PREVIEW RGPD deploy

← Retour au glossaire

Toute organisation qui gère des documents — contrats, dossiers RH, pièces d’identité, dossiers médicaux — traite inévitablement des données personnelles. La conformité RGPD n’est donc pas une démarche abstraite : elle s’ancre dans les systèmes de gestion documentaire, les politiques de conservation et les droits d’accès. Cette page définit les principes fondamentaux du RGPD, explique comment une GED les opérationnalise, et détaille les cas d’usage par secteur.

Définition et principe de la conformité RGPD

Le Règlement (UE) 2016/679, dit RGPD, est entré en application le 25 mai 2018. D’application directe dans tous les États membres, il fixe le cadre juridique de la protection des données personnelles en Europe. Sa portée est extraterritoriale : toute organisation traitant des données de personnes résidant dans l’UE est concernée, qu’elle soit établie en Europe ou non.

Le règlement s’applique à tout traitement de données personnelles, qu’il soit automatisé ou non. Dans une organisation, cela couvre la quasi-totalité des flux documentaires quotidiens. Pour en savoir plus sur les enjeux de la gestion documentaire au sens large, les organisations peuvent s’appuyer sur des ressources spécialisées couvrant aussi bien les aspects réglementaires que les choix technologiques.

Ce que signifie « être conforme » au RGPD

Être conforme au RGPD, c’est respecter en permanence six principes fondamentaux énoncés à l’article 5 du règlement :

• Licéité, loyauté, transparence : le traitement repose sur une base légale valide et les personnes sont informées.
• Limitation des finalités : les données ne sont collectées que pour des objectifs déterminés et légitimes.
• Minimisation : seules les données strictement nécessaires à la finalité sont traitées.
• Exactitude : les données sont tenues à jour et les inexactitudes corrigées sans délai.
• Limitation de la conservation : les données ne sont pas conservées au-delà de la durée nécessaire.
• Intégrité et confidentialité : des mesures de sécurité appropriées protègent les données contre toute atteinte.

Dans le contexte documentaire, chacun de ces principes se traduit en exigence concrète : base légale associée à chaque type de document, durées de conservation paramétrées dans la GED, contrôles d’accès par rôle, chiffrement des fichiers sensibles. La conformité n’est pas un état figé : c’est un processus continu d’ajustement des pratiques aux évolutions réglementaires et organisationnelles.

Le RGPD s’applique aux responsables de traitement (l’organisation qui détermine les finalités et moyens du traitement) et aux sous-traitants (prestataires agissant pour leur compte, comme un éditeur GED). Les deux parties engagent leur responsabilité, ce qui impose la formalisation de contrats de traitement des données (DPA) conformément à l’article 28.

Le principe d’accountability et la documentation de la conformité

L’article 5.2 du RGPD introduit le principe d’accountability : le responsable de traitement n’est pas seulement tenu de respecter le règlement, il doit être en mesure d’en apporter la preuve à tout moment. Comme le formule SWIM Legal, cabinet spécialisé en droit du numérique : « Le RGPD fixe les principes généraux : licéité du traitement, minimisation des données, limitation de la conservation, accountability (obligation de démontrer sa conformité). »

En pratique, cette démonstration repose sur un corpus de preuves documentées :

• Le registre des activités de traitement (art. 30 RGPD)
• Les politiques de conservation écrites par type de document
• Les analyses d’impact relatives à la protection des données (AIPD, art. 35)
• Les journaux d’audit traçant les accès, modifications et suppressions
• Les contrats DPA signés avec chaque sous-traitant (art. 28)
• Les procédures de gestion des violations de données (art. 33)

La gestion documentaire est le terrain opérationnel central de l’accountability. Chaque document est une donnée, et chaque flux documentaire constitue un traitement au sens du RGPD. Sans une GED structurée, il est impossible de produire ces preuves de manière fiable et rapide lors d’un contrôle de la CNIL. Des solutions comme Business Document Unity (BDU) intègrent nativement ces mécanismes de traçabilité et de gestion du cycle de vie documentaire pour répondre à ces exigences d’accountability.

Données personnelles et documents : où se situe la frontière ?

La quasi-totalité des documents d’entreprise contient des données personnelles. Un contrat client mentionne un nom, une adresse, un IBAN. Un bulletin de paie révèle une rémunération et des cotisations. Une pièce d’identité expose des données d’état civil. Ces documents sont donc des traitements de données au sens du RGPD dès leur création.

L’article 9 du RGPD définit des catégories de données dites sensibles, soumises à des obligations renforcées. Les documents qui en contiennent exigent une base légale spécifique, une AIPD dans la plupart des cas, et des mesures de sécurité renforcées.

Principales catégories de documents par nature :

• Documents courants : contrats commerciaux, factures, devis, correspondances clients, emails nominatifs, CV
• Documents sensibles (art. 9) : dossiers médicaux, arrêts maladie, dossiers de santé au travail, documents révélant une origine ethnique ou des opinions politiques
• Documents RH : bulletins de paie, contrats de travail, évaluations, dossiers disciplinaires
• Documents de conformité réglementaire : pièces d’identité KYC, justificatifs de domicile, dossiers de crédit
• Documents secteur public : dossiers d’usagers, actes administratifs, pièces de marchés publics
• Documents immobiliers : baux, états des lieux, diagnostics techniques, actes notariés

Cette distinction entre documents courants et documents sensibles conditionne directement le niveau de protection requis, les bases légales applicables et les durées de conservation autorisées. Un dossier médical salarié (art. 9 RGPD) ne se gère pas avec les mêmes règles qu’une facture comptable.

À quoi sert la conformité RGPD dans une solution de GED — fonctionnement

Une solution de GED conforme RGPD ne se contente pas de stocker des documents. Elle opérationnalise chaque exigence réglementaire à travers trois mécanismes complémentaires : la cartographie documentaire associée au registre des traitements, le moteur de règles de conservation automatisées, et la gestion des droits des personnes concernées. Pour aller plus loin sur les fonctionnalités d’une solution de GED/ECM, les organisations peuvent consulter les ressources dédiées de BDOC.

Le registre des traitements et la cartographie documentaire

L’article 30 du RGPD impose à chaque responsable de traitement de tenir un registre des activités de traitement. Ce registre documente, pour chaque traitement : les finalités, les catégories de personnes et de données concernées, les destinataires, les transferts internationaux, les durées de conservation et les mesures de sécurité associées.

Comme le souligne SWIM Legal : « Le registre des traitements constitue la colonne vertébrale de la conformité. » Dans une GED, chaque entrée du registre correspond à une famille de documents : contrats clients, dossiers RH, pièces KYC, dossiers de sinistre, factures. La cartographie documentaire est le pont entre ce registre abstrait et la réalité des fichiers stockés.

Un logiciel GED conforme RGPD permet de structurer cette cartographie à travers :

• Des plans de classement calqués sur les familles documentaires du registre
• Des métadonnées RGPD attachées à chaque document (base légale, durée de conservation, niveau de sensibilité, responsable)
• Des workflows de validation pour les documents sensibles
• Une cohérence assurée entre les paramètres GED et les entrées du registre lors des audits internes ou contrôles CNIL

Sans cette cartographie structurée, le registre RGPD reste un document administratif déconnecté de la réalité opérationnelle. La GED le rend vivant, vérifiable et auditable.

Le moteur de règles de conservation : base active, base intermédiaire, archivage définitif

Le principe de limitation de la conservation impose de définir, pour chaque type de document, une durée maximale de rétention justifiée par une obligation légale ou une finalité légitime. La gestion documentaire française distingue trois phases :

• Base active : le document est en cours d’utilisation (ex. : contrat en cours d’exécution). Accès courant, modification possible.
• Base intermédiaire : le document n’est plus utilisé quotidiennement mais doit être conservé pour des obligations légales ou des litiges potentiels. Accès restreint, traçabilité renforcée.
• Archivage définitif : réservé aux documents présentant une valeur historique ou patrimoniale, notamment dans le secteur public.

Les durées légales françaises sont précises. Selon le Code de commerce (art. L123-22), les factures et pièces comptables sont conservées 10 ans. Le Code de la consommation (art. L213-1) impose 10 ans pour les contrats électroniques au-delà d’un certain montant. Le Code du travail (art. L3243-4) fixe à 5 ans minimum la conservation des bulletins de paie par l’employeur. Les dossiers médicaux d’entreprise (art. R4624-45-4 Code du travail) sont conservés 50 ans après la dernière visite. Les pièces d’identité KYC sont conservées 5 ans après la fin de la relation, conformément à la réglementation LCB-FT.

Un moteur de règles de conservation GED automatise les actions suivantes :

• Déclenchement automatique d’une alerte à l’approche de l’échéance
• Passage automatisé de la base active vers la base intermédiaire
• Anonymisation ou pseudonymisation des données à l’issue de la durée utile
• Suppression sécurisée et irréversible avec génération d’un certificat de destruction
• Transfert vers un système d’archivage définitif pour les documents à valeur historique
• Traçabilité de chaque opération dans le journal d’audit pour l’accountability

Ce moteur transforme une obligation réglementaire en processus automatisé, réduisant le risque d’erreur humaine et garantissant l’opposabilité des preuves.

Droits des personnes et capacité de réponse opérationnelle via la GED

Le RGPD reconnaît six droits individuels aux personnes concernées. Chacun se traduit en exigence fonctionnelle directe pour une GED :

• Droit d’accès (art. 15) : retrouver l’ensemble des documents contenant les données d’une personne via une recherche par identifiant ou métadonnée.
• Droit de rectification (art. 16) : modifier ou corriger les données inexactes dans les documents concernés, avec traçabilité de la modification.
• Droit à l’effacement (art. 17) : supprimer définitivement ou anonymiser les documents d’une personne, sous réserve des obligations légales de conservation.
• Droit à la limitation (art. 18) : bloquer temporairement le traitement d’un document sans le supprimer, en attendant une vérification ou une contestation.
• Droit à la portabilité (art. 20) : exporter les données d’une personne dans un format structuré et lisible par machine.
• Droit d’opposition (art. 21) : cesser tout traitement des documents concernant une personne pour des motifs légitimes.

Le délai réglementaire de réponse est d’1 mois, prorogeable à 3 mois en cas de demandes complexes ou nombreuses. Chaque demande doit être documentée : date de réception, nature de la demande, actions réalisées, date de réponse. Cette traçabilité constitue une preuve d’accountability en cas de contrôle.

Une GED sans capacité de recherche transverse — couvrant les mails archivés, les documents numérisés, les bases actives et intermédiaires — ne peut pas garantir une réponse exhaustive à une demande d’accès ou d’effacement. C’est pourquoi la conformité RGPD impose une gouvernance documentaire unifiée, pas un empilement de silos.

Le tableau ci-dessous récapitule les bases légales et durées de conservation applicables aux principaux types de documents rencontrés dans les secteurs banque, assurance, mutuelle, secteur public et immobilier.

Conformité RGPD vs concepts proches — tableau comparatif

RGPD, confidentialité, sécurité des données et archivage légal : quelles différences ?

Dans les projets GED, quatre notions sont fréquemment confondues : conformité RGPD, sécurité des données, confidentialité et archivage légal. Cette confusion génère des angles morts dans la gouvernance documentaire. La conformité RGPD est un cadre réglementaire global qui intègre les trois autres notions, sans se réduire à aucune d’elles. Le tableau suivant précise leurs périmètres respectifs.

Ces quatre notions sont complémentaires et non substituables. La conformité RGPD fixe le cadre global ; la sécurité des données et la confidentialité en sont des composantes techniques ; l’archivage légal en constitue la dimension temporelle. Une solution de GED conforme doit articuler ces quatre dimensions dans un dispositif cohérent de gouvernance documentaire.

Bases légales du traitement RGPD selon le type de document

Le choix de la base légale est une décision structurante : elle conditionne les droits exercés par les personnes, les durées de conservation applicables et les mentions d’information à fournir. Dans une GED, cette base légale doit être documentée au niveau de chaque famille de documents et tracée dans les métadonnées d’indexation.

Les six bases légales et leur application documentaire

Le RGPD définit six bases légales à l’article 6. Chacune a des implications directes sur la gestion du cycle de vie documentaire.

• Consentement (art. 6.1.a) : la personne a donné son accord pour un usage précis. Exemple : formulaire d’inscription à une newsletter. Le consentement peut être retiré à tout moment, ce qui impose à la GED de pouvoir déclencher la suppression des documents associés.
• Exécution du contrat (art. 6.1.b) : le traitement est nécessaire à l’exécution ou à la préparation d’un contrat. Exemple : contrat de prêt immobilier, dossier de crédit. Le droit à l’effacement ne s’applique pas tant que le contrat est en cours.
• Obligation légale (art. 6.1.c) : le traitement est imposé par une disposition légale. Exemple : conservation d’une copie CNI dans le cadre du KYC bancaire (LCB-FT), bulletins de paie. Le droit à l’effacement ne s’applique pas.
• Intérêts vitaux (art. 6.1.d) : protection de la vie d’une personne. Cas rare en gestion documentaire courante, pertinent pour les dossiers médicaux d’urgence.
• Mission d’intérêt public (art. 6.1.e) : traitement nécessaire à l’exécution d’une mission de service public. Exemple : dossiers d’usagers dans une administration, documents d’urbanisme.
• Intérêt légitime (art. 6.1.f) : intérêt du responsable de traitement, à condition qu’il ne prévale pas sur les droits des personnes. Exemple : gestion des logs de connexion à la GED pour la sécurité. Interdit pour les organismes publics dans l’exercice de leurs missions.

Le choix de la base légale détermine directement les droits opposables. Lorsque la base est le consentement, la personne peut le retirer et exiger l’effacement. Lorsqu’il s’agit d’une obligation légale, l’effacement est exclu pendant toute la durée de conservation imposée. La GED doit donc porter cette information au niveau du plan de classement, et non la laisser à l’appréciation de l’utilisateur lors de chaque opération.

Business Document Unity (BDU) permet d’associer une base légale à chaque type documentaire dès le paramétrage du plan de classement, et de la propager automatiquement dans les métadonnées de chaque document indexé.

Tableau : base légale recommandée par famille de documents

Le tableau ci-dessous présente les principales familles de documents rencontrées dans les secteurs banque, assurance, mutuelle, secteur public et immobilier, avec la base légale recommandée, les durées indicatives et l’applicabilité du droit à l’effacement. Ce tableau est fourni à titre indicatif : chaque organisation doit documenter ses propres choix dans son registre des traitements conformément à l’article 30 du RGPD.

Ce tableau illustre la diversité des situations : une même organisation peut gérer simultanément des documents relevant de bases légales différentes, avec des régimes d’effacement opposés. La gestion documentaire conforme RGPD passe par la modélisation de ces règles dans le paramétrage de la GED, et non par des décisions au cas par cas.

AIPD et analyse de risque en gestion documentaire

L’Analyse d’Impact relative à la Protection des Données (AIPD, ou DPIA en anglais) est l’outil central d’évaluation des risques pour les traitements documentaires à risque élevé. Son objectif n’est pas juridique au sens strict : c’est un instrument de pilotage pratique pour le responsable qui déploie ou audite une solution GED.

Quand une AIPD est-elle obligatoire pour un projet GED ?

L’article 35 du RGPD impose une AIPD lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. La CNIL recommande de la réaliser dès que deux critères de risque sont réunis parmi les suivants.

• Traitement à grande échelle de données sensibles (santé, données judiciaires) : déploiement d’une GED médicale dans un hôpital ou une mutuelle, gestion centralisée des dossiers sinistres corporels.
• Traitement de données biométriques ou génétiques, même en contexte documentaire (scan de documents d’identité avec reconnaissance faciale automatique).
• Surveillance systématique : GED RH centralisant les dossiers médicaux, disciplinaires et de suivi de performance d’un grand nombre de salariés.
• Croisement de fichiers : recoupement automatique de documents provenant de sources distinctes (dossiers clients, historiques de transactions, dossiers de sinistres).
• Systèmes d’IA appliqués aux documents : OCR avec classification automatique, scoring de crédit basé sur l’analyse documentaire, extraction automatique de données sensibles.
• Traitement concernant des personnes vulnérables : dossiers sociaux, dossiers de mineurs, dossiers patients.
• Numérisation massive de dossiers RH : automatisation du KYC par intelligence artificielle, numérisation de plusieurs milliers de dossiers patients.

L’AIPD doit être conduite avant la mise en production de la GED et révisée à chaque changement significatif : ajout d’un module d’IA, migration vers un nouvel hébergeur, extension du périmètre documentaire.

Les quatre étapes de l’AIPD appliquées aux documents

La méthodologie CNIL pour la réalisation d’une AIPD se décline en quatre étapes, directement transposables à un projet GED.

Étape 1 — Description du traitement documentaire. Identifier les types de documents traités, leurs finalités, les flux (collecte, indexation, stockage, consultation, archivage, destruction), les acteurs internes et externes, et les sous-traitants (hébergeur, éditeur GED, prestataires d’archivage).

Étape 2 — Évaluation de la nécessité et de la proportionnalité. Vérifier que chaque famille de documents est réellement nécessaire à la finalité déclarée (minimisation des données), que les durées de conservation sont justifiées, et que les accès sont limités aux seuls destinataires légitimes.

Étape 3 — Évaluation des risques. Identifier les menaces pesant sur les documents : fuite (intrusion, mauvaise configuration des droits), accès non autorisé (habilitations excessives), perte ou altération (défaillance technique, ransomware), divulgation involontaire (envoi erroné, mauvaise indexation). Évaluer la vraisemblance et la gravité de chaque risque.

Étape 4 — Mesures d’atténuation. Définir les mesures techniques et organisationnelles pour réduire les risques identifiés :

• Chiffrement des documents au repos et en transit.
• Pseudonymisation des index de recherche pour les archives intermédiaires.
• Contrôle d’accès par rôle (RBAC), avec revue périodique des habilitations.
• Journaux d’audit infalsifiables traçant toutes les consultations et modifications.
• Formation des utilisateurs aux procédures de signalement d’incident.
• Tests de restauration et de résilience documentés.

L’AIPD doit être documentée, conservée et révisée lors de tout changement majeur (nouveau module IA, nouveau sous-traitant cloud, extension du périmètre à de nouvelles catégories de données).

Pseudonymisation, anonymisation et chiffrement dans une GED

Ces trois techniques sont souvent confondues, alors qu’elles relèvent de logiques différentes et ont des effets distincts sur la qualification des données au regard du RGPD.

L’anonymisation est irréversible : les données ne permettent plus d’identifier une personne, même indirectement. Un document anonymisé sort du champ d’application du RGPD. En GED, l’anonymisation s’applique aux exports statistiques, aux environnements de test ou aux copies de documents utilisées pour entraîner des modèles d’IA, à condition que le processus d’anonymisation soit robuste et documenté.

La pseudonymisation est réversible : les données permettant l’identification directe sont remplacées par un identifiant technique, mais la correspondance existe quelque part. Les données restent personnelles et soumises au RGPD. En GED, la pseudonymisation s’applique aux index des archives intermédiaires : les métadonnées nominatives sont remplacées par un identifiant interne, réduisant le risque en cas d’accès non autorisé à l’index, tout en permettant la récupération si nécessaire.

Le chiffrement protège l’accès au document, mais ne modifie pas la qualification des données : un document chiffré reste un document contenant des données personnelles. Le chiffrement au repos protège les fichiers stockés contre les accès physiques non autorisés ; le chiffrement en transit protège les échanges réseau. Ces deux niveaux sont exigés par l’article 32 du RGPD pour les documents sensibles.

Bonnes pratiques associées dans une GED :

• Chiffrer systématiquement les documents de catégorie « données sensibles » (art. 9 RGPD).
• Pseudonymiser les index des bases intermédiaires contenant des données nominatives.
• Utiliser l’anonymisation uniquement après validation que le processus est irréversible.
• Ne jamais utiliser des données réelles non anonymisées dans les environnements de test.
• Documenter les algorithmes et procédures de chiffrement utilisés dans l’AIPD et le registre des traitements.

Conformité RGPD et sous-traitance : DPA, cloud et souveraineté des documents

Le recours à un éditeur GED, un hébergeur cloud ou un prestataire d’archivage constitue une relation de sous-traitance au sens du RGPD. L’organisation cliente reste responsable de traitement : elle ne peut pas déléguer sa responsabilité, mais elle peut — et doit — choisir des sous-traitants offrant des garanties suffisantes.

L’article 28 RGPD et le contrat de traitement (DPA) pour les éditeurs GED

L’article 28 du RGPD impose de ne recourir qu’à des sous-traitants présentant des garanties suffisantes et de formaliser cette relation dans un contrat de traitement des données (DPA — Data Processing Agreement). Ce contrat est une preuve d’accountability pour le responsable de traitement lors d’un contrôle de la CNIL.

Un DPA conclu avec un éditeur GED ou un hébergeur doit couvrir les éléments suivants :

• Objet, durée, nature et finalité du traitement documentaire.
• Types de données traitées et catégories de personnes concernées.
• Obligations de confidentialité et de sécurité du sous-traitant (mesures techniques, gestion des accès, tests de résilience).
• Procédures de notification en cas de violation de données (délai de 72 heures imposé par l’article 33 du RGPD).
• Conditions de recours à des sous-traitants ultérieurs (sous-traitance en chaîne) : liste et accord préalable du responsable de traitement.
• Sort des données en fin de contrat : restitution dans un format exploitable, destruction sécurisée et certificat associé.

Sans DPA signé, l’organisation cliente engage directement sa responsabilité. La CNIL peut sanctionner l’absence de ce document lors d’un contrôle, indépendamment de toute violation de données avérée.

Cloud de confiance, hébergement souverain et transferts hors UE

Le choix de l’hébergeur est une décision de conformité RGPD à part entière. Les données documentaires hébergées hors de l’Union Européenne sont soumises à des exigences de transfert strictes depuis l’invalidation du Privacy Shield en 2020.

Selon le guide France Num sur l’évaluation de la conformité RGPD, 39 % des entreprises privilégient des solutions majoritairement hébergées sur des serveurs distants. Cette prévalence des modèles cloud impose de vérifier systématiquement la localisation des données documentaires.

Points de vigilance pour un transfert hors UE :

• Clauses contractuelles types (CCT) adoptées par la Commission européenne : mécanisme de référence en l’absence de décision d’adéquation.
• Binding Corporate Rules (BCR) pour les groupes internationaux.
• Décisions d’adéquation : vérifier leur validité (le Privacy Shield UE-États-Unis a été invalidé en 2020 ; son successeur, le Data Privacy Framework, doit être suivi de près).

Pour les secteurs régulés, des niveaux de certification supplémentaires s’imposent :

• SecNumCloud (ANSSI) : qualification recommandée par la CNIL pour les données sensibles ; garantit la souveraineté opérationnelle et juridique de l’hébergeur.
• HDS (Hébergeur de Données de Santé) : certification obligatoire pour tout hébergement de données de santé à caractère personnel, notamment pour les mutuelles, assurances et établissements de santé.

Questions à poser impérativement à un éditeur GED lors d’un appel d’offres :

• Où sont hébergées les données documentaires (pays, datacenters) ?
• Quels sous-traitants ultérieurs interviennent dans la chaîne d’hébergement ?
• Quelles certifications de sécurité l’hébergeur détient-il (ISO 27001, SecNumCloud, HDS) ?
• Que se passe-t-il en fin de contrat : restitution des données, format, délai de destruction ?
• Comment les violations de données sont-elles détectées et notifiées ?

Pour approfondir les notions connexes (archivage électronique, signature électronique, registre des traitements), consultez le glossaire GED BDOC.

Conformité RGPD par secteur : banque, assurance, mutuelle, secteur public, immobilier

Chaque secteur présente des configurations documentaires spécifiques : types de documents, bases légales dominantes, durées de conservation imposées par des textes sectoriels, et exigences GED particulières. Les généralités ne suffisent pas ; seule une approche par famille documentaire permet d’opérationnaliser la conformité RGPD.

Banque : KYC, lutte anti-blanchiment et conservation des pièces d’identité

Le secteur bancaire traite des volumes importants de documents d’identité dans le cadre du KYC (Know Your Customer) et des obligations de lutte contre le blanchiment et le financement du terrorisme (LCB-FT). Ces documents relèvent de l’obligation légale (art. 6.1.c du RGPD), ce qui a une conséquence directe : le droit à l’effacement ne s’applique pas pendant la durée de conservation imposée.

La durée de conservation des pièces d’identité collectées dans le cadre du KYC est de 5 ans après la fin de la relation commerciale, conformément aux obligations LCB-FT. Cette durée est incompressible : même si le client demande la suppression de son dossier, la banque est tenue de conserver les documents d’identification pendant ce délai.

La GED joue un rôle clé dans ce contexte pour :

• Tracer tous les accès aux documents KYC (qui a consulté, quand, depuis quel poste).
• Cloisonner les dossiers KYC des autres documents clients pour limiter les accès aux seuls agents habilités.
• Automatiser le passage en base intermédiaire et la destruction à l’échéance des 5 ans post-relation.
• Produire des journaux d’audit exploitables en cas de demande de la CNIL ou de Tracfin.

La tension entre obligation de conservation LCB-FT et principe de minimisation du RGPD est gérée par la prééminence de l’obligation légale : tant que la durée réglementaire court, la conservation est justifiée. À son terme, la destruction devient obligatoire et doit être tracée.

Assurance et mutuelle : dossiers sinistres, données de santé et tiers payant

Les assureurs et mutuelles traitent des catégories de données particulièrement sensibles au sens de l’article 9 du RGPD : données de santé dans les dossiers de remboursement et de tiers payant, données judiciaires dans les dossiers sinistres corporels ou de responsabilité civile. Ces données requièrent une base légale renforcée et des mesures de sécurité spécifiques.

Durées de conservation spécifiques à retenir :

• Dossier sinistre corporel : jusqu’à 10 ans après clôture du dossier, pour couvrir les délais de prescription en matière de responsabilité civile.
• Données de santé dans les dossiers de remboursement : durées définies par les accords de branche et les obligations légales, souvent supérieures à 5 ans.
• Documents de souscription avec profil de risque : durée du contrat augmentée de la prescription applicable.

Le contrôle d’accès granulaire est un enjeu critique : seuls les gestionnaires expressément habilités doivent pouvoir accéder aux données médicales contenues dans les dossiers. La GED doit permettre un cloisonnement au niveau du dossier ou du document, et non uniquement au niveau du dossier client global. La traçabilité des consultations de données de santé est une exigence de conformité, pas seulement une bonne pratique.

Secteur public : archivage réglementaire, communicabilité et droit à l’oubli

Le secteur public présente une spécificité fondamentale : le RGPD s’applique, mais les archives publiques bénéficient d’une dérogation partielle au droit à l’effacement. L’article 17.3 du RGPD prévoit que le droit à l’effacement ne s’applique pas lorsque le traitement est nécessaire à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques.

Les organismes publics sont soumis à des obligations spécifiques :

• DPO obligatoire pour tous les organismes publics, quelle que soit leur taille.
• Registre des traitements documentaires, articulé avec le plan de classement GED.
• Respect de la communicabilité des documents administratifs (loi CADA) tout en protégeant les données personnelles des tiers : deux obligations parfois contradictoires, nécessitant un arbitrage au cas par cas.

Le Système d’Archivage Électronique (SAE) joue un rôle complémentaire à la GED pour la conformité RGPD dans le secteur public. La GED gère le cycle de vie actif des documents ; le SAE prend en charge les archives définitives avec des garanties d’intégrité et d’authenticité. Une GED conforme doit s’articuler avec le SAE via des interfaces standardisées (protocole OAIS, norme NF Z 42-013) et permettre le versement automatique des documents arrivés à l’échéance de leur durée de conservation active.

Immobilier : baux, dossiers locataires et données de copropriété

Le secteur immobilier génère des volumes importants de documents personnels : dossiers locataires lors des candidatures, baux et annexes, états des lieux, documents de copropriété. Chaque catégorie obéit à des règles de conservation et de base légale distinctes.

Points de conformité RGPD spécifiques à l’immobilier :

• Dossier locataire accepté : base légale = exécution du contrat (bail). Durée de conservation = durée du bail augmentée de 3 ans pour couvrir les délais de prescription.
• Dossier locataire refusé : les pièces d’identité, bulletins de salaire et avis d’imposition collectés ne peuvent pas être conservés indéfiniment. La destruction doit intervenir rapidement après la décision de refus, sauf accord explicite du candidat. Ce point est l’un des manquements les plus fréquents dans le secteur.
• Bail et état des lieux : durée de conservation = durée du bail + 3 ans (prescription de droit commun).
• Documents de copropriété : les procès-verbaux d’assemblée générale et les relevés de charges contiennent des données nominatives sur les copropriétaires. Durée de conservation liée à la prescription décennale.

Le risque de conservation excessive est particulièrement élevé dans l’immobilier : les dossiers de candidature refusés sont fréquemment archivés « par précaution » sans base légale valide. Un moteur de règles GED configuré pour déclencher la destruction automatique des dossiers refusés à échéance courte est une réponse technique directe à ce risque de non-conformité. La gestion du cycle de vie documentaire via un logiciel GED permet d’automatiser ces purges et d’en conserver la preuve.

Bonnes pratiques RGPD en gestion documentaire : ce qu’il faut mettre en place

La conformité RGPD ne se décrète pas : elle se construit par des actions concrètes et répétées. Trois piliers opérationnels structurent la démarche pour un responsable documentaire ou un DPO : la cartographie, la destruction tracée et la gouvernance des accès.

Construire et maintenir la cartographie documentaire RGPD

La cartographie documentaire RGPD est le lien opérationnel entre le registre des traitements (article 30 du RGPD) et le plan de classement de la GED. Elle permet de rattacher chaque famille de documents à un traitement, une base légale, une durée et des mesures de sécurité. Comme le souligne SWIM Legal, « le registre des traitements constitue la colonne vertébrale de la conformité ».

Étapes de construction d’une cartographie documentaire RGPD opérationnelle :

1. Recenser toutes les familles de documents existantes dans l’organisation (contrats, RH, juridique, commercial, technique, correspondances).
2. Identifier pour chaque famille : les données personnelles contenues, les catégories de personnes concernées, les destinataires internes et externes.
3. Rattacher chaque famille à un traitement dans le registre article 30 : finalité, base légale, durée de conservation.
4. Documenter les mesures de sécurité associées (niveau de chiffrement, habilitations requises, journalisation).
5. Synchroniser la cartographie avec le plan de classement de la GED pour que les règles soient appliquées automatiquement à l’indexation.
6. Planifier une revue annuelle et déclencher une mise à jour lors de tout changement de processus, nouveau type de document ou nouvelle base légale.

La cartographie n’est utile que si elle est maintenue à jour. Une cartographie figée au moment du déploiement initial de la GED devient rapidement une source de non-conformité, notamment lors de l’introduction de nouveaux processus ou de nouvelles catégories de données.

Mettre en place un plan d’épuration et de destruction tracée

La destruction des documents arrivés à échéance est une obligation RGPD, pas une option. Le principe de limitation de la conservation l’impose. L’accountability exige que cette destruction soit prouvable.

Bonnes pratiques de destruction conforme dans une GED :

• Suppression physique des fichiers (écrasement sécurisé), pas uniquement logique (déplacement dans une corbeille).
• Génération automatique d’un certificat de destruction pour les documents sensibles, conservé dans le journal d’audit.
• Anonymisation comme alternative à la suppression pour les documents présentant une valeur statistique ou historique.
• Traçabilité complète des opérations de purge : qui a déclenché, quand, pour quels documents, avec quelle justification.
• Inclusion des sauvegardes dans le périmètre de destruction : un document détruit en base active mais présent dans une sauvegarde non purgée reste une donnée personnelle accessible.

Business Document Unity (BDU) intègre nativement un moteur de règles de cycle de vie documentaire permettant de configurer les alertes d’expiration, les workflows de validation de destruction et la génération automatique de certificats d’élimination, avec journalisation complète de chaque opération.

Former les utilisateurs et gouverner les accès documentaires

Les mesures techniques ne suffisent pas si les utilisateurs ne comprennent pas leur rôle dans la conformité RGPD. La formation et la gouvernance des accès sont des composantes organisationnelles indissociables des mesures techniques.

Bonnes pratiques de gouvernance des accès dans une GED :

• Principe du moindre privilège : chaque utilisateur n’accède qu’aux documents nécessaires à ses missions, définis par profil métier.
• Gestion des rôles et habilitations par profil (RBAC) : les droits sont attachés à la fonction, pas à l’individu, ce qui simplifie la gestion des arrivées et des départs.
• Revue périodique des habilitations : au minimum annuelle, et systématique lors d’un changement de poste ou de départ.
• Journalisation des consultations et exports : chaque accès à un document sensible est tracé avec identifiant, horodatage et nature de l’action.
• Procédure de signalement des violations : tout utilisateur identifiant un accès suspect ou une fuite potentielle doit savoir à qui le signaler et dans quel délai (article 33 RGPD : 72 heures pour notifier la CNIL).

La formation doit couvrir les points suivants : identification des données personnelles et sensibles dans les documents traités quotidiennement, règles de conservation et de destruction applicables par type de document, procédures de réponse aux demandes d’exercice des droits, et conduite à tenir en cas d’incident de sécurité documentaire.

Le DPO joue un rôle central dans l’animation de ces pratiques : il valide les programmes de formation, supervise les revues d’habilitations, analyse les journaux d’accès pour détecter les anomalies et suit les indicateurs de conformité documentaire. La CNIL souligne que les organisations identifient le rôle de DPO comme « levier pour gagner des appels d’offre, évitement des sanctions, évitement des fuites de données et rationalisation de la gestion de la donnée » — autant de bénéfices directement liés à une gouvernance documentaire structurée.

Pour aller plus loin sur les fonctionnalités GED supportant ces bonnes pratiques, consultez la présentation de la solution GED BDOC.

Conclusion

La conformité RGPD en gestion documentaire n’est pas un projet ponctuel : c’est un cadre permanent qui structure le cycle de vie de chaque document contenant des données personnelles, de sa création à sa destruction tracée. Bases légales, durées de conservation, AIPD, DPA avec les sous-traitants, gouvernance des accès : chaque composante doit être opérationnellement traduite dans le paramétrage de la GED et dans les pratiques des utilisateurs. Les 83 sanctions prononcées par la CNIL en 2025 rappellent que les manquements documentaires sont identifiés et sanctionnés dans tous les secteurs. Mettre en place une solution GED conforme RGPD dès la conception — et la maintenir à jour — est la réponse la plus efficace à ce risque. Pour découvrir comment Business Document Unity supporte concrètement ces exigences dans les secteurs banque, assurance, mutuelle, secteur public et immobilier, contactez les équipes BDOC.

Questions fréquentes sur la conformité RGPD

Quels documents sont concernés par le RGPD dans une entreprise ?

Tout document contenant des données à caractère personnel est concerné : contrats clients, bulletins de paie, dossiers RH, pièces d’identité, dossiers médicaux, factures nominatives ou tout fichier permettant d’identifier directement ou indirectement une personne physique. L’article 30 du RGPD impose de recenser ces traitements dans un registre structuré, en précisant pour chaque catégorie de document la finalité, la base légale et la durée de conservation.

Combien de temps peut-on conserver une copie de carte d’identité dans une GED ?

La durée dépend de la finalité du traitement : dans un dispositif de vérification d’identité (KYC, ouverture de compte), la conservation est limitée à la période nécessaire à la finalité documentée, sans excéder les durées légales applicables au secteur concerné. Le principe de limitation de la conservation imposé par le RGPD exige que tout document contenant des données d’identité soit purgé dès que sa conservation n’est plus justifiée par une obligation légale ou une finalité légitime.

Le droit à l’effacement s’applique-t-il toujours aux documents contractuels ?

Non : le droit à l’effacement ne s’applique pas lorsque la conservation est nécessaire au respect d’une obligation légale ou à la constatation, à l’exercice ou à la défense de droits en justice. Par exemple, le Code de commerce impose la conservation des documents comptables et commerciaux pendant 10 ans à compter de la clôture de l’exercice, ce qui prime sur une demande d’effacement durant cette période.

Une GED certifiée NF 461 est-elle automatiquement conforme au RGPD ?

Non : la norme NF 461 atteste de l’aptitude d’un système d’archivage électronique à garantir l’intégrité et la pérennité des documents, mais elle ne couvre pas l’ensemble des exigences du RGPD. La conformité RGPD suppose en outre de gérer les droits des personnes, de définir des durées de conservation fondées sur des bases légales, de réaliser des AIPD si nécessaire et de sécuriser les traitements conformément à l’article 32 ; la certification au sens de l’article 42 du RGPD constitue un mécanisme distinct.

Faut-il réaliser une AIPD avant de déployer une nouvelle solution GED ?

L’article 35 du RGPD impose une analyse d’impact (AIPD) lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Une GED traitant des données sensibles à grande échelle — pièces d’identité, dossiers médicaux, données RH — ou permettant une surveillance systématique relève généralement de ce périmètre ; la CNIL recommande de réaliser l’AIPD dès que deux critères de risque sont réunis, avant la mise en production du système.