Conserver ou supprimer les réponses d’un formulaire

Une entreprise paysagiste de Bulle ouvre le tableau des réponses de son formulaire de demande d’offre. Tout en bas, à la ligne quatre, figure une demande de mars, il y a deux ans : nom, adresse, numéro de téléphone, la surface de la parcelle, une phrase sur un talus à soutenir. La demande a été traitée à l’époque. Le mandat n’est jamais venu.

La ligne est encore là parce que personne n’avait de raison de la supprimer — et parce que personne n’avait de raison de la garder. C’est exactement le point de départ : la question ne se pose pas d’elle-même, et lorsqu’elle finit par se poser, trois forces tirent dans des directions différentes.

Première force : la finalité prend fin

La loi sur la protection des données formule le principe en une seule phrase. Art. 6 al. 4 LPD : les données personnelles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement.

La phrase ne contient aucun délai. Elle contient un déclencheur, et ce déclencheur dépend de la finalité. Laquelle, c’est l’art. 6 al. 3 LPD qui le dit : les données ne peuvent être collectées que pour une finalité déterminée et reconnaissable pour la personne concernée. La finalité est donc fixée avant même que la première réponse n’arrive — c’est ce que le formulaire a annoncé.

On peut dès lors dérouler la question cas par cas :

• La demande à laquelle on a répondu. La finalité était de répondre à une demande. La réponse est écrite, l’offre est partie, l’affaire est réglée. Dès cet instant, la finalité initiale ne porte plus la ligne.
• L’inscription à une manifestation. Le cours a eu lieu, les participants étaient dans la salle. La liste a rempli sa fonction une fois la manifestation passée et décomptée.
• La candidature qui n’a pas abouti. Ici, il existe même un chiffre. Le PFPDT écrit dans sa FAQ que l’employeur peut conserver les données de candidature jusqu’à trois mois après la communication du refus, afin de pouvoir se défendre en cas d’action fondée sur un refus d’embauche discriminatoire, et cite l’art. 8 al. 2 en lien avec l’art. 5 al. 2 de la loi sur l’égalité. Il juge possible une prolongation de quelques semaines si la demande en justice parvient tardivement à l’employeur. Que les candidatures relèvent d’un cadre plus étroit découle de l’art. 328b CO : l’employeur ne peut traiter des données concernant le travailleur que dans la mesure où elles portent sur ses aptitudes à occuper son emploi ou sont nécessaires à l’exécution du contrat de travail.

Ce qui frappe dans ces trois cas, c’est que le déclencheur est chaque fois un événement et non une date : la réponse envoyée, la manifestation tenue, le refus communiqué. C’est là-dessus qu’une règle de suppression pourra s’accrocher.

Deuxième force : les délais qui imposent de garder

Face au principe de la LPD se dresse une série de dispositions qui ordonnent expressément le contraire. La plus connue figure dans le code des obligations.

Art. 958f al. 1 CO : les livres et les pièces comptables ainsi que le rapport de gestion et le rapport de révision sont conservés pendant dix ans ; le délai court à partir de la fin de l’exercice.

Deux détails de cette phrase passent souvent inaperçus. D’abord, le délai ne commence pas le jour de la pièce, mais à la fin de l’exercice — une facture de février est donc couverte pendant près de onze ans. Ensuite, la disposition vise les livres et les pièces comptables, non «tous les documents». Ce qu’est une pièce comptable, l’art. 957a al. 3 CO le définit : tout document écrit, sur support papier, électronique ou équivalent, nécessaire pour comprendre l’opération ou l’état de fait qui sous-tend une écriture comptable.

C’est là que se décide si une réponse de formulaire est concernée. La demande d’offre restée sans suite, qui n’a jamais donné lieu à une écriture, n’est pas une pièce comptable. L’inscription qui a donné lieu à une facture, et sur laquelle cette facture s’appuie, peut en être une. Le même tableau contient donc éventuellement des lignes des deux catégories — et c’est pourquoi «nous conservons les données de formulaire dix ans» est aussi imprécis que «nous les supprimons après la manifestation».

Qui est soumis à l’obligation de tenir une comptabilité, l’art. 957 CO le précise : les entreprises individuelles et les sociétés de personnes qui ont réalisé un chiffre d’affaires d’au moins 500 000 francs lors du dernier exercice, ainsi que les personnes morales. En dessous, et pour les associations et fondations non tenues de s’inscrire au registre du commerce, l’art. 957 al. 2 CO n’exige une comptabilité que des recettes, des dépenses et du patrimoine. Pour une association qui fait vivre un formulaire d’inscription, la distinction compte.

Deux autres délais courent en parallèle :

Disposition	Ce qu’elle ordonne
Art. 70 al. 2 LTVA	Livres, pièces justificatives, papiers d’affaires et autres documents jusqu’à la prescription absolue de la créance fiscale ; l’art. 958f CO est réservé
Art. 42 al. 6 LTVA	Cette prescription absolue intervient dans tous les cas dix ans après la fin de la période fiscale durant laquelle la créance est née
Art. 70 al. 3 LTVA	20 ans pour les documents liés au dégrèvement ultérieur de l’impôt préalable et à la prestation à soi-même sur des biens immobiliers
Art. 126 al. 3 LIFD	Dix ans pour les livres comptables, les relevés et les autres pièces des indépendants et des personnes morales

À côté des obligations de conservation se tient la prescription, qui n’ordonne de rien garder mais peut produire le même effet : l’art. 127 CO fixe dix ans pour toutes les créances pour lesquelles le droit civil fédéral n’en dispose pas autrement ; l’art. 128 CO retient cinq ans notamment pour le travail artisanal, la vente de marchandises au détail et les créances découlant du contrat de travail ; l’art. 128a CO prévoit, pour les dommages-intérêts en cas de lésions corporelles contraires au contrat, trois ans dès la connaissance du dommage et en tout état de cause vingt ans dès le comportement dommageable. Le PFPDT tire la même ligne pour le dossier du personnel : il déduit dix ans de l’art. 330a en lien avec l’art. 127 CO pour les données nécessaires à l’établissement d’un certificat de travail, et cinq ans de l’art. 322 en lien avec l’art. 128 CO pour les heures de travail, les absences pour maladie et les vacances.

Quand les deux forces désignent la même ligne

Le cas est plus fréquent qu’il n’y paraît : quelqu’un demande la suppression de ses données, et ces mêmes données sont soumises à une obligation de conservation.

La LPD règle la prétention à l’art. 32 al. 2 let. c : le demandeur peut notamment exiger que les données personnelles soient effacées ou détruites. Mais la prétention suppose une atteinte illicite à la personnalité, et l’art. 31 al. 1 LPD précise qu’une atteinte à la personnalité est illicite à moins d’être justifiée par le consentement de la personne concernée, par un intérêt prépondérant privé ou public, ou par la loi. Une obligation légale de conservation est une justification par la loi.

Concrètement, les deux dispositions ne se contredisent pas : elles visent des données différentes. Une demande d’offre qui n’a jamais donné lieu à une écriture ne relève d’aucune obligation de conservation. La facture née de la même demande, si. Jusqu’où l’une se laisse séparer de l’autre relève du cas d’espèce — et non d’une lecture du texte légal.

Il vaut la peine de noter que la LPD mentionne elle-même un âge maximal à un seul endroit. L’art. 31 al. 2 let. c LPD autorise le traitement de données pour l’examen de la solvabilité à plusieurs conditions, dont le ch. 3 : les données ne datent pas de plus de dix ans. Ce n’est pas une règle générale pour les données de formulaire — mais cela montre que la loi donne un chiffre lorsqu’elle veut en donner un.

Troisième force : supprimer est rarement un clic

La troisième difficulté n’est pas juridique. Une réponse de formulaire n’existe presque jamais à un seul endroit.

• Le courriel de notification. La plupart des services de formulaires envoient un courriel à chaque nouvelle réponse, et dans bien des configurations le contenu complet s’y trouve. La ligne du tableau se trouve donc aussi dans la boîte de réception — et là, dans l’archive, dans le dossier des éléments envoyés du transfert, et dans la copie hors ligne sur l’ordinateur portable.
• L’export. Quelqu’un a téléchargé un fichier CSV pour la planification annuelle. Il est dans le dossier des téléchargements, peut-être sur un lecteur partagé, peut-être en pièce jointe d’un message transféré.
• La sauvegarde. Une sauvegarde remplit sa fonction en conservant un état antérieur. Une suppression d’aujourd’hui n’agit pas rétroactivement sur la sauvegarde du mois dernier. La réponse habituelle n’est pas de fouiller la sauvegarde, mais de la laisser expirer après une durée fixée.
• Le deuxième système. Le webhook vers la comptabilité, le contact repris dans l’outil d’infolettre, l’entrée dans l’agenda. Chacune de ces connexions a été mise en place une fois par quelqu’un, et chacune produit une copie avec sa propre durée de vie.
• L’impression. La feuille posée sur la table lors de la manifestation.

Aucune de ces copies n’est une erreur ; chacune avait sa raison d’être. Le point est ailleurs : une règle de suppression qui ne connaît que le service de formulaires décrit une partie de la réalité.

À quoi ressemble une règle de suppression écrite

«Nous supprimons dès que nous n’avons plus besoin des données» est une restitution correcte du texte légal, et ce n’est pas une règle. Elle en devient une quand quatre indications s’y ajoutent, car c’est seulement alors qu’on peut constater si elle a été respectée.

L’indication	Ce qui manque lorsqu’elle manque
Quelle catégorie	Demandes d’offre, inscriptions à un cours, candidatures et pièces comptables figurent dans le même tableau et suivent des règles différentes
Combien de temps	Une durée que quelqu’un peut recalculer — pas «jusqu’à ce que ce ne soit plus nécessaire»
Comptée dès quel événement	Réception, réponse, tenue de la manifestation, refus, fin de l’exercice : quatre points de départ différents
Qui ou quoi supprime	Une personne avec un rappel dans son agenda, ou un réglage du système qui le fait sans rappel

Le PFPDT formule expressément le premier point pour le dossier du personnel : la LPD elle-même ne prévoit pas de délai de conservation mais pose les principes généraux ; la durée de conservation doit être fixée séparément pour chaque catégorie de données. Cette répartition par catégorie est la part qu’un logiciel ne peut pas reprendre, parce que seule l’entreprise sait pourquoi elle a collecté tel champ.

La quatrième colonne, en revanche, est presque toujours une question technique. Une règle qui dépend d’une entrée d’agenda survit rarement au départ de la personne qui a cette entrée. Une règle déposée dans le formulaire lui-même continue de tourner.

Là où la réponse reste ouverte

Trois points ne se laissent pas déduire des textes légaux, et il serait malhonnête de les lisser.

Savoir si une réponse de formulaire donnée est une pièce comptable au sens de l’art. 957a al. 3 CO dépend de sa nécessité pour comprendre une écriture. C’est une appréciation de l’opération particulière.

Combien de temps après une demande traitée une entreprise conserve un intérêt propre à la ligne — en raison d’une garantie possible ou d’un litige qui se dessine — relève d’une pesée au sens de l’art. 31 LPD, et non d’un délai.

Enfin, certaines branches connaissent des dispositions supplémentaires. Le PFPDT renvoie lui-même à des obligations sectorielles d’annonce, de communication et de renseignement, par exemple au titre de la loi sur le blanchiment d’argent ou de la loi sur les banques, dont peuvent découler d’autres délais de conservation. Dans le domaine de la santé s’y ajoutent les obligations cantonales de documentation. Qui travaille dans un tel domaine ne trouvera pas la règle déterminante dans la LPD.

Ce qui, dans tout cela, dépend du formulaire

Retour à la ligne quatre. Elle peut être appréciée sans consulter un juriste : pourquoi a-t-on demandé, est-ce réglé, une écriture comptable en dépendait-elle, et où se trouve la ligne en dehors de ce tableau. Quatre questions qui se posent aussi aux particuliers ayant monté un formulaire pour une fête ou une commande groupée et laissé les réponses dans un tableau depuis lors.

Ce qu’un logiciel peut apporter, c’est la quatrième colonne du tableau ci-dessus. Dans l’application de formulaires en ligne que nous développons, une durée de conservation et une règle de suppression automatique se laisseront définir par formulaire, afin que la suppression ne dépende pas d’un souvenir ; les réponses sont chiffrées dans le navigateur et conservées en Suisse. Quelle catégorie un formulaire collecte, et combien de temps elle reste raisonnablement, demeure la décision de l’entreprise — un logiciel n’y change rien.