridique (article du RGPD, Code du patrimoine, circulaire, etc.),
- indiquez les délais de conservation et de communicabilité applicables,
- mentionnez les exceptions (anonymisation, dérogation CADA),
- donnez des consignes pratiques (destruction sécurisée après x années, accès restreint, conditions de consultation). Ces notes peuvent être intégrées directement dans vos outils : SIA (système d’information archivistique), pour consigner règles et délais, SAE (système d’archivage électronique), pour automatiser accès, durée et sort final des documents, conventions d’archivage, pour sécuriser les relations avec les services versants.

Résultat : plus de clarté, moins de risques et une traçabilité précieuse en cas de contrôle de la Cnil ou de demande d’usager.

Un anonymat plus fragile qu’il n’y paraît

Attention à la confusion :

anonymisation = suppression de tout lien avec une personne → hors champ du RGPD,
pseudonymisation = remplacement de données identifiantes par des codes, mais réversibles → reste sous RGPD.

En pratique, masquer un nom ou une adresse ne suffit pas toujours : les recoupements (fonction, contexte, dates, parcours public) permettent souvent d’identifier la personne. Par exemple, le décret n° 2025-840 du 22 août 2025 rend désormais possible l’occultation de l’adresse personnelle de certaines personnes physiques dirigeantes et associés figurant au registre du commerce et des sociétés (RCS), pour limiter les risques liés à l’open data.

Conclusion : le RGPD, une contrainte ou un allié ?

Soyons honnêtes, le RGPD est parfois vécu comme un cauchemar administratif. Mais il a un mérite : il oblige à mettre de l’ordre (moins de stock inutile, plus de clarté, des droits des usagers mieux respectés…). Surtout, un archiviste qui peut affirmer avec lui "voici la règle, et voici la preuve". Mais ne portez pas tout seul ce fardeau : le DPO est votre allié naturel, tout comme le service juridique et les services versants. Ensemble, vous transformerez le RGPD d’un casse-tête en un outil de légitimation professionnelle. Et, avouons-le : être à la fois gardien de la mémoire et protecteur des libertés individuelles, ça a quand même de la classe !

Anne-Solène Daniel
[Consultante et formatrice chez Serda Conseil]