La réponse courte : détruire un document sans règle expose autant que tout conserver. Une politique de destruction fixe, pour chaque famille documentaire, une durée minimale (légale) et maximale (protection des données), précise qui décide, qui exécute et qui valide, et trace chaque opération dans un registre. Elle se construit en quatre étapes : cartographier, fixer les durées, définir les modalités, tracer et auditer.
Le document oublié qui coûte cher
Dans la plupart des organisations, la destruction de documents est traitée comme une opération de nettoyage, pas comme un acte de gouvernance. On jette ce qui encombre, on garde le reste « au cas où ». Cette logique produit deux risques opposés : conserver des données qui auraient dû être éliminées, en violation de la protection des données personnelles, ou détruire trop tôt des pièces encore nécessaires à un audit ou à un contentieux.
Le problème n’est pas technique : les organisations disposent généralement de capacités de stockage suffisantes. Il est structurel : aucune règle écrite, validée et opposable ne dit qui peut détruire quoi, à quelle échéance et selon quel processus. Chaque collaborateur improvise, et chaque improvisation est un écart de conformité potentiel.
Pourquoi l’absence de règle est un risque
Le risque juridique. Au Maroc, la loi 09-08 impose de ne pas conserver les données personnelles au-delà de la durée nécessaire à la finalité du traitement. Les conserver sans justification constitue un manquement, même si elles ne sont jamais utilisées à mauvais escient. Le risque opérationnel. Une organisation qui ne sait pas ce qu’elle conserve ne sait pas ce qu’elle peut produire en cas de contrôle. Le risque de gouvernance. La maturité documentaire est examinée lors des certifications, des audits de partenaires et des due diligences.
La méthode en quatre étapes
1. Cartographier les typologies documentaires
Documents contractuels, RH, comptables et fiscaux, techniques, correspondances, données clients et fournisseurs : l’inventaire couvre toutes les familles, tous les supports (papier, numérique, hybride) et tous les lieux de stockage (serveurs, cloud, archives externalisées). Sans lui, la politique reste théorique.
2. Fixer les durées par catégorie
Chaque famille reçoit une durée minimale, dictée par la réglementation (par exemple dix ans pour les documents comptables au titre de la loi 9-88), et une durée maximale qui intègre la protection des données. Entre les deux, l’organisation décide selon ses besoins réels, avec ses équipes juridiques et conformité.
3. Définir modalités et responsabilités
Qui décide, qui exécute, qui valide ? Quelles modalités techniques : destruction physique sécurisée pour le papier sensible, effacement certifié pour les supports numériques, purge des bases de données ? Un contrat signé et un fichier de prospection n’appellent pas la même procédure.
4. Tracer et auditer chaque opération
Une destruction non tracée n’existe pas pour un auditeur. Le registre des destructions consigne la date, la nature du document, le responsable, la modalité et la validation. C’est la preuve de bonne foi de l’organisation, et l’outil qui révèle les écarts entre la règle et la pratique. Un audit interne annuel est une bonne pratique.
Illustration : des dossiers RH conservés trop longtemps
Cas fictif, présenté à titre pédagogique.
Un audit interne révèle que les dossiers complets de salariés partis depuis plus de dix ans sont toujours conservés : contrats, bulletins de paie, évaluations, données médicales. Une cartographie aurait classé les dossiers RH comme famille réglementée ; des durées par catégorie auraient distingué les bulletins de paie (durée longue, contraintes fiscales et sociales) des évaluations (durée courte, protection des données) ; une destruction tracée aurait été déclenchée à l’échéance.
Points de vigilance
- Délai légal n’est pas durée utile : la durée légale est un plancher. Tout garder jusqu’à son terme sans s’interroger augmente les volumes et l’exposition.
- Inclure le numérique : boîtes mail, partages réseau, applications métier et sauvegardes représentent l’essentiel des volumes.
- Impliquer les métiers : ils connaissent les usages réels et les délais nécessaires.
- Ne pas automatiser trop tôt : une automatisation déployée avant que la règle soit validée ne fait qu’accélérer les erreurs.
Pour aller plus loin : archivage électronique, records management : travail, record, archive et durées de conservation et événements métier.
Sources : loi n° 09-08 relative à la protection des données personnelles ; loi n° 9-88 relative aux obligations comptables ; loi n° 69-99 relative aux archives ; norme ISO 15489.