13 L’archivage à valeur probante désigne la conservation de documents électroniques dans des conditions qui permettent d’en démontrer l’authenticité, l’intégrité et l’intelligibilité pendant toute la durée de conservation. C’est une obligation distincte de la simple conservation des octets, et la distinction vient d’être rendue plus coûteuse. La loi n° 2026-534 du 25 juin 2026 relative à la lutte contre les fraudes sociales et fiscales, article 36, porte le délai de conservation de l’article L102 B du Livre des procédures fiscales de six à dix ans. Le texte vise explicitement les informations, documents, données, traitements informatiques et systèmes d’information constituant la piste d’audit fiable. La mesure s’applique aux documents dont le délai expire après le 1er janvier 2027. Archivage à valeur probante : conserver n’est pas prouver En droit français, la durée de conservation et la valeur probatoire sont deux objets juridiques séparés. Garder les fichiers dix ans satisfait le LPF L102 B et l’article L123-22 du Code de commerce. Cela ne confère aucune force probante au document. La force probante vient de l’article 1366 du Code civil, qui reconnaît à l’écrit électronique la même valeur qu’à l’écrit papier à condition que son auteur puisse être dûment identifié et qu’il soit établi et conservé dans des conditions de nature à en garantir l’intégrité. L’article 1367 traite de la signature, l’article 1379 de la copie fiable, et l’arrêté du 22 mars 2017 fixe les modalités de numérisation. Attention aux sources anciennes qui citent encore l’article 1316-1 : la renumérotation date de l’ordonnance n° 2016-131 du 10 février 2016. Sur le plan technique, la référence est la norme NF Z42-013, dont la version 2020 couvre l’ensemble du système d’archivage électronique (SAE) : empreintes, horodatage, journaux d’événements scellés et auditables, politique de migration de format, destruction avec preuve, réversibilité. La NF Z42-020 est plus étroite et ne porte que sur le composant coffre-fort numérique. La norme internationale alignée est l’ISO 14641:2018. Il faut en tirer une conséquence claire, parce qu’elle est souvent escamotée par les fournisseurs d’infrastructure : un stockage objet immuable ne constitue pas à lui seul un archivage à valeur probante. Il en est le socle de conservation. Il apporte l’inaltérabilité, la preuve d’intégrité et l’application de la durée de rétention. Le SAE apporte les métadonnées, les journaux, la politique de format et la preuve de destruction. Les deux couches sont nécessaires. Les durées : ce qui a changé et ce qui n’a pas changé Les documents comptables et pièces justificatives relèvent de dix ans à compter de la clôture de l’exercice (Code de commerce, art. L123-22). Le délai fiscal du LPF L102 B passe de six à dix ans avec la loi du 25 juin 2026. Ces deux régimes s’alignent désormais, ce qui simplifie une règle que les directions financières appliquaient jusqu’ici en retenant la durée la plus longue. Deux régimes restent à part. Les dossiers médicaux hospitaliers sont conservés vingt ans à compter du dernier passage (Code de la santé publique, art. R1112-7), avec des variantes : jusqu’aux 28 ans du patient pour un mineur, dix ans à compter du décès lorsque celui-ci survient moins de dix ans après la dernière prise en charge, et trente ans pour les actes transfusionnels. Les enregistrements des entreprises d’investissement relèvent de cinq ans, extensibles à sept sur demande de l’AMF. Point de vigilance pratique : la quasi-totalité des tableaux de durées de conservation publiés en ligne indique encore six ans pour le délai fiscal. Ils sont désormais faux. Un dimensionnement de capacité fondé sur ces tableaux sous-estime le volume à conserver de quatre années. L’archivage intermédiaire, une exigence sans équivalent hors de France Le RGPD impose la limitation de la conservation (art. 5.1.e). La CNIL en tire un modèle en trois temps qui n’a pas d’équivalent dans la littérature anglo-saxonne, et qui décrit assez précisément une architecture de stockage. La base active contient les données en usage courant, directement accessibles. L’archivage intermédiaire concerne les données qui ne servent plus au quotidien mais qui doivent être conservées pour un intérêt administratif ou une obligation légale, typiquement les factures. La CNIL exige pour cette phase une séparation de la base active, physique par extraction vers une base dédiée ou logique par restriction d’accès, avec un accès réservé à un service spécifiquement habilité. L’archivage définitif ne concerne que les traitements à des fins archivistiques dans l’intérêt public. Autrement dit, la conformité RGPD ne demande pas seulement de conserver moins longtemps. Elle demande un palier de conservation séparé, à accès restreint et non modifiable. C’est exactement la fonction d’un tiers de stockage objet immuable avec des droits d’accès distincts. La CNIL a par ailleurs publié le 2 avril 2026 un référentiel sur les durées de conservation en gestion des ressources humaines qui distingue explicitement les durées obligatoires des durées recommandées. À retenir aussi : une durée trop courte est une infraction au même titre qu’une durée trop longue, puisqu’elle contrevient à l’obligation sectorielle de conservation. Le risque est bidirectionnel. Immutabilité : les modes conformité et gouvernance Le verrouillage d’objet S3 (Object Lock) propose deux modes et un blocage légal indépendant. En mode conformité, aucun utilisateur ne peut supprimer, écraser ni raccourcir la rétention d’une version protégée, y compris le compte racine. En mode gouvernance, un contournement est possible mais exige deux éléments simultanés : l’autorisation s3:BypassGovernanceRetention et un en-tête de requête explicite. L’allongement est possible dans les deux modes, le raccourcissement seulement en mode gouvernance. Trois détails produisent des constats d’audit. Le verrouillage exige la gestion des versions et ne peut plus être désactivé une fois activé. Un blocage légal n’a pas de durée et subsiste jusqu’à sa levée explicite, sans que le contournement de gouvernance puisse l’écarter. Enfin, une suppression sans identifiant de version réussit et pose un marqueur de suppression, lequel n’est pas protégé : la donnée est intacte mais l’objet paraît supprimé. Tester l’immutabilité par une suppression simple et conclure au vu du code de retour conduit à l’erreur inverse. Le mode conformité mérite une réserve dans un contexte français. Une rétention verrouillée à dix ans que personne ne peut raccourcir devient un problème sans solution technique le jour où une donnée doit être effacée au titre de l’article 17 du RGPD hors du périmètre couvert par une obligation légale. Le mode gouvernance, assorti d’un contrôle documenté sur les porteurs de l’autorisation de contournement, est souvent le choix le plus défendable. Souveraineté : depuis avril 2026, ce n’est plus seulement une doctrine Il faut d’abord écarter une lecture erronée fréquente : ni le RGPD ni DORA n’imposent de localisation. L’article 30.2.b de DORA oblige le contrat à indiquer les régions ou pays où les services sont fournis et où les données sont traitées, y compris le lieu de stockage, et à notifier tout changement à l’avance. C’est une obligation de transparence, pas de résidence. En revanche, la France a désormais une règle de droit dur, mais son périmètre est le secteur public. L’article 31 de la loi n° 2024-449 du 21 mai 2024 (SREN) réserve l’usage de services cloud privés, pour les données d’une sensibilité particulière des administrations, opérateurs de l’État et groupements d’intérêt public listés, à des offres satisfaisant des exigences renforcées. Le décret n° 2026-272 du 14 avril 2026 en fixe l’application : il liste dix domaines d’exigences, dont la localisation de l’hébergement, les conditions de transfert vers un État tiers, la localisation du siège du prestataire et son actionnariat, ainsi que la protection contre tout accès par des autorités étrangères non autorisées. Il introduit une exigence de qualification de type SecNumCloud ou équivalent, avec des dérogations transitoires limitées. Deux qualifications structurent ce marché. SecNumCloud 3.2, délivré par l’ANSSI, ajoute depuis 2022 une exigence d’immunité aux lois extraterritoriales : siège, centre de décision et administration du service dans l’Union, capital extra-européen plafonné. La certification HDS, elle, n’est pas un label mais une obligation légale : l’article L1111-8 du Code de la santé publique impose la certification à quiconque héberge des données de santé pour le compte d’un tiers. Le référentiel HDS v2, fixé par l’arrêté du 26 avril 2024, s’impose aux certifications nouvelles depuis novembre 2024, et l’échéance de mise en conformité des hébergeurs déjà certifiés est passée en mai 2026. Demander la version du référentiel est donc une question de qualification légitime. Un mot sur les certifications produit : la mention FIPS 140, courante dans la documentation d’origine américaine, n’a pas de portée dans la commande publique française. Les références sont les visas de sécurité de l’ANSSI (CSPN, Critères Communs, qualification), désormais articulés avec le schéma européen EUCC, et les recommandations de l’ANSSI en matière d’algorithmes et de longueurs de clés. Checklist : évaluer un socle de conservation Verrouillage d’objet dans les deux modes, blocage légal indépendant de la rétention, et valeurs par défaut applicables au niveau du bucket.Profils de durée distincts : dix ans comptable et fiscal, vingt ans pour le dossier médical hospitalier, cinq à sept ans pour les enregistrements sous supervision AMF.Capacité à constituer un palier d’archivage intermédiaire réellement séparé, avec des droits d’accès restreints à un service habilité.Journalisation au niveau de l’API, avec contrôle d’intégrité, conservée au moins aussi longtemps que les données qu’elle documente.Rétention qui prend fin quand l’obligation prend fin, et procédure d’effacement applicable aux données hors périmètre d’obligation.Réversibilité et export dans un format ouvert, exigence portée à la fois par la NF Z42-013 et par les contrats.Positionnement clair du produit comme socle de conservation sous un SAE, et non comme solution d’archivage à valeur probante à lui seul.Qualifications adaptées à l’usage : SecNumCloud pour le secteur public sensible, certification HDS v2 pour toute donnée de santé, visa ANSSI ou EUCC au niveau produit. En synthèse Le passage à dix ans oblige à reprendre deux choses en même temps : le dimensionnement, parce que quatre années supplémentaires de pièces justificatives changent les volumes, et la politique de purge, parce que suspendre des suppressions automatiques sans revoir les durées crée une exposition RGPD à l’autre extrémité. Les briques techniques existent et se ressemblent d’une plateforme à l’autre. Ce qui distingue un dispositif défendable, c’est la capacité à rattacher chaque durée à un texte, chaque palier d’accès à une exigence, et chaque preuve d’intégrité à un journal que quelqu’un a déjà essayé d’exporter. Questions fréquentes Un stockage objet immuable suffit-il à garantir la valeur probante ? Non. Il apporte l’inaltérabilité et la preuve d’intégrité, qui sont nécessaires, mais la valeur probante suppose aussi l’identification de l’auteur, les métadonnées, les journaux d’événements, une politique de format et une preuve de destruction. Ces éléments relèvent du système d’archivage électronique. Le stockage en est le socle de conservation. Le délai fiscal est-il vraiment passé à dix ans ? Oui, par l’article 36 de la loi n° 2026-534 du 25 juin 2026, qui modifie l’article L102 B du Livre des procédures fiscales. La mesure vise les documents dont le délai de conservation expire après le 1er janvier 2027. Le délai comptable de dix ans du Code de commerce, lui, est inchangé. Le RGPD impose-t-il d’héberger les données en France ? Non. Le RGPD encadre les transferts hors Union par des décisions d’adéquation ou des garanties appropriées, il n’impose pas de localisation. En France, une obligation de localisation existe pour le secteur public traitant des données d’une sensibilité particulière, depuis le décret n° 2026-272 du 14 avril 2026 pris en application de la loi SREN. Pour les entités financières privées, l’exigence relève du contrat et de la doctrine, pas de la loi. La certification HDS est-elle obligatoire ? Oui, dès lors qu’une entité héberge des données de santé à caractère personnel pour le compte d’un tiers, en application de l’article L1111-8 du Code de la santé publique. Ce n’est pas un label commercial. Le référentiel applicable est la version 2 fixée par l’arrêté du 26 avril 2024, et la période de mise en conformité des hébergeurs déjà certifiés est échue depuis mai 2026. Où en est la transposition de NIS2 en France ? Elle n’est pas faite. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2 en même temps que REC et DORA, a été adopté par le Sénat en première lecture en mars 2025 puis n’a plus progressé. Début juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France, l’Irlande, l’Espagne et les Pays-Bas, avec demande de sanctions financières. Les exigences de sauvegarde et de journalisation attendues ne changeront pas pour autant. Pour aller plus loin La version anglaise de ce sujet est disponible sous S3 compliance, les détails techniques du verrouillage d’objet sous S3 object lock: immutability and WORM, et le chiffrement sous data encryption for compliance.
