Erreur de purge : rétablir les dossiers nécessaires

Une purge devait effacer des dossiers arrivés à échéance ; elle a également supprimé des dossiers actifs. Restaurer toute la base à une ancienne date peut réparer cette erreur tout en écrasant des modifications récentes ou en réintroduisant des données légitimement effacées. La reprise doit donc partir du périmètre exact de l’opération.

Il faut répondre à trois questions : quelles données ont disparu à tort, quel état doit être rétabli et quelles conséquences les personnes subissent-elles pendant l’incident ? Le nombre de lignes récupérées ne répond pas, seul, à ces questions.

Arrêter la mauvaise opération sans perdre ses traces

Suspendez la règle concernée et vérifiez ses effets différés : suppressions dans les répliques, retrait des pièces jointes, reconstruction d’index, messages envoyés aux personnes et traitements encore en attente. Arrêter la tâche principale ne garantit pas que toutes les opérations qu’elle a déclenchées sont arrêtées.

Préservez la version de la règle, les critères appliqués, la date d’exécution et les références des objets affectés. Le compte rendu doit permettre de comprendre l’erreur sans recopier inutilement le contenu des dossiers. La CNIL recommande de journaliser les opérations pertinentes, d’en protéger les traces et d’éviter la duplication excessive des données dans les journaux. Source : CNIL, tracer les opérations.

Si le logiciel est fourni par un prestataire, demandez son concours sur un périmètre précis. Qui peut suspendre la tâche ? Qui connaît le sort des pièces et des sauvegardes ? L’assistance prévue par l’Art. 28(3)(f) doit permettre de gérer la sécurité et les obligations liées à la violation. Source : RGPD, Art. 28(3)(f).

Une suppression peut constituer une violation sans fuite

L’Art. 4(12) comprend la destruction et la perte accidentelles de données personnelles. L’Art. 32(1)(c) exige des moyens permettant de rétablir leur disponibilité et leur accès dans des délais appropriés. Une erreur de purge peut donc constituer une violation même si aucun destinataire extérieur n’a reçu les informations. Sources : RGPD, Art. 4(12) et Art. 32(1)(c).

À l’inverse, exécuter correctement une suppression devenue nécessaire n’est pas une anomalie à annuler. Il faut distinguer l’effacement prévu, l’effacement erroné et une éventuelle absence de preuve sur ce qui a été supprimé. Un salarié qui ne retrouve plus un dossier n’établit pas, à lui seul, que sa suppression était fautive.

La restauration doit préserver l’exactitude et les durées applicables. Les principes de l’Art. 5(1)(d) et (e) restent pertinents pendant la reprise : l’incident ne donne pas une nouvelle finalité à toutes les données anciennes. Source : RGPD, Art. 5(1)(d) et (e).

Comparer la sélection attendue et la sélection exécutée

Commencez par une définition métier compréhensible : quels dossiers devaient sortir du système, au titre de quelle règle et à quelle date ? Faites-la confirmer par la personne qui connaît la conservation applicable. Le technicien vérifie ensuite la traduction de cette règle : état du dossier, date de référence, fuseau, exceptions et relations avec les documents.

Une erreur peut venir d’un champ mal choisi : date de création utilisée à la place de la clôture, statut vide interprété comme « terminé », condition inversée. Cette recherche doit expliquer l’écart réel. Corriger un nom de colonne sans déterminer les objets déjà touchés ne suffit pas.

Conservez deux listes de références : la sélection attendue et celle effectivement exécutée. Leur comparaison identifie les suppressions justifiées, les suppressions excessives et les dossiers qui auraient dû être traités mais ne l’ont pas été. Un même total dans les deux listes ne démontre pas qu’elles contiennent les mêmes dossiers.

Exemple calculé : 138 dossiers supprimés, 18 à récupérer

Le dossier S18 est entièrement fictif. Une entreprise de maintenance gère ses demandes clients dans une application. La règle de conservation applicable a été examinée auparavant ; l’exercice porte sur son exécution, sans proposer de durée légale pour ce secteur.

La sélection validée comprenait 120 dossiers clos arrivés à échéance. La tâche en a supprimé 138 : les 120 prévus et 18 dossiers actifs. Chaque dossier actif comportait deux pièces utiles, soit 36 pièces à rechercher. Les identifiants des 138 dossiers sont connus grâce aux traces préservées.

La sauvegarde exploitable date de la veille. Depuis cette copie, six autres dossiers avaient été légitimement effacés, trois des 18 dossiers actifs avaient été corrigés et cinq nouveaux dossiers avaient été créés. Les six effacements concernent un ensemble distinct des 138 ; les cinq nouveaux dossiers sont encore présents en production.

Le périmètre à restaurer n’est donc ni « toute la sauvegarde » ni « les 138 dossiers ». Ce sont les 18 dossiers actifs dans leur état actuel justifié, avec leurs pièces et leurs relations. Les autres ensembles servent à contrôler les effets indésirables.

Préparer la récupération avant de reconnecter les flux

Vérifiez que la sauvegarde existe, couvre les composants nécessaires et peut réellement être restaurée. La présence d’une sauvegarde de la base ne prouve pas celle du stockage des pièces. La CNIL recommande de contrôler régulièrement l’intégrité des sauvegardes et la capacité de restauration. Source : CNIL, sauvegarder.

Lorsque l’architecture le permet, utilisez une zone de reprise isolée, avec les seuls accès nécessaires. Empêchez les notifications et synchronisations d’envoyer un ancien état avant validation. Les copies de travail contiennent toujours des données personnelles ; elles ne deviennent pas des jeux de test librement utilisables.

Si la restauration sélective n’est pas possible, préparez la réconciliation avant la remise en service : décisions d’effacement, corrections, nouvelles écritures et dépendances doivent être identifiées. Le guide sur les restaurations sans annuler les effacements détaille cette coordination. Une limite du fournisseur doit être exposée au responsable de reprise, pas découverte après la réouverture.

Vérifier un état utile, pas seulement un compteur

Dans S18, la récupération retrouve les 18 fiches mais seulement 34 des 36 pièces attendues. Deux dossiers distincts restent incomplets. Annoncer « restauration de 100 % des dossiers » sur la seule présence des fiches masquerait cette différence.

Les trois corrections intervenues depuis la sauvegarde sont réappliquées à partir de leurs traces justifiées. Les cinq créations restent présentes ; les six dossiers antérieurement effacés ne sont pas réactivés. Les 120 suppressions justifiées sont également maintenues. Le contrôle porte sur les relations entre chaque fiche et ses pièces, les dates, les droits d’accès et les sorties utilisées par les équipes.

La responsable métier autorise la reprise des 16 dossiers complets après contrôle. Pour les deux autres, elle empêche l’action qui dépend de la pièce manquante et organise une récupération ciblée auprès de la source légitime. Elle explique l’incidence aux personnes si nécessaire. Cette solution limitée suppose que la séparation des deux dossiers est techniquement effective ; sinon, l’arbitrage de reprise doit être revu.

Le rapport final de cette étape indique donc : 18 fiches récupérées, 34 pièces retrouvées, 16 dossiers utilisables et deux réserves documentaires. Il conserve les références des contrôles sans joindre à nouveau toutes les pièces. Lorsque les deux documents manquants seront récupérés et vérifiés, une nouvelle décision permettra de lever les réserves.

Évaluer les conséquences pendant la reprise

L’équipe métier doit identifier ce que la disparition empêche : délivrance d’une prestation, respect d’un rendez-vous, production d’une preuve ou correction d’une décision. Une interruption courte peut être sérieuse dans un contexte urgent ; un incident plus long n’a pas nécessairement les mêmes effets dans tous les services.

Recherchez aussi les actions déjà prises à partir de la base incomplète. Un dossier absent a-t-il été considéré comme inexistant ? Un rappel ou un refus a-t-il été envoyé ? La restauration ne corrige pas automatiquement ces messages. Le guide sur l’indisponibilité de données relie cette analyse aux conséquences pour les personnes.

Le responsable documente la violation et apprécie les notifications. L’Art. 33(1) prévoit une notification à l’autorité compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après prise de connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque. Le retard doit être motivé ; les informations peuvent être complétées progressivement sans autre retard indu. Source : RGPD, Art. 33(1), 33(4) et 33(5).

En cas de risque élevé, l’Art. 34 prévoit l’information des personnes dans les meilleurs délais, avec ses conditions et exceptions. Aucun résultat de S18 ne suffit à décider automatiquement pour une entreprise réelle : il manque notamment les effets du retard et le contenu des pièces. La disparition des données ne doit toutefois pas être écartée au motif qu’elle n’a pas entraîné de fuite. Source : RGPD, Art. 34(1) à (3).

Remettre la purge en service avec une décision distincte

Restaurer les dossiers ne corrige pas la règle fautive. Faites valider sa nouvelle expression métier et technique, puis comparez sa sélection prévue à des situations représentatives : dossier encore actif, dossier clos à échéance, exception documentée et valeur absente. Ces vérifications constituent une méthode proposée, à adapter au système ; elles ne sont pas présentées comme un essai réellement exécuté ici.

Le responsable désigné autorise séparément la reprise de la purge. Les premières opérations doivent permettre de constater le périmètre traité et d’interrompre une anomalie. Préservez les échéances de conservation : la date de restauration n’est pas un nouveau départ général.

Enfin, identifiez les copies créées pour l’investigation et la récupération. Conservez ce qui demeure nécessaire à une finalité précise, avec des accès limités et une échéance de réexamen. Une réserve sur deux documents ne justifie pas de garder indéfiniment toutes les anciennes bases.

Ce qu’il faut retenir

• Comparez les références attendues et réellement supprimées.
• Restaurez l’état utile sans annuler les effacements ni écraser les évolutions récentes.
• Vérifiez les pièces, relations et accès avant de déclarer les dossiers utilisables.
• La reprise du service, la correction des effets et la relance de la purge sont des décisions distinctes.

FAQ

Une suppression accidentelle impose-t-elle toujours une notification ?

Il faut qualifier la violation et apprécier le risque. L’absence de divulgation ne démontre pas l’absence de risque lié à la perte ou à l’indisponibilité.

Peut-on restaurer toute la sauvegarde pour gagner du temps ?

Cela peut être techniquement nécessaire, mais exige de préserver et réappliquer les évolutions pertinentes. Une remise en production brute peut créer de nouvelles erreurs.

Un dossier visible est-il nécessairement restauré ?

Non. Ses pièces, leurs liens, les corrections récentes et les habilitations peuvent manquer. Définissez ce qui rend le dossier réellement utilisable pour sa finalité.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.