Rétention et suppression des données: les règles à connaître en PME suisse

Beaucoup de PME suisses accumulent des données sans jamais se demander combien de temps elles doivent les garder, ni quand les supprimer. C'est une erreur. Trop de données inutiles alourdissent vos systèmes, augmentent vos risques légaux et nuisent à la qualité de vos futurs outils IA. Pas assez de données, et vous perdez la matière première dont vous aurez besoin demain.

Ce sujet touche directement la gouvernance des données, et c'est souvent là que la fondation d'un projet IA se fragilise. Avant de déployer un agent ou un chatbot, il faut savoir ce que vous avez le droit de garder, ce que vous devez supprimer, et comment l'organiser.

Pourquoi la rétention des données est un enjeu stratégique

En Suisse, plusieurs textes encadrent la durée de conservation des données. La LPD révisée (entrée en vigueur en septembre 2023) impose un principe de proportionnalité: vous ne pouvez pas conserver des données personnelles au-delà de ce qui est nécessaire à la finalité pour laquelle elles ont été collectées. Ce principe s'aligne sur le RGPD européen, qui s'applique aussi à toute PME suisse traitant des données de résidents européens.

En parallèle, le Code des obligations impose des durées légales de conservation pour certains documents. Les livres de comptes et pièces justificatives doivent être conservés dix ans. Les contrats de travail, les bulletins de salaire et les documents douaniers ont leurs propres délais.

Résultat: vous devez jongler entre deux impératifs contradictoires. D'un côté, supprimer ce qui n'est plus nécessaire. De l'autre, conserver ce qui est légalement obligatoire. Sans politique de rétention claire, vous êtes exposé des deux côtés.

Les durées de conservation à connaître absolument

Voici les durées minimales ou maximales les plus courantes pour une PME suisse active en Romandie:

• Documents comptables et fiscaux: 10 ans (CO art. 958f)
• Contrats commerciaux: 10 ans après l'extinction des obligations
• Dossiers RH (salaires, contrats): 5 à 10 ans selon le type de document
• Données de prospects non convertis: 3 ans maximum recommandés
• Emails contenant des données personnelles de tiers: à évaluer selon la finalité, souvent 2 à 3 ans
• Logs techniques et journaux d'accès: 6 à 12 mois selon la politique interne

Ces délais ne sont pas optionnels. Un cabinet d'architectes genevois qui conserve les données personnelles de candidats non retenus pendant cinq ans sans base légale s'expose à une plainte. À l'inverse, une fiduciaire qui supprime ses justificatifs comptables après trois ans risque un redressement fiscal.

Si vous centralisez vos emails et PDF dans un système documentaire, comme expliqué dans notre article sur la centralisation des emails et PDF, vous devez y intégrer dès le départ des règles d'archivage automatique et de suppression planifiée.

Structurer une politique de rétention: les étapes concrètes

Une politique de rétention n'est pas un document que l'on rédige une fois pour l'oublier. C'est un processus opérationnel. Voici comment l'aborder de façon pragmatique:

1. Cartographier vos données: listez les catégories de données que vous traitez, leur localisation (CRM, ERP, emails, Drive, NAS), et leur sensibilité.
2. Associer une durée à chaque catégorie: basez-vous sur les obligations légales, puis ajoutez vos besoins opérationnels. Si vous avez besoin des données de vos clients actifs pour alimenter un système IA, c'est une finalité légitime.
3. Définir un responsable: quelqu'un dans l'entreprise doit être désigné pour valider et déclencher les suppressions. Ce n'est pas une tâche automatique à 100%.
4. Automatiser le cycle de vie: les bons systèmes permettent de taguer les documents avec une date d'expiration. Une base de données bien structurée peut déclencher des alertes ou des suppressions automatiques selon des règles prédéfinies.
5. Documenter les suppressions: pour pouvoir prouver votre conformité, conservez un journal des suppressions effectuées. C'est aussi utile en cas d'audit.

Cette démarche rejoint la réflexion sur la taxonomie de vos documents: si vos fichiers ne sont pas classifiés, vous ne pouvez pas appliquer des règles de rétention de façon cohérente.

L'impact sur la qualité de vos données pour l'IA

Voici ce que beaucoup de fondateurs ne réalisent pas: une politique de rétention bien appliquée améliore directement la qualité des données qui alimenteront votre système IA.

Un modèle de langage ou un agent IA entraîné sur des données obsolètes, redondantes ou incorrectes produira des résultats médiocres. Si vos offres commerciales de 2018 coexistent avec celles de 2024 dans le même dossier, sans distinction, votre outil IA ne saura pas lesquelles sont valides. Il risque de répondre à un client avec un tarif périmé ou une clause modifiée depuis.

C'est précisément ce que nous observons lors des audits AI Readiness: les PME qui ont le plus de données ne sont pas forcément les mieux préparées. Celles qui ont une gouvernance claire, avec des données actives, bien classifiées et régulièrement épurées, déploient des systèmes IA plus fiables et plus rapides à construire.

La rétention et la suppression ne sont pas une contrainte administrative. Ce sont des leviers de performance pour votre futur système IA.

Ce que vous pouvez faire dès maintenant

Vous n'avez pas besoin d'un juriste à plein temps ni d'un data officer pour démarrer. Voici trois actions concrètes à mener dans les prochaines semaines:

• Auditez un périmètre limité: commencez par vos emails et votre CRM. Identifiez combien de contacts inactifs depuis plus de trois ans vous y trouvez.
• Rédigez une note interne d'une page: listez les catégories de données, les durées retenues et le responsable désigné. C'est votre première politique de rétention.
• Vérifiez vos outils: votre CRM ou votre système documentaire permet-il de définir des dates d'expiration ou d'archivage automatique? Si non, c'est un signal que votre fondation technique mérite d'être revue.

Si vous utilisez déjà un système de automatisation, certaines de ces tâches peuvent être gérées sans intervention manuelle. Mais l'automatisation ne remplace pas la décision initiale: c'est à vous de définir les règles, pas à la machine.

Conclusion: la gouvernance des données, c'est la fondation

Une PME suisse qui veut déployer l'IA dans les prochains 12 à 24 mois doit commencer par là: savoir ce qu'elle a, combien de temps elle peut le garder, et comment le structurer. La rétention et la suppression des données ne sont pas un sujet réservé aux grandes entreprises ou aux juristes spécialisés. C'est une décision de gestion, qui engage la direction.

Chez Pixxels, nous évaluons systématiquement la maturité de la gouvernance des données dans notre audit AI Readiness. C'est souvent là que se situe le vrai écart entre une PME prête pour l'IA et une PME qui accumule des données sans pouvoir les exploiter.

Vous voulez savoir où vous en êtes? Contactez-nous pour un audit AI Readiness. En une semaine, vous aurez un diagnostic clair et un plan d'action concret, à partir de CHF 1'500.-.