La gestion du cycle de vie des données et la détermination de leurs durées de conservation constituent une étape indispensable dans la mise en conformité des traitements de données personnelles des organismes publics et privés. A cet effet, la CNIL publie deux référentiels spécifiques aux secteurs de la santé et de la recherche en santé.

Ils ont pour objectif d’accompagner, de manière opérationnelle, les acteurs dans l’identification et la détermination de la durée pertinente pour les traitements.

Le premier référentiel vise les traitements de données dans le domaine de la santé – hors recherche (ex : tenue du dossier patient, ordonnancier, vigilances sanitaires, etc.)

Le second référentiel vise les traitements de données mis en œuvre à des fins de recherche, d’étude, et d’évaluation dans le domaine de la santé (ex : les recherches interventionnelles, les recherches sur des données déjà collectées, etc.).

Ils sont une aide à la prise de décision en orientant le responsable de traitement vers :

• les durées obligatoires du fait de la réglementation en vigueur, et en particulier le Code de la santé publique
• les durées recommandées par la CNIL, qui sont des points de repère pour déterminer la durée pertinente.

Les référentiels ne sont pas exhaustifs : ils listent les durées pertinentes pour les traitements les plus fréquents pour ces deux secteurs d’activité.