Un justificatif sert à vérifier une information. Mais faut-il pour autant en garder une copie ? Dans une note relayée par Le Bulletin quotidien, le juriste Raphaël Maurel invite les administrations à revoir leurs réflexes. Car les dégâts d’une cyberattaque dépendent aussi de ce qu’on a laissé dans les tiroirs numériques. observatoireethiquepublique.com

Par Rémy Peyrard — Une Autre Vie

Vous demandez une aide, inscrivez un enfant ou ouvrez un dossier. On vous réclame un justificatif. Vous le transmettez, la démarche se termine, vous passez à autre chose. Et le document ? Lui, peut-être pas.

En mars 2024, la CNIL a annoncé qu’une cyberattaque contre France Travail et Cap emploi avait pu exposer les données de 43 millions de personnes, selon une première estimation. Le périmètre incluait des personnes inscrites au cours des vingt années précédentes, ainsi que des titulaires d’un espace candidat. Parmi les informations exposées figuraient les noms, les coordonnées, les dates de naissance et les numéros de sécurité sociale. CNIL

Ce chiffre ne dit pas quelles données auraient dû être supprimées. Il montre en revanche qu’une fuite peut concerner des personnes qui n’ont plus recours à un service depuis longtemps. Pour elles, le dossier appartient au passé. Pour le système informatique, il est encore au présent.

Vérifier une information, est-ce garder le document ?

Dans sa note publiée le 20 octobre 2026 par l’Observatoire de l’éthique publique, le professeur de droit public Raphaël Maurel pointe une habitude : demander un document entier alors qu’on cherche parfois à vérifier un seul renseignement. Il cite notamment des carnets de santé numérisés, des RIB demandés sans versement prévu ou des bulletins scolaires conservés en nombre. Ce sont des exemples de pratiques relevées par l’auteur, pas une mesure de leur fréquence dans l’ensemble des administrations. observatoireethiquepublique.com

Prenons le carnet de santé. Si le service doit uniquement vérifier qu’une obligation vaccinale est remplie, pourquoi conserver le carnet entier ? Selon la démarche et les règles applicables, une vérification visuelle ou une attestation limitée à cette information peut suffire. Le service peut alors garder la trace du contrôle sans stocker les autres renseignements médicaux que le document contient. observatoireethiquepublique.com

Le « au cas où » a une logique. Un agent peut avoir besoin de prouver qu’il a effectué un contrôle. Une administration peut devoir justifier une décision en cas de recours. Et lorsqu’un formulaire exige une pièce, l’agent au guichet n’a pas toujours la main pour changer la procédure. Maurel met notamment en cause le manque de consignes claires sur les pièces à demander et la formation insuffisante des agents. La question à poser au moment de concevoir le formulaire est donc très concrète : de quelle preuve aura-t-on réellement besoin, et pendant combien de temps ? Acteurs Publics

Le RGPD donne déjà la règle

L’article 5 du règlement européen impose de limiter les données personnelles à ce qui est nécessaire pour l’objectif poursuivi. Il impose aussi de limiter leur durée de conservation sous une forme qui permet d’identifier les personnes. Il n’existe cependant pas de délai unique : certains textes fixent des durées, et des règles particulières s’appliquent aux archives publiques. Un dossier peut donc devoir être conservé pour justifier un droit ou une décision, même après la fin de la démarche. EUR-Lex

En France, le principe du « Dites-le-nous une fois » va dans le même sens. Une administration ne peut pas exiger de nouveau une information qu’elle détient déjà ou qu’elle peut obtenir directement d’une autre administration participant au dispositif prévu par la loi. L’échange doit rester limité aux données nécessaires à la démarche. Si un service a seulement besoin de savoir si vous remplissez une condition, lui transmettre la réponse peut suffire là où le transfert du dossier entier en dirait beaucoup plus. Légifrance

Par quoi commencer ?

Par les formulaires. Parmi ses dix propositions, Maurel suggère de définir, pour chaque démarche, une liste des pièces strictement nécessaires que l’usager pourrait faire valoir face au service. Il propose aussi de privilégier la vérification visuelle quand elle suffit, de former les agents et de soumettre les grandes entités publiques à un audit indépendant tous les trois ans. Ce sont des propositions : elles ne constituent pas de nouvelles obligations en vigueur. observatoireethiquepublique.com

Un audit utile pourrait partir d’un dossier ordinaire et suivre le trajet d’une seule pièce : le portail la reçoit, un agent la consulte, un logiciel la conserve. A-t-elle aussi été envoyée par courriel ? Une copie subsiste-t-elle ailleurs après la clôture du dossier ? Et qui vérifie que les exemplaires devenus inutiles sont effectivement supprimés ? C’est à ce niveau qu’une règle abstraite peut changer quelque chose.

Pour l’usager, il y a aussi un point d’appui. Lorsqu’un service collecte directement des données personnelles, le RGPD prévoit qu’il informe notamment de l’objectif de la collecte et de la durée de conservation, ou des critères qui permettent de la fixer. Si une pièce vous paraît disproportionnée, deux questions suffisent pour ouvrir la discussion : « Quelle information devez-vous vérifier ? Pourquoi vous faut-il une copie complète ? » EUR-Lex

Réduire la collecte n’empêchera pas les intrusions. Cela peut en limiter les dégâts. On demande à juste titre aux administrations de mieux fermer la porte. On peut aussi leur demander de regarder ce qu’elles ont mis derrière.