TL;DR
Vingt et un jours indicatifs sur les métadonnées du courrier des salariés ; l'interdiction de poser des questions sur un cancer traité il y a plus de dix ans ; l'obligation de conserver la motivation de la déclaration anti-blanchiment que l'on a décidé de NE PAS envoyer. Trois lignes de registre que presque personne n'écrit.
Un : les métadonnées du courrier, configurées par le fournisseur
Le document d'orientation de l'autorité italienne du 6 juin 2024 indique vingt et un jours comme durée indicative de conservation des métadonnées produites par les logiciels de gestion du courrier — expéditeur, destinataire, date, heure, taille. Pas le contenu : les journaux. C'est la règle que le responsable enfreint le plus souvent sans le savoir, parce que c'est le réglage par défaut de la suite achetée qui l'enfreint : beaucoup conservent les journaux des mois ou des années, personne ne l'a choisi, et c'est justement pour cela que personne ne l'a inscrit au registre. Dépasser les vingt et un jours n'est pas interdit en soi — le document est une orientation, et des besoins techniques documentés peuvent le justifier — mais l'art. 4 du Statut des travailleurs demeure lorsque la conservation permet le contrôle à distance.
Deux : l'oubli oncologique n'est pas une durée de conservation, c'est une interdiction de collecte
La loi 193 du 7 décembre 2023 interdit de demander des informations sur des pathologies oncologiques dont le traitement actif s'est achevé, sans récidive, depuis plus de dix ans ; cinq ans si la maladie est survenue avant vingt et un ans. Elle vise les contrats bancaires, financiers et d'assurance, l'adoption et les concours. Un questionnaire demandant « avez-vous déjà eu un cancer » sans limite temporelle est illicite en amont, et aucune durée de conservation ne le rend licite. Le décret ministériel du 22 mars 2024 identifie ensuite les pathologies pour lesquelles le droit s'ouvre avant dix ans : appliquer la durée générale à toutes reste un manquement, par défaut.
Trois : le dossier de celui qui n'a PAS déclaré
L'art. 35 du décret législatif 231/2007 impose la déclaration de soupçon. Ce que les registres omettent, c'est l'autre moitié : l'analyse qui précède la décision et la motivation du classement interne lorsque la déclaration ne part pas. Ce dossier contient un jugement sur une personne identifiée — un soupçon évalué puis écarté — et il est plus sensible que la déclaration elle-même, car il reste interne et n'est pas couvert par la confidentialité que la loi reconnaît à la déclaration envoyée. Qui y accède, et combien de temps il reste, doit être écrit.
- Leur point commun : aucune des trois ne naît d'une décision de collecter. Les journaux sont déjà là, le questionnaire précède la loi, le dossier est le résidu d'une décision négative.
- Ce qui se passe lors d'un contrôle : ce sont des fichiers réels que le registre ne décrit pas, et leur absence n'est pas un oubli formel — elle signifie que personne n'a fixé de durée, donc que personne n'efface.
- Par où commencer : demander au fournisseur de messagerie combien de temps il conserve les journaux, relire les questionnaires de santé, ouvrir le tiroir des évaluations anti-blanchiment classées.
Le fil commun
Un registre des traitements décrit ce que l'organisation a décidé de faire. Ces trois fichiers existent sans que personne ne les ait décidés : ils ont été créés par un réglage par défaut, un formulaire hérité, une procédure qui produit du papier même lorsqu'elle se termine par un non. C'est là que le registre vieillit, pas dans les activités que quelqu'un a conçues.
Les trois figurent désormais dans la matrice italienne des durées de conservation, avec la norme citée et l'état de vérification déclaré entrée par entrée.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
