Conservation des données d’analyse de la communication interne : quelle durée définir et pourquoi

Accueil › Blog › Conservation des données d’analyse de la communication interne : quelle durée définir et pourquoi

Par Nicolas Saliba · Publié en octobre 2026 · 14 min de lecture

En bref

La conservation des données d’analyse de la communication interne ne repose pas sur une durée unique applicable à toutes les données. Il faut distinguer les données d’événements identifiables des tendances agrégées, justifier chaque durée par une finalité documentée et tester les mécanismes de suppression avant de s’y fier. Cet article présente un calendrier de conservation, les contrôles Microsoft et les questions à poser à votre fournisseur de solutions d’analyse.

Points clés

• Le RGPD britannique ne fixe aucune durée de conservation universelle : chaque durée doit être justifiée par la finalité du jeu de données, et une politique doit définir des durées de conservation standard.
• Selon les orientations du Comité européen de la protection des données (CEPD), les données d’analyse pseudonymisées restent des données personnelles. Seule une anonymisation irréversible permet de les sortir du champ d’application du RGPD.
• Par défaut, le journal d’audit unifié de Microsoft conserve la plupart des activités pendant 180 jours, et pendant un an les enregistrements Exchange, SharePoint, OneDrive et Entra ID des utilisateurs disposant d’une licence E5.
• Les paramètres de conservation de Purview s’appliquent aux contenus Microsoft, pas aux données de télémétrie ni aux exports copiés par votre solution SaaS d’analyse : ceux-ci nécessitent leur propre calendrier.
• Testez la suppression des données des collaborateurs qui quittent l’entreprise, des sauvegardes, des exports et des données soumises à une obligation de conservation avant de vous fier au calendrier. Désignez également un responsable des données chargé de le réexaminer lorsque les finalités évoluent.

Quelles données d’analyse permettent réellement d’identifier les collaborateurs ?

Avant de définir une durée de conservation, vous devez dresser un inventaire fidèle des données réellement détenues par votre écosystème d’analyse de la communication interne. Dans un environnement Microsoft 365, il s’agit rarement d’un seul jeu de données. On trouve plutôt un ensemble d’enregistrements présentant différents niveaux d’identifiabilité, répartis entre les rapports natifs des plateformes, votre couche d’analyse et les exports et tableaux de bord créés par votre équipe communication. Commencez par les cartographier : chaque catégorie présente un niveau de risque pour la vie privée différent et justifie donc une règle de conservation spécifique.

• Identifiants directs : identifiants utilisateur, adresses e-mail et identifiants d’objet Entra ID qui désignent directement une personne dans l’enregistrement.
• Identifiants indirects : marqueurs d’appareil ou de session qui ne nomment pas une personne, mais peuvent permettre de l’isoler lorsqu’ils sont associés à d’autres données.
• Attributs organisationnels : service, pays, fonction, site ou ancienneté, qui peuvent transformer un événement anonyme en profil lorsqu’ils sont croisés avec les données RH.
• Journaux au niveau des événements : consultations, réactions, commentaires et ouvertures d’e-mails individuels associés à une personne et à un horodatage.
• Exports et tableaux de bord : extractions de feuilles de calcul, jeux de données Power BI et rapports mis en cache qui copient des données identifiables hors du système source et sont souvent oubliés lors de la planification de la conservation.
• Indicateurs agrégés : portée, taux d’engagement et pourcentages de lecture décrivant des groupes plutôt que des individus.

La documentation de Microsoft constitue ici un rappel utile. Dans sa présentation de la frontière de données de l’UE, Microsoft indique que lorsque des événements de ses services cloud sont déclenchés par une interaction utilisateur, certains journaux générés par le système contiennent des champs qui identifient ou peuvent identifier des personnes précises. Ces journaux contiennent donc des données personnelles. Microsoft exige que toutes les données personnelles présentes dans les journaux générés par le système soient pseudonymisées, au moyen de techniques telles que le chiffrement, le masquage, la tokenisation et le floutage des données.[1] Si Microsoft classe ainsi ses propres journaux opérationnels, votre référentiel d’événements d’analyse de la communication interne mérite la même classification : traitez les données au niveau des événements comme des données personnelles, même si le nom affiché est masqué.

La catégorie la plus souvent oubliée est celle des copies. Chaque export téléchargé par un responsable de la communication, chaque fichier CSV joint à un e-mail contenant une présentation de suivi et chaque jeu de données Power BI actualisé depuis la plateforme d’analyse constitue un nouveau problème de conservation, souvent sans responsable ni date d’expiration. Intégrez les exports à votre inventaire dès le départ. Sinon, votre calendrier de conservation ne régira que le système de référence, tandis que les données identifiables continueront discrètement d’exister sur des lecteurs partagés.

Quelle finalité justifie chaque durée de conservation ?

Le RGPD britannique ne fixe aucune durée de conservation universelle pour les données d’analyse. L’Information Commissioner’s Office (ICO) est explicite : vous ne devez pas conserver les données personnelles plus longtemps que nécessaire, vous devez réfléchir à la durée de conservation et pouvoir la justifier au regard de vos finalités, et vous devez disposer d’une politique définissant, dans la mesure du possible, des durées de conservation standard.[2] Pour un jeu de données d’analyse de la communication interne, la question n’est donc jamais « Combien de temps pouvons-nous les conserver ? », mais « À quoi nous servent-elles encore ? ».

Considérez chaque durée de ce calendrier comme une proposition, et non comme une décision définitive. Chacune doit être approuvée par une personne identifiée, généralement votre délégué à la protection des données (DPO). En France, en Allemagne ou dans une autre juridiction de l’UE où la représentation des salariés est formalisée, une consultation des représentants du personnel doit également avoir lieu avant l’entrée en vigueur du calendrier. Une durée que personne n’a approuvée sera difficile à défendre si un régulateur ou un représentant des salariés vous demande pourquoi vous conservez encore deux ans d’historique de lecture identifiable.

Prévoyez dès le départ la gestion des demandes d’effacement. Si votre référentiel d’événements permet de supprimer les données d’une personne à sa demande, le traitement d’une demande d’effacement devient une opération courante. Dans le cas contraire, il existe une lacune de conception qu’aucune politique de conservation ne pourra masquer.

Quelle est la différence entre les données agrégées et l’historique brut des événements ?

La réponse pratique aux contraintes de conservation consiste à adopter un modèle à deux niveaux : conserver peu de temps l’historique des événements identifiables et conserver plus longtemps les tendances agrégées. Mais la frontière entre ces deux niveaux doit être correctement définie, car l’erreur la plus fréquente en matière d’analyse de la communication interne consiste à supposer que supprimer les noms rend les données anonymes. Ce n’est pas le cas.

La pseudonymisation est une mesure de protection, pas une sortie du champ d’application du RGPD. Le Comité européen de la protection des données distingue clairement les deux notions : la pseudonymisation réduit la possibilité de relier des données à une personne précise sans chercher à rompre complètement ce lien, tandis que l’anonymisation rend les données impossibles à relier à une personne. Les données véritablement anonymisées sortent du champ d’application du droit européen sur la protection des données.[3] Un jeu de données de consultations dans lequel chaque identifiant utilisateur a été remplacé par un jeton reste constitué de données personnelles, puisque ce jeton peut être associé de nouveau à l’identité de la personne.

L’anonymisation irréversible est le seuil qui permet de conserver des données agrégées pendant plusieurs années. Un agrégat conforme prévoit une taille minimale de groupe — généralement au moins dix personnes pour chaque segment publié — afin qu’il soit impossible de reconstituer les données d’une petite équipe à partir d’un pourcentage. Il évite également les croisements d’attributs suffisamment précis pour isoler une personne, par exemple le taux d’engagement d’une équipe de cinq personnes dans un pays donné. Si vos tableaux de bord permettent d’aller aussi loin dans le détail, ces vues détaillées correspondent à des données au niveau des événements déguisées en agrégats : elles doivent donc suivre le calendrier de conservation court.

Que couvrent les contrôles de conservation de Microsoft ?

Vous gérez déjà les contenus de Microsoft 365 avec Purview ; il peut donc être tentant de supposer que ces politiques couvrent également les données d’analyse de la communication interne. Ce n’est pas le cas, et cette différence est importante. Les paramètres de conservation de Purview s’appliquent aux contenus à leur emplacement d’origine : ils peuvent conserver uniquement le contenu, le supprimer uniquement, ou le conserver puis le supprimer. Lorsqu’un contenu soumis à une règle de conservation est modifié ou supprimé, une copie est conservée dans des emplacements masqués, comme la bibliothèque Preservation Hold pour SharePoint et OneDrive, et le dossier SubstrateHolds pour les messages Teams et Viva Engage.[4] Ces contrôles régissent la copie du contenu détenue par Microsoft. Ils ne disent rien sur les données de télémétrie qu’une solution SaaS d’analyse tierce a déjà copiées dans sa propre base de données, ni sur les exports stockés dans la bibliothèque partagée de votre équipe communication.

Le journal d’audit unifié possède ses propres paramètres par défaut, qui dépendent de la licence. Ils sont utiles à connaître, car ils déterminent les éléments de preuve disponibles pour établir qui a fait quoi :

• 180 jours : durée de conservation par défaut des enregistrements d’audit avec Audit (Standard), ainsi que de toutes les activités en dehors d’Exchange, SharePoint, OneDrive et Entra ID.
• Un an : durée de conservation par défaut des enregistrements d’audit Exchange Online, SharePoint, OneDrive et Microsoft Entra avec Audit (Premium), pour les utilisateurs disposant d’une licence E5 ou équivalente.
• 10 ans : durée disponible uniquement lorsque l’utilisateur à l’origine des enregistrements dispose également du module complémentaire de conservation des journaux d’audit pendant 10 ans, en plus de la licence E5.

Un détail de ces paramètres par défaut peut surprendre les équipes : la durée de vie d’un élément d’audit est fixée au moment où l’enregistrement entre dans le processus. Une modification ultérieure de licence ne prolonge donc pas la conservation des éléments déjà enregistrés.[5] La conclusion pratique découle de la distinction évoquée plus haut : Purview régit les contenus Microsoft et vos politiques d’audit régissent les journaux Microsoft, tandis que les copies détenues par votre outil d’analyse relèvent d’un calendrier, d’un responsable et d’un mécanisme de suppression distincts que vous devez définir.

Comment tester les suppressions et les exceptions ?

Un calendrier de conservation qui n’a jamais été testé n’est qu’un document, pas un contrôle opérationnel. L’ICO attend des organisations qu’elles examinent régulièrement les données qu’elles détiennent et qu’elles effacent ou anonymisent les données personnelles lorsqu’elles ne sont plus nécessaires, tout en disposant de procédures pour répondre aux demandes d’effacement.[2] Pour répondre à cette exigence, définissez des scénarios de test avant de vous fier au calendrier et exécutez-les selon une fréquence fixe.

1. Suppression des données lors du départ d’un salarié : un collaborateur quitte l’entreprise, son compte Entra ID est supprimé et ses données au niveau des événements dans la plateforme d’analyse sont supprimées ou anonymisées dans le délai prévu. Vérifiez le résultat directement dans les données, et pas uniquement dans la documentation du fournisseur.
2. Expiration des sauvegardes : une sauvegarde réalisée avant une suppression contient encore des données identifiables. Vérifiez que les sauvegardes expirent selon le calendrier prévu et qu’une restauration ne réintroduit pas les données supprimées.
3. Récupération des exports : un fichier CSV exporté pour une présentation de suivi doit être supprimé à la fin du cycle de revue. Vérifiez que vous pouvez réellement retrouver et supprimer toutes les copies, plutôt que de découvrir qu’elles ne sont pas suivies.
4. Gel pour raisons juridiques : un litige ou une enquête suspend la suppression de certains enregistrements. Vérifiez que le gel est documenté, limité à des enregistrements précis et assorti d’une date d’expiration, au lieu de rester ouvert indéfiniment.
5. Suppression contractuelle : à la fin d’un contrat SaaS, le fournisseur doit restituer ou supprimer vos données dans un délai défini. Testez la procédure de sortie avant de signer, et non après.

Les gels de suppression exigent une discipline particulière. Une exception à la suppression peut être légitime, mais une exception sans date d’expiration revient à une conservation indéfinie mieux présentée. Consignez la personne qui a demandé le gel, les enregistrements concernés et la date de réexamen. Inscrivez cette revue au calendrier plutôt que de vous contenter de prévoir de la faire.

Pour la suppression par le fournisseur, précisez les modalités dans le contrat : quelles données sont supprimées, dans quel délai après la résiliation, si les sauvegardes sont incluses et quelle preuve de suppression vous sera fournie. Traitez ensuite le premier test de sortie comme un véritable exercice, avec la même rigueur qu’un test de reprise après sinistre.

Qui doit réexaminer le calendrier lorsque les finalités évoluent ?

Les calendriers de conservation deviennent progressivement obsolètes, souvent sans que personne ne s’en rende compte. De nouveaux canaux sont ajoutés, un directeur de la communication demande une nouvelle analyse, un attribut issu du système RH est ajouté pour affiner la segmentation, et le calendrier finit par ne plus correspondre aux données réellement détenues. La solution consiste à désigner un responsable des données et à définir des événements déclenchant explicitement une révision.

Le responsable des données pour votre jeu de données d’analyse de la communication interne doit être une personne nommément désignée, généralement le responsable Digital Workplace ou informatique qui exploite la plateforme, en collaboration avec le DPO chargé de la validation. Ses responsabilités consistent à maintenir l’inventaire à jour, à vérifier que la finalité déclarée de chaque jeu de données correspond toujours à son utilisation réelle et à soumettre de nouveau le calendrier à validation lorsque les pratiques évoluent.

• Un nouveau canal est connecté, par exemple des communautés Viva Engage ou une plateforme de newsletters.
• Une nouvelle finalité apparaît, notamment en cas d’évolution vers le suivi des performances individuelles, qui modifie l’analyse juridique et nécessite généralement une nouvelle consultation.
• Un nouvel attribut est ajouté, comme des données démographiques issues des RH, ce qui approfondit la segmentation et accroît la possibilité d’identification.
• Un changement de licence modifie les paramètres par défaut côté Microsoft, par exemple lorsqu’une couverture E5 change la durée de conservation des journaux d’audit.
• Un changement de fournisseur ou d’outil modifie les emplacements où les copies des données sont stockées.

Documentez chaque révision : l’élément déclencheur, les changements apportés et les personnes qui les ont approuvés. Cette trace constitue une preuve de conformité et transforme le calendrier de conservation, au lieu d’en faire un exercice ponctuel, en un contrôle évolutif qui résiste aux changements d’équipe et à la croissance de la plateforme.

Que devez-vous vérifier avec Communication Insights ?

Lorsque vous connectez une plateforme d’analyse multicanale à votre environnement Microsoft 365, vous créez une nouvelle copie des données relatives aux collaborateurs, avec son propre délai de conservation. Il faut traiter ce point comme une question d’achat et de contractualisation, et non comme une hypothèse. Demandez par écrit les paramètres réels de conservation et de suppression de la plateforme : durée de conservation des données au niveau des événements, gestion des départs de collaborateurs, taille minimale des groupes pour les agrégats et devenir des données à la fin du contrat. Un fournisseur incapable de répondre à ces questions dans un document n’a pas mis en place les contrôles nécessaires.

• Quelle est la durée de conservation des enregistrements au niveau des événements, et quelle finalité la justifie ?
• Comment les données des collaborateurs partis sont-elles supprimées ou anonymisées ? Pouvez-vous déclencher cette opération à la demande pour répondre à une demande d’effacement ?
• Comment les agrégats sont-ils construits : taille minimale des groupes, exclusion des segments permettant une réidentification ?
• Quelle preuve de suppression fournissez-vous à la fin du contrat, y compris pour les sauvegardes et les exports ?

Alignez ensuite les paramètres de la plateforme sur le calendrier que vous avez fait approuver. L’analyse des tendances à long terme est l’une des principales raisons d’utiliser une couche d’analyse dédiée : elle permet à votre équipe communication de comparer les audiences sur plusieurs trimestres et plusieurs années dans un même espace, plutôt que de reconstruire les chiffres à partir des rapports natifs. Mais la possibilité d’analyser un historique étendu ne donne pas le droit de conserver indéfiniment les données identifiables des collaborateurs. La vision à long terme doit reposer sur des agrégats construits conformément à la politique approuvée, et non sur des données au niveau des événements conservées au-delà de la durée prévue.

C’est précisément le sujet que nous vous proposons d’aborder avec nous. Communication Insights est notre plateforme d’analyse multicanale tout-en-un qui rassemble les newsletters par e-mail, votre intranet SharePoint, Viva Connections et Viva Engage dans un tableau de bord centralisé. Nous accompagnons régulièrement les équipes informatiques et Digital Workplace dans l’examen des contrôles de conservation, de suppression et de sécurité avant le déploiement. Passez en revue les contrôles de conservation avec Tryane : réservez un appel ou une démonstration de 15 minutes avec Jérémy via son Calendly et apportez votre calendrier de conservation afin que nous puissions mettre en correspondance les paramètres de la plateforme avec les durées et les validations que vous avez déjà définies.

Foire aux questions

Combien de temps puis-je conserver les données d’analyse des collaborateurs au titre du RGPD ?

Il n’existe pas de durée fixe. Le principe de limitation de la conservation impose de ne pas conserver les données personnelles plus longtemps que nécessaire au regard des finalités poursuivies. Chaque jeu de données doit donc avoir une durée justifiée et documentée dans une politique, faire l’objet de révisions régulières et être effacé ou anonymisé lorsqu’il n’est plus nécessaire.

Les données d’analyse pseudonymisées restent-elles des données personnelles ?

Oui. Selon les lignes directrices 01/2025 du CEPD, les données pseudonymisées qui peuvent être attribuées à une personne à l’aide d’informations supplémentaires restent des données personnelles, même si ces informations supplémentaires sont détenues par quelqu’un d’autre. Seule une anonymisation complète et irréversible permet de les sortir du champ d’application du RGPD.

Combien de temps Microsoft conserve-t-il les journaux d’audit utilisés par les outils d’analyse ?

La plupart des enregistrements du journal d’audit unifié sont conservés par défaut pendant 180 jours. Les enregistrements Exchange, SharePoint, OneDrive et Microsoft Entra ID générés par des utilisateurs disposant d’une licence E5 sont conservés pendant un an. Les organisations peuvent prolonger cette durée jusqu’à dix ans grâce à des politiques personnalisées et au module complémentaire de conservation des journaux d’audit pendant dix ans.

Les politiques de conservation de Microsoft Purview couvrent-elles les données de ma plateforme d’analyse ?

Non. Les paramètres de conservation de Purview régissent les contenus Microsoft à leur emplacement d’origine, avec des copies conservées dans des emplacements tels que la bibliothèque Preservation Hold et le dossier SubstrateHolds. Les données de télémétrie copiées par votre solution SaaS d’analyse, ainsi que les exports que vous avez réalisés, ne sont pas couvertes par ces contrôles et nécessitent leur propre calendrier de conservation documenté.

Puis-je conserver les tendances agrégées plus longtemps que les données brutes des événements ?

Oui, si les agrégats sont réellement anonymes. Les enregistrements bruts et identifiables doivent suivre un calendrier court, fondé sur leur finalité. Les agrégats anonymisés de manière irréversible, construits avec des mesures de protection comme une taille minimale de groupe, peuvent servir à l’analyse des tendances à long terme puisqu’ils ne permettent plus d’identifier qui que ce soit.

Qui doit être responsable du calendrier de conservation des données d’analyse de la communication interne ?

Désignez un responsable des données, généralement au sein de l’informatique ou de l’équipe Digital Workplace. Cette personne valide les durées, gère les exceptions comme les gels pour raisons juridiques et déclenche une révision chaque fois qu’un nouveau canal, une nouvelle finalité ou un nouvel attribut identifiant est ajouté à l’écosystème d’analyse.

Quelles questions poser à un fournisseur de solutions d’analyse sur la conservation des données ?

Demandez par écrit les paramètres effectifs de conservation et de suppression : durée de conservation par défaut des données d’événements, suppression des données des collaborateurs partis, expiration des sauvegardes et des exports, modalités contractuelles de suppression à la fin de l’accord et confirmation que les tendances à long terme sont produites à partir d’agrégats anonymisés.

Sources

• learn.microsoft.com
• ico.org.uk
• edpb.europa.eu
• learn.microsoft.com
• learn.microsoft.com

Pour aller plus loin

• Analyse de la communication interne et RGPD : le guide pratique pour les comités d’entreprise
• Consultation des comités d’entreprise sur l’analyse de la communication
• Sécurité et conformité de l’analyse de la communication interne
• Meilleurs outils d’analyse de la communication interne en 2026 : guide d’achat

Vous souhaitez découvrir à quoi ressemble un reporting multicanal appliqué à vos propres données ? Tryane propose une présentation guidée de 15 minutes, sans diapositives. Réservez un créneau avec Hatim.