Numérisation et archivage de documents : ce qu'impose la CNIL en 2026

L'essentiel — Numériser, archiver et conserver sont trois opérations distinctes, régies par trois corps de règles qui ne parlent pas de la même chose. Le code civil décide si votre scan vaut l'original devant un juge : c'est la notion de copie fiable, et un décret de 2016 en fixe les conditions techniques. Des normes professionnelles décrivent comment produire cette fiabilité de façon opposable. Et le RGPD, par-dessus, impose de ne pas conserver au-delà de la finalité, de documenter chaque traitement et de sécuriser l'accès. Un dossier partagé sans horodatage, sans journal d'accès et sans purge programmée échoue simultanément aux trois. Ce guide donne les durées applicables, les conditions de la copie fiable, ce que l'on peut réellement détruire après numérisation, et un plan d'action en huit étapes.

Numériser n'est pas archiver

La confusion la plus coûteuse consiste à croire qu'un document scanné et déposé dans un espace de stockage est « archivé ». Trois opérations différentes se cachent derrière ce geste, et chacune répond à une exigence distincte.

1. La numérisation produit une image du document. La question qui se pose est celle de la fidélité : la copie reproduit-elle à l'identique la forme et le contenu de l'original ?
2. L'archivage organise la conservation dans le temps. La question est celle de l'intégrité : peut-on démontrer que le fichier n'a pas changé depuis son entrée, et à quelle date il est entré ?
3. La conservation des données personnelles relève du RGPD. La question est celle de la finalité et de la durée : pourquoi gardez-vous ce document, et jusqu'à quand ?

Un fichier peut être parfaitement fidèle et juridiquement sans valeur, faute d'intégrité démontrable. Il peut être conservé dans un système irréprochable et constituer une violation du RGPD, parce que sa durée est dépassée. Les trois exigences se cumulent.

La valeur probante d'un scan : la copie fiable

L'article 1379 du code civil pose la règle : « La copie fiable a la même force probante que l'original. » Il ajoute que la fiabilité est laissée à l'appréciation du juge, mais qu'est réputée fiable jusqu'à preuve contraire toute copie résultant d'une reproduction à l'identique de la forme et du contenu de l'acte, et dont l'intégrité est garantie dans le temps par un procédé conforme à des conditions fixées par décret.

Ce décret existe : c'est le décret n° 2016-1673 du 5 décembre 2016 relatif à la fiabilité des copies. Il pose quatre exigences.

Le renversement de la charge de la preuve est l'enjeu réel. Si votre copie remplit ces conditions, celui qui la conteste doit démontrer qu'elle n'est pas fidèle. Si elle ne les remplit pas, c'est à vous de convaincre le juge — avec un simple fichier dans un dossier partagé, dont la date de modification peut être changée par n'importe qui, la démonstration est difficile.

Le point qui surprend le plus : la fiabilité de la copie ne « valide » pas l'acte lui-même. Si l'original était un acte sous signature privée non signé, ou un contrat contesté dans son contenu, une copie parfaitement fiable ne fera que prouver fidèlement ce qui était écrit. La copie fiable est une question de preuve du document, pas de validité de l'engagement.

Détruire le papier après numérisation : ce qui est réellement permis

C'est la question la plus fréquente, et la réponse dépend du type de document.

Les factures. Un arrêté du 22 mars 2017 fixe les modalités de numérisation des factures papier permettant de ne conserver que la version numérique pendant le délai de conservation fiscal. Il impose une reproduction à l'identique — pas de perte, couleurs conservées lorsqu'elles portent une information —, la sécurisation du fichier par un dispositif garantissant son intégrité et sa datation, et un format pérenne. Respecté à la lettre, ce dispositif autorise à se séparer du papier.

Les documents portant une signature manuscrite. Prudence. Un cautionnement, une reconnaissance de dette, un contrat contesté, un testament : lorsque l'écrit lui-même est l'objet du litige — parce qu'on discutera l'authenticité de la signature, une surcharge, une mention manuscrite —, l'original papier reste la meilleure pièce. Une expertise graphologique ne se fait pas sur un scan.

Les actes authentiques et les titres. Actes notariés, jugements en la forme exécutoire, titres de propriété : conservez l'original, sans discussion.

Les documents à valeur patrimoniale ou historique, pour une association ou une collectivité : ils relèvent d'une autre logique, celle de l'archivage définitif, et leur élimination est encadrée.

La bonne pratique consiste à écrire une politique de destruction : pour chaque catégorie de document, l'original papier est-il détruit, et à quel moment ? Une décision documentée et appliquée uniformément vaut infiniment mieux qu'un tri au cas par cas dont personne ne se souvient trois ans plus tard.

Les trois âges de l'archive

La CNIL raisonne, comme les archivistes, en trois phases du cycle de vie. Ce n'est pas une subtilité théorique : chaque phase appelle des droits d'accès différents, et c'est précisément la confusion des trois qui est reprochée lors des contrôles.

Le manquement typique est le suivant : tout le monde dans l'entreprise a accès au même dossier partagé, où cohabitent les dossiers actifs et les dossiers clos depuis six ans. Il ne s'agit pas d'un problème de rangement, mais d'un défaut de mesure de sécurité au sens de l'article 32 du RGPD — l'accès n'est pas limité aux personnes qui en ont besoin.

La séparation la plus simple à mettre en place ne demande pas d'outil coûteux : un espace distinct, un groupe d'accès distinct, une journalisation des consultations, et une procédure écrite pour demander l'accès à une archive intermédiaire.

Combien de temps conserver quoi

Les durées ci-dessous sont les repères les plus courants. Deux règles générales avant de les lire.

Il existe souvent deux délais pour le même document, et il faut retenir le plus long. Les pièces justificatives comptables se conservent dix ans au titre du code de commerce, tandis que le délai de reprise fiscal impose de pouvoir présenter les documents sur une période plus courte. Le premier l'emporte.

Une durée légale de conservation est un plafond autant qu'un plancher. Le RGPD interdit de conserver au-delà de ce qui est nécessaire ; l'obligation légale justifie la conservation pendant sa durée, pas au-delà.

Deux pièges méritent d'être signalés.

La pièce d'identité est le document le plus mal conservé. Beaucoup d'organisations en gardent une copie « au dossier », indéfiniment, sans base légale. Sauf obligation spécifique — la lutte contre le blanchiment en est la principale —, la copie doit disparaître dès que la vérification est faite. Une mention dans le dossier attestant que l'identité a été vérifiée, par qui et à quelle date, suffit et expose beaucoup moins.

Le CV du candidat non retenu peut être conservé deux ans dans une logique de vivier, à condition d'en informer la personne et de lui permettre de s'y opposer. Sans cette information, la conservation est irrégulière.

Les normes qui rendent l'archivage opposable

Le décret de 2016 fixe des objectifs ; deux normes décrivent comment les atteindre de façon démontrable.

La norme relative à la numérisation fidèle (NF Z42-026) décrit les prestations de numérisation de documents papier : préparation, paramètres de capture, contrôle qualité, gestion des rejets, restitution. Elle répond à la première exigence du décret — la reproduction à l'identique — et concerne l'opération de scan elle-même.

La norme NF Z42-013 décrit un système d'archivage électronique, c'est-à-dire les conditions de conception et d'exploitation d'un système destiné à conserver des documents numériques avec leur valeur probante. Elle a été reprise au plan international sous la référence ISO 14641. Ses exigences se résument en six garanties :

1. Intégrité : empreinte cryptographique calculée à l'entrée et vérifiée périodiquement ainsi qu'à chaque consultation.
2. Authenticité : horodatage et signature ou cachet électronique du système, donnant date certaine.
3. Traçabilité : journal d'événements horodaté, non modifiable, couvrant les versements, les consultations, les migrations et les éliminations.
4. Pérennité : formats de conservation ouverts et documentés — la famille PDF/A pour les documents, des formats non compressés ou compressés sans perte pour les images —, avec un plan de migration.
5. Sécurité : contrôle d'accès, chiffrement, redondance sur des sites distincts.
6. Réversibilité : capacité d'exporter l'intégralité du fonds, avec ses métadonnées et ses journaux, vers un autre système.

La certification NF 461 atteste qu'un système d'archivage électronique respecte effectivement cette norme. C'est le niveau de preuve attendu lorsque l'archivage est central dans votre activité — tiers de confiance, professions réglementées, dossiers de santé, marchés publics.

Un espace de stockage collaboratif grand public ne satisfait pas ces exigences, et ce n'est pas une question de sérieux du fournisseur : il n'y a ni horodatage qualifié, ni journal immuable, ni preuve d'intégrité opposable, et les fichiers y sont modifiables par conception.

Le RGPD par-dessus : ce que le contrôle regarde en premier

Le registre des activités de traitement (article 30) est le premier document demandé. L'obligation connaît une exception théorique pour les organismes de moins de 250 salariés, mais elle tombe dès lors que le traitement n'est pas occasionnel, ce qui est le cas d'une paie, d'un fichier clients ou d'une prospection. En pratique, tout le monde doit en tenir un.

Pour chaque traitement, il doit indiquer la finalité, les catégories de personnes et de données, les destinataires internes et les sous-traitants, la durée de conservation, les mesures de sécurité, et les éventuels transferts hors Union européenne.

La base légale de l'archivage doit être identifiée. Conserver une facture dix ans se fonde sur une obligation légale. Conserver un dossier clos « au cas où » ne se fonde sur rien. Lorsque la conservation repose sur l'intérêt légitime — un dossier contentieux potentiel, un vivier de recrutement —, elle doit être limitée à la durée de prescription concernée et documentée.

L'analyse d'impact (article 35) devient obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé : traitement à grande échelle de données sensibles, croisement de fichiers, surveillance systématique. Un projet de dématérialisation massive d'un fonds documentaire contenant des données de santé ou des données sociales entre typiquement dans ce champ.

La notification de violation doit intervenir auprès de la CNIL dans les 72 heures après en avoir pris connaissance, dès lors qu'un risque pour les personnes existe. Une archive exposée par une mauvaise configuration de partage est une violation, même si personne ne l'a consultée.

Les sous-traitants doivent être encadrés par un contrat conforme à l'article 28 : prestataire de numérisation, hébergeur, éditeur du système d'archivage. Ce contrat précise les instructions, la sécurité, la sous-traitance ultérieure et le sort des données à la fin de la prestation.

Les transferts hors Union européenne supposent une décision d'adéquation, des clauses contractuelles types ou un autre mécanisme prévu par le règlement, complétés le cas échéant par des mesures supplémentaires. La localisation effective des serveurs de votre prestataire d'archivage est donc une question à poser par écrit, et à conserver.

Sécurité : le socle réellement attendu

L'article 32 du RGPD parle de mesures « appropriées », sans liste. La doctrine de la CNIL, elle, est explicite sur le socle attendu d'une organisation qui archive des documents contenant des données personnelles.

• Chiffrement des données au repos pour les fonds sensibles, et chiffrement systématique en transit.
• Authentification forte sur les accès à l'archive, en particulier pour les accès distants et les comptes d'administration.
• Gestion des habilitations par profil, revue périodiquement, avec retrait immédiat des droits au départ d'une personne.
• Journalisation des accès et des actions, conservée le temps utile à la détection d'un incident — la CNIL retient un ordre de grandeur de six mois à un an pour les journaux techniques — et protégée contre la modification.
• Sauvegardes régulières, testées par des restaurations réelles, avec au moins une copie hors ligne ou hors du fournisseur principal.
• Purge automatisée à l'échéance des durées, ou à défaut une revue périodique documentée.
• Sensibilisation des personnes qui manipulent les archives, et procédure écrite en cas de demande d'accès ou d'incident.

Un espace partagé accessible par lien public, sans authentification renforcée et sans gestion fine des droits, échoue à ce socle indépendamment de tout autre considération.

Les droits des personnes, appliqués à une archive

• Droit d'accès (article 15) : vous devez fournir une copie des données détenues, y compris celles qui dorment dans une archive intermédiaire, dans un délai d'un mois prorogeable en cas de complexité.
• Droit de rectification (article 16) : corriger une donnée inexacte. Sur une archive à valeur probante, on ne modifie pas la pièce d'origine : on verse une pièce rectificative et on trace le lien.
• Droit à l'effacement (article 17) : il cède devant une obligation légale de conservation. Une facture ne s'efface pas à la demande. La bonne réponse consiste à supprimer ce qui peut l'être, à restreindre l'accès au reste, et à expliquer par écrit la base légale qui impose de conserver, avec l'échéance.
• Droit à la limitation (article 18) : utile lorsque l'exactitude est contestée ; les données sont conservées mais gelées.
• Droit d'opposition (article 21) : applicable aux traitements fondés sur l'intérêt légitime, dont la prospection.

Le geste pratique qui manque le plus souvent : être capable de retrouver toutes les occurrences d'une personne dans le fonds. Un fonds de PDF scannés sans couche de texte est illisible par une recherche. Passer les documents par une reconnaissance de caractères transforme une archive opaque en archive interrogeable — c'est un prérequis opérationnel pour répondre à une demande d'accès ou d'effacement dans le délai d'un mois. Cette étape se traite avec la suite de votre scanner, une suite PDF de bureau ou un moteur OCR libre scriptable sur un lot. iFillPDF utilise un OCR basé sur l'IA pour reconnaître le contenu de vos documents dans ses parcours de traitement, mais l'archivage interrogeable d'un fonds entier demande un flux OCR et GED dédié.

Anonymiser ou pseudonymiser : la distinction qui change le régime

Ces deux mots sont utilisés indifféremment, à tort.

La pseudonymisation remplace les identifiants directs par des identifiants de substitution, mais la ré-identification reste possible à l'aide d'une information conservée à part. Les données restent des données personnelles, et le RGPD continue de s'appliquer intégralement. C'est une mesure de sécurité, pas une porte de sortie.

L'anonymisation rend la ré-identification impossible par des moyens raisonnables, pour quiconque et de manière irréversible. Les données anonymisées sortent du champ du RGPD et peuvent être conservées sans limite. Mais le seuil est exigeant : masquer un nom dans un document où figurent l'adresse, la date de naissance et l'employeur n'anonymise rien.

Sur un document, l'opération correspondante s'appelle le caviardage, et elle doit être destructive. Poser un rectangle noir par-dessus un texte dans un PDF ne supprime pas le texte sous-jacent : il reste sélectionnable et extractible. Il faut supprimer réellement le contenu — c'est ce que fait l'outil d'effacement de texte dans un PDF — puis vérifier en tentant une recherche sur le document produit. Sa mécanique a une conséquence directe sur l'archivage, à peser avant de l'appliquer à un fonds : pour garantir que le texte caviardé a bien disparu, il remplace la page entière par une image dont le fond est reconstruit. Le caviardage est donc effectif et irréversible, mais la page perd sa couche de texte, sa recherche plein texte et ses balises d'accessibilité, et elle s'alourdit. Sur une pièce à verser, produisez et conservez deux exemplaires : l'original intègre sous accès restreint, la version caviardée pour la diffusion. À noter également : cet outil traite le document sur nos serveurs européens et suppose un compte, là où le découpage, la fusion et la compression restent, eux, entièrement dans le navigateur.

Sanctions : l'échelle réelle

Le plafond du RGPD est connu : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Il concerne les manquements les plus graves et les organisations les plus importantes.

Ce qui concerne davantage une PME, c'est le reste de la palette. La CNIL peut prononcer une mise en demeure, un rappel à l'ordre, une injonction de mise en conformité, éventuellement sous astreinte, et une limitation ou une interdiction de traitement. Elle dispose également d'une procédure de sanction simplifiée, instituée pour les dossiers ne présentant pas de difficulté particulière, dont le montant est plafonné à un niveau nettement inférieur au maximum du règlement. Enfin, une part importante des décisions est publiée, et la publicité est souvent la sanction la plus lourde en pratique.

Les manquements le plus régulièrement relevés en matière d'archivage sont d'une constance remarquable : conservation au-delà de la durée nécessaire, absence de gestion des habilitations, défaut d'information des personnes, et absence de contrat avec un sous-traitant.

Plan d'action en huit étapes

1. Inventorier les catégories de documents que vous détenez, et pour chacune la finalité de la conservation.
2. Fixer une durée par catégorie, en retenant le délai le plus long entre l'obligation légale et le délai de prescription utile.
3. Séparer les trois âges : un espace courant, un espace intermédiaire à accès restreint, une procédure d'accès écrite.
4. Définir la politique de destruction du papier, catégorie par catégorie, en réservant les originaux signés et les actes authentiques.
5. Fiabiliser la numérisation : résolution suffisante, couleurs conservées quand elles portent du sens, contrôle qualité, compression sans perte d'information.
6. Assurer l'intégrité et la datation : empreinte, horodatage, journal d'événements non modifiable.
7. Programmer la purge et la tracer. Une purge annuelle documentée vaut mieux qu'une purge automatique jamais vérifiée.
8. Documenter le tout dans le registre des traitements, et le tenir à jour à chaque nouveau traitement.

FAQ

Un PDF scanné a-t-il la même valeur qu'un original papier ? Il peut l'avoir, s'il constitue une copie fiable au sens de l'article 1379 du code civil : reproduction à l'identique, empreinte électronique, horodatage, conservation garantissant l'intégrité. Un scan déposé dans un dossier partagé ne remplit pas ces conditions ; il reste recevable comme commencement de preuve, mais sa force dépendra entièrement de l'appréciation du juge.

Puis-je détruire mes factures papier après les avoir numérisées ? Oui, si la numérisation et la conservation respectent les modalités fixées par l'arrêté du 22 mars 2017 : reproduction à l'identique, sécurisation garantissant l'intégrité et la date, format pérenne, pendant toute la durée de conservation. À défaut, l'administration peut demander l'original — qui n'existera plus.

Le RGPD m'oblige-t-il à supprimer un dossier client qui le demande ? Pas si une obligation légale impose de le conserver. Vous supprimez ce qui peut l'être, vous restreignez l'accès au reste, et vous répondez par écrit en indiquant la base légale et l'échéance à laquelle la suppression interviendra. Ne pas répondre du tout est, en revanche, un manquement à part entière.

Un espace de stockage collaboratif suffit-il pour archiver ? Pour de l'archivage courant, avec une gestion sérieuse des droits, de l'authentification forte et une purge, il peut convenir. Pour de l'archivage à valeur probante — un document qu'il faudra produire en justice ou devant l'administration —, non : il manque l'horodatage qualifié, le journal immuable et la preuve d'intégrité.

Faut-il un délégué à la protection des données pour archiver ? La désignation d'un DPO est obligatoire pour les organismes publics, et pour ceux dont l'activité de base implique un suivi régulier et systématique à grande échelle, ou le traitement à grande échelle de données sensibles. En dehors de ces cas, elle est facultative — mais la CNIL la recommande dès qu'un projet d'archivage significatif est lancé, et le désigner reste le moyen le plus simple de tenir le registre à jour.

Quelle résolution de numérisation retenir ? Une résolution suffisante pour que la reproduction soit fidèle et que le texte reste exploitable par une reconnaissance de caractères : 300 points par pouce constituent le repère courant pour un document texte, davantage pour les documents à petits caractères, les plans ou les documents dégradés. Descendre plus bas dégrade à la fois la fidélité et la qualité de la reconnaissance ultérieure.

Le bon réflexe pour la suite

Avant d'archiver, classez et purgez ; avant de classer, lisez le document. Pour rendre un fonds scanné interrogeable, passez-le d'abord par une reconnaissance optique — hors iFillPDF —, puis décidez : conserver, caviarder avec l'effacement de texte en gardant l'original intègre à côté, ou supprimer. Pour reconstituer un dossier complet à verser aux archives, regroupez les pièces en un PDF unique — en sachant que la fusion recopie les pages sans reconstruire les signets ni le dictionnaire de formulaire, ce qui peut compter sur une pièce structurée. Vous pouvez enfin ajuster son poids, étant entendu que notre compresseur travaille sur la structure et les métadonnées, jamais sur les images : il ne dégradera donc aucune numérisation, et il ne l'allégera pas non plus. Nos guides complémentaires détaillent la conformité RGPD des PDF, la numérisation depuis un smartphone, la valeur juridique de la signature électronique et la préparation d'un PDF pour une administration française.

Sources officielles

• CNIL — Les durées de conservation des données
• CNIL — Guide pratique des durées de conservation (PDF)
• CNIL — Comment concilier durées de conservation et archives ?
• CNIL — Guide de la sécurité des données personnelles
• CNIL — Le registre des activités de traitement