Quelles données traite-t-on réellement
Un dossier de construction contient des données à caractère personnel plus nombreuses qu'il n'y paraît : identité et coordonnées des maîtres d'ouvrage personnes physiques, contacts nominatifs chez chaque entreprise, signatures, pièces d'identité, parfois données bancaires pour les paiements, et éléments relatifs à la santé lorsqu'un accident de chantier est documenté.
Bases légales applicables
- Exécution du contrat pour la gestion du dossier du client.
- Obligation légale pour la conservation des pièces d'assurance et comptables.
- Intérêt légitime pour la relation avec les contacts professionnels des entreprises intervenantes.
- Consentement, réservé aux usages non nécessaires — communications commerciales notamment.
Durées de conservation cohérentes avec le risque décennal
Une durée trop courte est un risque juridique : le dossier doit rester exploitable pendant la période décennale, augmentée du délai de prescription des actions. Une durée illimitée est une non-conformité. La pratique raisonnable consiste à conserver le dossier actif pendant la durée du chantier, puis en archivage intermédiaire pendant dix ans à compter de la réception, prolongée le cas échéant jusqu'au terme d'un contentieux, avant purge documentée.
Obligations concrètes du cabinet
- Registre des traitements tenu à jour, avec finalités, catégories de données et durées.
- Information des personnes : mention d'information dans les emails de demande de pièces et politique de confidentialité accessible.
- Contrats de sous-traitance au sens de l'article 28 avec chaque prestataire technique, précisant localisation d'hébergement et mesures de sécurité.
- Procédure de réponse aux droits d'accès, de rectification, d'effacement et de portabilité, avec délai d'un mois.
- Journalisation des accès et des modifications sensibles, utile en RGPD comme en preuve de diligence.
- Procédure de notification de violation de données à la CNIL sous soixante-douze heures.
- Minimisation : ne pas collecter de pièce d'identité lorsque le K-bis suffit.
Sécurité attendue
Chiffrement en transit et au repos, authentification forte des utilisateurs, cloisonnement strict des accès par organisation et par dossier, sauvegardes régulières avec restauration testée, hébergement dans l'Union européenne, et traçabilité inaltérable des actions. Ces exigences ne sont pas seulement réglementaires : ce sont les éléments qu'un assureur ou un grand compte auditera avant de confier un portefeuille.