Après incident : supprimer les copies d'investigation

Le rétablissement d’un service ne signifie pas que toutes les copies créées pour comprendre l’incident peuvent être effacées. Il ne justifie pas davantage leur conservation sans fin. La clôture doit décider, pour chaque image, export, journal ou capture, ce qui reste nécessaire, qui peut y accéder et quel événement permettra de le supprimer.

La difficulté vient des usages successifs : un fichier utile au diagnostic peut devenir une preuve, tandis que ses copies de manipulation n’ont plus de raison d’exister. Il faut conserver le bon objet avec son contexte, sans transformer tous les postes des intervenants en archives de l’incident.

Documenter la violation n’impose pas de tout garder

L’Art. 33(5) du RGPD exige de documenter les faits, les effets et les mesures prises lorsqu’une violation de données a eu lieu. Cette obligation permet le contrôle de l’autorité ; elle ne prescrit pas de conserver indéfiniment une image intégrale de chaque machine examinée. RGPD, Art. 33(5).

Le dossier peut réunir une chronologie, les qualifications retenues, les éléments justifiant l’évaluation des risques, les décisions de notification et les mesures correctrices. Certaines données brutes restent nécessaires pour établir ou vérifier ces conclusions. D’autres n’ont servi qu’à préparer un extrait déjà identifié.

Les Art. 5(1)(c) et (e) imposent de limiter les données et leur conservation à ce qui est nécessaire. La documentation elle-même doit avoir une finalité et un fondement. Une obligation de documenter la violation ne transforme pas automatiquement toute collecte technique en traitement proportionné. RGPD, Art. 5 et 6.

Pour une entreprise privée, un intérêt légitime de sécurité ou de défense de ses droits peut être envisagé pour certaines opérations, avec nécessité et mise en balance documentées. Il faut distinguer ce raisonnement de l’obligation légale de documentation. Si les copies contiennent des catégories particulières ou des données pénales, les conditions supplémentaires des Art. 9 et 10 restent à examiner : le mot « investigation » ne les écarte pas.

Reconstituer la circulation des objets

L’inventaire commence par les actes effectués : acquisition d’une image, export, téléchargement, décompression, tri, capture, transfert au prestataire, insertion dans un rapport. Demandez à chaque intervenant quels objets il a créés et où ils se trouvent. Le dossier partagé principal ne contient pas nécessairement les exemplaires locaux.

Donnez à chaque objet une référence stable et notez sa provenance, son détenteur, son contenu, sa destination et son rôle. La copie de travail d’une image n’est pas l’image de référence, même si elles avaient initialement le même contenu. Un rapport contenant une capture est lui-même un nouvel emplacement de données.

Lorsque des mécanismes techniques d’intégrité sont utilisés, décrivez ce qu’ils démontrent. Une empreinte concordante peut contribuer à vérifier qu’un fichier n’a pas changé entre deux opérations ; elle ne prouve pas, à elle seule, que son contenu est exact ou qu’une personne déterminée a réalisé les actes observés. Évitez de transformer un indicateur technique en conclusion sur les faits.

La CNIL recommande de protéger les journaux et d’éviter d’y dupliquer excessivement les données. La même vigilance permet de préparer un dossier lisible : références utiles plutôt que répétition du contenu complet dans chaque compte rendu.

Dossier I-22 : une décision de conservation renseignée

Exemple entièrement fictif. La société Ronce a examiné un accès non autorisé à son espace de documents. Le service est rétabli le 18 octobre. Une analyse complémentaire reste nécessaire pour déterminer l’étendue de l’accès sur une période dont les traces sont incomplètes. Les décisions de notification suivent leur propre calendrier ; elles n’attendent pas la clôture décrite ici.

La direction, l’équipe technique et le juriste établissent l’inventaire suivant. Il s’agit de décisions proposées pour ces faits, pas d’une durée standard applicable aux enquêtes.

Le tableau ne dit pas que l’image A doit être gardée jusqu’à une éventuelle action en justice indéfinie. Il identifie une question technique encore ouverte, les décideurs et la nécessité d’une revue. Dans I-22, celle-ci est fixée au 8 novembre pour examiner le résultat complémentaire ; cette date est un choix d’organisation, pas une échéance légale.

Si l’analyse se termine avant, la nécessité doit être réexaminée sans attendre mécaniquement le rendez-vous. Si elle reste inachevée, la nouvelle décision doit nommer les opérations restantes et leur responsable. Recopier « enquête en cours » ne suffit pas à expliquer plusieurs années de conservation.

Préserver une preuve sans conserver tous ses doublons

Avant de supprimer B ou D, vérifiez que l’objet de référence et le contexte nécessaire demeurent accessibles aux personnes habilitées. Un extrait isolé peut perdre la date, le fuseau horaire, la définition d’un champ ou la relation avec une pièce. Ce contexte peut être indispensable pour interpréter correctement ce qui reste.

La réduction ne doit pas altérer silencieusement la version de référence. Dans I-22-E, une copie destinée à une réunion peut masquer des noms inutiles ; elle doit être identifiée comme une version réduite. Elle ne remplace pas automatiquement le rapport conservé pour expliquer l’enquête.

Si un contentieux concret justifie un maintien spécifique, définissez les pièces, le besoin et les accès. Le gel contentieux ciblé organise cette décision. L’Art. 17(3)(e) prévoit une exception à l’effacement pour les traitements nécessaires à la constatation, à l’exercice ou à la défense de droits en justice ; cette exception ne fournit pas, à elle seule, la base légale de toutes les conservations. RGPD, Art. 17(3)(e).

Une procédure identifiée peut imposer d’autres obligations. Faites préciser lesquelles avant la suppression concernée. Une simple possibilité abstraite de litige ne dispense pas de distinguer l’image nécessaire de plusieurs copies identiques laissées sur des postes.

Donner au prestataire une instruction vérifiable

Pour un sous-traitant, les opérations suivent les instructions et les obligations du contrat. Au terme de la prestation de traitement, l’Art. 28(3)(g) prévoit la suppression ou le renvoi selon le choix du responsable, ainsi que la destruction des copies, sauf conservation exigée par le droit applicable. L’Art. 28(3)(h) prévoit les informations et possibilités d’audit nécessaires à la démonstration. RGPD, Art. 28(3)(a), (g) et (h).

Pour I-22-F, l’instruction peut être formulée ainsi : « Supprimer la copie de manipulation F et ses extractions de travail, l’analyse confiée sur cet exemplaire étant terminée. Confirmer les espaces traités, les opérations réalisées et les éventuelles copies résiduelles, avec leur justification et leurs restrictions. La copie de référence A n’est pas visée par cette instruction. »

Le retour doit correspondre à ce périmètre. Une attestation portant seulement sur la fermeture du ticket ne répond pas à la question des fichiers. Le guide des preuves d’effacement chez le prestataire permet d’adapter la demande au risque.

Tous les destinataires ne sont pas nécessairement des sous-traitants. Un avocat ou un expert peut conserver certains éléments pour une finalité et sous une responsabilité propres. Examinez sa mission et le régime applicable avant de promettre un effacement sur instruction. La fin d’accès d’un partenaire distingue la fermeture des accès aux outils de l’entreprise du sort des données déjà détenues ailleurs.

Ne pas oublier corbeilles, versions et sauvegardes

Une suppression visible peut laisser une version antérieure, une corbeille ou une copie de sauvegarde. Le responsable technique doit décrire les mécanismes réellement utilisés et leurs échéances. Il ne faut ni déclarer tout effacé dès que le lien disparaît, ni considérer toute sauvegarde comme une exception illimitée.

Dans I-22, si l’espace D est sauvegardé, le dossier indique quelles générations peuvent encore contenir l’export, quelles restrictions empêchent sa réutilisation ordinaire et comment une restauration évitera sa réintroduction. La suppression de l’objet actif et le traitement des exemplaires de sauvegarde sont consignés séparément.

Si l’emplacement d’une copie n’est plus connu, ouvrez une action de recherche attribuée à un responsable. Le statut reste « non localisée » et non « supprimée ». Examinez aussi la qualification d’incident si une perte de maîtrise peut affecter la confidentialité ou la disponibilité des données ; les Art. 33 et 34 s’appliquent selon les faits et les risques, indépendamment de la clôture administrative du dossier initial. RGPD, Art. 33 et 34.

Produire une clôture qui reste contrôlable

La clôture d’I-22 sépare les objets supprimés, les conservations justifiées et les opérations restant à confirmer. Le responsable du dossier peut écrire : « B et D supprimés des espaces actifs identifiés ; A, C et E conservés dans le périmètre documenté ; retour sur F attendu ; générations de sauvegarde de D suivies séparément. Prochaine décision sur A après l’analyse complémentaire prévue. »

Cette formulation ne proclame pas un effacement total. Elle permet au successeur de comprendre les réserves et d’agir. Une date, un détenteur et une preuve attendue doivent accompagner chaque action ouverte, sans recopier les données brutes dans le tableau de suivi.

La preuve de suppression doit rester proportionnée : emplacement, objet, méthode, date et résultat utile. Reconstituer une copie complète « pour prouver qu’elle a été supprimée » annulerait précisément l’objectif. Les règles d’accès et de conservation s’appliquent aussi aux justificatifs de clôture.

Ce qu’il faut retenir

• Distinguez dossier de violation, preuves brutes et copies de manipulation.
• Justifiez chaque conservation restante et son prochain réexamen.
• Préservez le contexte des preuves sans conserver tous les doublons.
• Une copie inconnue ou une sauvegarde résiduelle reste à traiter explicitement.

FAQ

Le rapport final remplace-t-il toujours les fichiers bruts ?

Non. Il peut suffire à certains usages sans permettre une vérification technique ou probatoire encore nécessaire. La décision doit expliquer les besoins restants et les objets qui y répondent.

Peut-on garder toutes les copies parce qu’un assureur intervient ?

L’intervention de l’assureur ne justifie pas automatiquement l’ensemble des duplications. Identifiez les pièces réellement nécessaires, les demandes précises et les responsabilités de chacun.

Faut-il attendre une réponse de la CNIL avant toute suppression ?

Ces seules règles ne créent pas une attente générale. Il faut préserver la documentation et les éléments nécessaires, respecter les demandes ou obligations applicables, puis décider du sort des autres copies de façon traçable.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.