Le principe de limitation de la conservation oblige les responsables du traitement des données à ne pas conserver les données à caractère personnel “pendant une durée supérieure à celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées” et à introduire des mesures de pseudonymisation et d’anonymisation qui réduisent/suppriment l’identifiabilité des personnes concernées dès que possible à ces fins. Le problème ici est qu’habituellement les réseaux sociaux peuvent utiliser les données stockées à des fins différentes. En outre, il arrive que les données soient collectées et stockées “juste au cas où” elles pourraient servir à une utilisation future. Les responsables du traitement doivent être conscients du fait que, même si le RGPD autorise le stockage pendant des périodes plus longues, il doit y avoir une bonne et réelle raison d’opter pour une telle période prolongée (voir la sous-section “Principe de limitation du stockage” dans la section “Principes” de la partie II des présentes lignes directrices). En d’autres termes, un responsable du traitement ne doit pas être tenté de conserver les données plus longtemps que ce qui est strictement nécessaire, dans le but de les avoir à disposition au cas où des finalités ou des projets nouveaux se présenteraient à l’avenir, différents de ceux qui sont légalement autorisés.

Afin d’éviter un stockage illicite, un test de nécessité doit être effectué par chacune des parties prenantes à la fourniture d’un service spécifique dans le réseau social, les finalités de leurs traitements respectifs pouvant en effet être différentes. Par exemple, les données personnelles communiquées par les utilisateurs lorsqu’ils s’abonnent à un service spécifique du réseau social doivent être supprimées dès qu’ils mettent fin à l’abonnement. De même, les informations supprimées de leur compte par les utilisateurs ne doivent pas être conservées. Lorsque les utilisateurs n’utilisent pas le réseau social pendant une période définie, le profil de l’utilisateur doit être considéré comme inactif. Après une autre période, les données doivent être supprimées. Les utilisateurs doivent être informés avant que ces mesures ne soient prises, par tous les moyens dont dispose la partie prenante concernée.^[1]

En résumé, si les responsables du traitement n’ont pas besoin des données et qu’aucune raison juridique obligatoire ne les oblige à les conserver, ils doivent les rendre totalement anonymes ou les supprimer. Les chercheurs doivent consulter leur DPD s’ils souhaitent conserver les données pendant une période plus longue et connaître la réglementation nationale applicable.

Ce pourrait également être un excellent moment pour envisager des délais d’effacement des différentes catégories de données, et documenter clairement ces décisions (voir la sous-section “Principe de responsabilité” dans la section “Principes” de la partie II des présentes lignes directrices). À cet égard, il convient de préserver l’équilibre approprié entre la durabilité de la recherche, la reproductibilité, l’ouverture des données, la science ouverte et le principe de minimisation prévu par le RGPD, en considérant également que le traitement d’ensembles de données pseudo/anonymisées pourrait générer des ensembles de données pseudo/identifiables. À cette fin, il convient de suivre les critères énoncés dans la recommandation 156 du RGPD:

1. le traitement des données à caractère personnel à des fins de recherche scientifique doit être soumis à des garanties appropriées pour les droits et libertés de la personne concernée lorsqu’il est assuré, en particulier que des mesures techniques et organisationnelles sont mises en œuvre pour respecter le principe de minimisation des données ;
2. le traitement ultérieur des données à caractère personnel devrait avoir lieu lorsque le responsable du traitement a évalué la possibilité de réaliser ces finalités au moyen d’un traitement des données qui ne permet pas l’identification des personnes concernées ou qui offre des garanties suffisantes de pseudonymisation ;
3. les conditions et garanties en question peuvent inclure des procédures spécifiques permettant aux personnes concernées d’exercer leurs droits, ainsi que des mesures techniques et organisationnelles visant à minimiser le traitement des données à caractère personnel conformément aux principes de proportionnalité et de nécessité.

Liste de contrôle : gouvernance des données Minimisation ☐ Le responsable du traitement ne traite que des données anonymisées ou pseudonymisées dans la mesure du possible. ☐ Le responsable du traitement traite la quantité minimale de données nécessaires pour atteindre les objectifs poursuivis. ☐ Le responsable du traitement ne traite les données des catégories spéciales que si cela est strictement nécessaire. Limitation de l’objet ☐ Les responsables du traitement n’utilisent les données que pour les finalités pour lesquelles elles ont été collectées, sauf si une base légale permet leur traitement licite. Limitation du stockage ☐ Les responsables du traitement ne conservent pas les données à caractère personnel “plus longtemps que nécessaire pour les finalités pour lesquelles les données à caractère personnel sont traitées”. ☐ Lescontrôleurs vérifient l’utilité des données stockées pour l’objectif prévu de la recherche. ☐ Les données sont stockées d’une manière qui entrave autant que possible le traitement des données personnelles. ☐ Lesresponsables du traitement ont documenté toutes les informations concernant ces questions.

 

1. Avis 8/2014 du groupe de travail Art 29 sur la protection des données sur les développements récents de l’Internet des objets (SEP 16, 2014) https://www.dataprotection.ro/servlet/ViewDocument?id=1088. ↑