DIN 66398

Le RGPD exige que les données personnelles ne soient pas conservées plus longtemps que nécessaire. Il ne dit toutefois pas comment une entreprise doit l’organiser. C’est ici qu’intervient la DIN 66398 : la norme décrit comment élaborer un concept d’effacement et déterminer les délais d’effacement.

Que prévoit la DIN 66398 ?

La DIN 66398 est une ligne directrice, pas une obligation légale. Elle a été publiée en mai 2016. La norme décrit une voie permettant à une entreprise d’élaborer un Concept d’effacement . Un concept d’effacement est un document qui définit, pour tous les types de données personnelles, quand et comment elles sont effacées. La base est constituée par les principes du RGPD, avant tout la Limitation de la conservation selon Art. 5 du RGPD et le droit à l’effacement selon l’art. 17 du RGPD.

Structure et notions clés

Terme	Importance
Type de données	Groupe de données de même nature ayant la même finalité, par exemple dossiers de candidature ou données de base clients
Point de départ	Événement à partir duquel un délai court, par exemple la fin d’un contrat
Délai d’effacement standard	Délai uniforme applicable à de nombreuses catégories de données, afin que chaque catégorie n’ait pas besoin d’un délai individuel
Classe d’effacement	Combinaison d’un point de départ et d’un délai d’effacement standard ; les catégories de données de même classe d’effacement sont traitées de manière identique
Délai d’effacement standard	Délai au terme duquel les données d’une catégorie de données sont normalement effacées
Règle d’effacement	Prescription concrète sur la manière dont les données d’un système sont effacées et par qui

Les délais d’effacement découlent de la finalité du traitement et des délais de conservation légaux , par exemple issus du droit commercial et fiscal. La norme recommande de travailler avec peu de délais standard. Cela rend le concept lisible et applicable.

Pour qui la DIN 66398 est-elle pertinente ?

La norme s’adresse à toutes les organisations qui traitent des données personnelles, et en particulier aux délégués à la protection des données, à la direction informatique et aux services métiers. Elle aide à satisfaire à l’obligation de responsabilité du RGPD : celui qui dispose d’un concept d’effacement documenté peut démontrer que les données ne sont pas conservées arbitrairement.

Comment mettre en œuvre la DIN 66398

1. Recenser les catégories de données, par exemple à partir du registre des activités de traitement.
2. Déterminer pour chaque catégorie de données la finalité, le point de départ et les obligations de conservation.
3. Définir quelques délais d’effacement standard et rattacher les catégories de données à des classes d’effacement.
4. Formuler des règles d’effacement pour chaque système et désigner les responsables.
5. Documenter la mise en œuvre et la vérifier régulièrement.

Un point est souvent oublié : les données ne se trouvent pas seulement dans les applications, mais aussi sur les appareils. Lorsque des ordinateurs portables, serveurs ou systèmes de stockage sont mis au rebut, les supports de données doivent être entièrement effacés ou détruits. Le concept d’effacement devrait régler expressément cette étape. Les obligations du RGPD qui comptent lors de l’audit sont expliquées dans notre guide Éliminer des supports de données conformément au RGPD.

Distinction avec des normes similaires

La DIN 66398 règle quelles données sont effacées et quand. La DIN 66399 règle comment les supports de données sont détruits physiquement. Les deux se complètent, mais sont souvent confondues. Au niveau international, l’ISO/IEC 27555 fournit une ligne directrice sur l’effacement des données personnelles, désormais disponible aussi sous la forme DIN EN ISO/IEC 27555. Les méthodes techniques d’effacement des supports de données sont en revanche décrites par des normes telles que NIST SP 800-88 ou IEEE 2883.

Chez Second IT, les supports de données mis au rebut sont effacés avec Blancco, avec un certificat d’effacement signé numériquement pour chaque appareil. Les supports non effaçables sont détruits en interne selon la DIN 66399. Vous pouvez archiver les certificats comme preuve de la mise en œuvre de votre concept d’effacement. En savoir plus sur le la sécurité des données dans le processus de traitement.

Questions fréquentes sur la DIN 66398

La DIN 66398 est-elle obligatoire ?

Non. La DIN 66398 est une ligne directrice volontaire. Le RGPD impose toutefois de ne pas conserver les données plus longtemps que nécessaire et de pouvoir le démontrer. La norme est une voie reconnue pour mettre en œuvre cette obligation.

Quelle est la différence entre la DIN 66398 et la DIN 66399 ?

La DIN 66398 décrit le concept d’effacement, c’est-à-dire quelles données sont effacées et quand. La DIN 66399 décrit la destruction physique des supports de données avec classes de protection et niveaux de sécurité.

La mise au rebut du matériel doit-elle figurer dans le concept d’effacement ?

Oui. Les données se trouvent aussi sur les disques durs, SSD et smartphones. Le concept d’effacement doit prévoir que les supports de données sont effacés ou détruits avant leur remise et comment la preuve est archivée.

Qu’est-ce qu’une classe d’effacement selon la DIN 66398 ?

Une classe d’effacement est la combinaison d’un point de départ et d’un délai d’effacement standard. Les catégories de données de même classe d’effacement sont traitées de manière identique. Ainsi, chaque catégorie n’a pas besoin de son propre délai, et le concept d’effacement reste lisible.

De quoi découlent les délais d’effacement du concept d’effacement ?

Les délais d’effacement découlent de la finalité du traitement et des délais de conservation légaux, par exemple issus du droit commercial et fiscal. La norme recommande de travailler avec peu de délais standard. Cela rend le concept applicable.