Quelle est la durée légale de conservation des logs de connexion des salariés au Luxembourg ?
Réponse courte
La durée légale de conservation des logs de connexion des salariés au Luxembourg est de 6 mois maximum à compter de leur enregistrement pour des finalités de sécurité, conformément à l'article L.261-2 du Code du travail et l'article 41 de la loi du 1er août 2018. Une durée supérieure n'est autorisée qu'en cas d'incident de sécurité documenté ou de procédure judiciaire en cours.
Définition
Les logs de connexion sont des enregistrements informatiques qui documentent automatiquement les accès et activités des utilisateurs sur les systèmes d'information de l'entreprise. Ils comprennent notamment les identifiants, dates, heures, adresses IP et ressources consultées.
Ces données constituent des données à caractère personnel au sens du RGPD dès lors qu'elles permettent d'identifier directement ou indirectement un salarié.
Conditions d’exercice
L'employeur doit respecter plusieurs conditions cumulatives :
- Obtenir l'avis préalable de la délégation du personnel (Art. L.261-1 du Code du travail)
- Informer individuellement les salariés du traitement (Art. L.261-1)
- Déclarer le traitement dans le registre des activités de traitement
- Limiter l'accès aux logs aux seules personnes habilitées
- Assurer la sécurité et la confidentialité des données
- Respecter la finalité déclarée (sécurité, détection des incidents)
Modalités pratiques
La conservation des logs doit suivre ces règles :
- Durée maximale de 6 mois à compter de l'enregistrement
- Suppression automatique et irréversible après ce délai
- Conservation prolongée uniquement sur les logs liés à un incident
- Documentation de tout dépassement du délai de 6 mois
- Traçabilité des accès aux logs
- Chiffrement des données stockées
Pratiques et recommandations
Il est recommandé de :
- Formaliser une politique de conservation des logs
- Former les personnes habilitées à consulter les logs
- Mettre en place des procédures d'extraction en cas d'incident
- Réaliser des audits réguliers de conformité
- Documenter toute conservation prolongée
- Intégrer les règles dans la charte informatique
Cadre juridique
Note
Le non-respect de la durée légale de conservation expose l'employeur à des sanctions administratives de la CNPD pouvant atteindre 4% du chiffre d'affaires annuel. La consultation préalable des représentants du personnel est obligatoire sous peine de nullité du dispositif.