Combien de temps conserver les données personnelles ?

Vous conservez tout, « au cas où ». C’est le réflexe de la plupart des entreprises, et c’est précisément ce que le RGPD interdit.

La question revient dans chaque audit que nous menons. Combien de temps a-t-on le droit de conserver les données d’un client, d’un prospect, d’un candidat recalé, d’un salarié parti depuis un certain temps ? La réponse déçoit, parce qu’elle n’est pas unique. Le règlement ne fixe aucune durée chiffrée. Il pose un principe, la limitation de la conservation, et vous laisse le traduire en délais concrets, traitement par traitement. Cette logique suppose une cartographie préalable de vos activités, ce que formalise le registre des traitements. Toutefois, des textes légaux déterminent les durées de conservation et/ou peuvent vous aider dans cette détermination.

Cet article couvre les 2 angles morts des autres ressources sur le sujet : les durées de référence par catégorie de données, et la méthode pour fixer un délai quand aucun texte ne le prévoit. C’est ce second point qui fait la différence en contrôle.

Ce que dit vraiment le RGPD sur la durée de conservation

L’article 5 du RGPD énonce le principe de limitation de la conservation. Les données ne doivent pas être conservées « sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ».

Autrement dit, une donnée n’a pas de durée de vie propre sauf si cette dernière est déterminée par un texte légal. Elle a une durée d’utilité. Tant qu’elle sert la finalité qui a justifié sa collecte, vous pouvez la garder. Une fois cette finalité atteinte, la conservation devient un risque qui ne se limite pas à un contrôle CNIL mais qui doit être abordé de façon générale et au regard des enjeux cyber. Chaque donnée conservée sans nécessité élargit la surface exposée en cas d’intrusion, ce qui rend un diagnostic de conformité utile bien avant qu’un contrôle ne se profile.

Aucun chiffre dans le texte, et c’est délibéré. Une facture, un CV, une adresse e-mail de prospect et un dossier médical n’obéissent pas à la même logique. La CNIL le formule sans détour : à défaut de durée imposée par un texte légal, il revient au responsable de traitement de la fixer lui-même en fonction de l’utilité de la donnée au regard du but poursuivi. Vous décidez du délai. Vous devez aussi savoir le justifier.

Les 3 phases du cycle de vie d’une donnée

Un point structurant que beaucoup d’entreprises ignorent, et qui leur coûte cher en cas de contrôle. Une donnée ne passe pas de « active » à « supprimée » d’un seul geste. Elle traverse potentiellement 3 phases, et c’est la grille de lecture que la CNIL applique systématiquement.

La base active. La phase d’usage courant. Les données sont accessibles aux équipes qui en ont besoin au quotidien : commerciaux, marketing, RH, comptabilité. La durée correspond au temps nécessaire pour atteindre l’objectif du traitement. Les données d’un candidat non retenu, par exemple, sont conservées 2 ans maximum par le service des ressources humaines.
L’archivage intermédiaire. Les données ne servent plus l’objectif initial, mais vous devez les conserver pour une autre raison : une obligation légale, ou la défense d’un droit en cas de litige. Les données de facturation se conservent dix ans au titre du Code de commerce, même quand la personne n’est plus cliente. Point capital, l’accès doit être restreint. Vos commerciaux n’ont plus à voir ces données depuis leur interface habituelle. Le passage de la base active à l’archivage impose de réserver la consultation aux seules personnes spécialement habilitées. La séparation peut être physique, sur un serveur distinct, ou logique, par une restriction des droits d’accès.
L’archivage définitif. Conservation sans limitation de durée, réservée aux fins archivistiques d’intérêt public. Cette phase concerne pour l’essentiel le secteur public soumis au code du patrimoine. La plupart des entreprises privées n’y touchent jamais.

Cette distinction n’a rien de théorique. Confondre base active et archivage intermédiaire, laisser un dossier clos accessible à toute une équipe, figure parmi les manquements les plus souvent relevés en contrôle. Le guide pratique des durées de conservation de la CNIL détaille cette mécanique des 3 phases pour qui veut creuser.

Les durées de conservation par catégorie de données

Voici les repères que vous cherchez. Ils s’appuient sur les référentiels de la CNIL et les textes légaux français en vigueur. Une règle domine tout le tableau : une durée légale plus longue prime toujours sur une simple recommandation.

Catégorie de données	Base active	Archivage intermédiaire	Fondement
Prospect non client	3 ans après le dernier contact	Selon prescription	Référentiel CNIL gestion commerciale
Client (prospection)	Durée de la relation + 3 ans	Selon obligation légale	Référentiel CNIL
Factures, documents comptables	Durée de la relation	10 ans après clôture de l’exercice	Code de commerce, art. L123-22
Documents fiscaux		6 ans	Livre des procédures fiscales, art. L102 B
Bulletin de paie (double employeur)	Durée du contrat	5 ans	Code du travail, art. L3243-4
Candidat non retenu	2 ans après le dernier contact		Recommandation CNIL
Contrat de travail	Durée du contrat	5 ans après la fin	Code civil, art. 2224
Registre unique du personnel		5 ans après le départ du salarié	Code du travail, art. R1221-26
Cotisations sociales		3 ans	Code de la sécurité sociale, art. L244-3
Contentieux (visée probatoire)		Durée de la prescription, souvent 5 ans	Code civil, art. 2224
Cookies et traceurs	Consentement valable 13 mois max		Recommandation CNIL 2020
Dossier médical (établissement de santé)		20 ans après le dernier séjour	Code de la santé publique, art. R1112-7

Le bulletin de paie mérite une précision, parce qu’il piège beaucoup d’employeurs. Deux circuits coexistent et sont à distinguer en fonction du support du document (papier ou coffre fort numérique). Côté employeur, vous conservez un double du support papier 5 ans pour répondre à vos obligations légales. Pour les bulletins électroniques cinquante ans, ou jusqu’au 75 ans du collaborateur, pour la reconstitution de sa carrière. 2 obligations distinctes, 2 durées, à ne pas confondre. L’article L123-22 du Code de commerce et le portail Service-Public recensent l’ensemble de ces délais légaux, code par code.

Sur les prospects maintenant, le délai le plus mal appliqué de tous. Le compteur de 3 ans démarre au dernier contact émanant de la personne, pas au dernier email que vous, vous lui avez envoyé. Et la CNIL est claire sur ce qui compte. La simple ouverture d’un courriel ne vaut pas contact du prospect. Une réponse, une demande de documentation, un clic sur un lien du message : oui. Une ouverture passive : non. Beaucoup d’entreprises croient réarmer le délai à chaque campagne d’e-mailing. Elles se trompent, et c’est exactement ce que la CNIL sanctionne en matière de prospection commerciale et RGPD.

Pour traduire ces durées dans votre outil commercial, purge automatique et archivage compris, nous détaillons les points de contrôle dans notre article sur le CRM conforme aux exigences du RGPD.

Comment fixer une durée quand aucun texte ne la prévoit ?

Le cœur du sujet, et paradoxalement ce que la plupart des guides survolent. Que faites-vous face à un traitement pour lequel ni la loi ni un référentiel CNIL ne donne de délai ? Vous ne devinez pas. Vous raisonnez, et vous gardez la trace de ce raisonnement.

La méthode tient en 3 questions, dans cet ordre.

Existe-t-il une obligation légale ? Un texte impose-t-il une durée minimale ? Comptabilité, paie, fiscalité, santé, la plupart des documents lourds sont couverts. Si oui, la durée est fixée, vous citez l’article et le code dans votre registre. Rien à arbitrer.
La CNIL a-t-elle publié un référentiel ? L’autorité a produit des délibérations sectorielles pour la prospection, les RH, la santé, la banque, la vidéosurveillance. Appliquer le référentiel applicable et le mentionner dans votre registre vous place en terrain solide. C’est la source la plus protectrice, parce qu’elle vaut présomption de conformité. Le référentiel relatif à la gestion commerciale couvre à lui seul la majorité des traitements clients et prospects d’une PME.
Aucun des deux ? L’analyse au cas par cas. Vous fixez la durée en pesant 3 éléments : la finalité réelle du traitement, le risque pour les personnes concernées, le délai de prescription qui pourrait vous contraindre à produire la donnée en justice. Ce délai de prescription est souvent le repère le plus opérationnel pour tout archivage à visée probatoire, et il varie selon la nature du droit concerné.

Un dernier réflexe, décisif : raisonnez par le risque symétrique. Une durée se fixe en arbitrant entre deux dangers opposés. Conserver trop longtemps vous expose à un manquement RGPD, à une surface d’attaque élargie en cas de fuite, et à une sanction si un contrôleur juge la rétention injustifiée. Conserver trop peu vous laisse démuni le jour où il faut produire une preuve, défendre vos droits dans un litige, ou répondre à une réclamation. La bonne durée est celle qui vous protège des deux côtés à la fois. Posez-vous la question dans les deux sens avant de trancher : que se passe-t-il si je garde cette donnée cinq ans de trop, et que se passe-t-il si elle a disparu le jour où j’en ai besoin ?

Une règle pour trancher les débats internes du type « on garde au cas où » : réclamez une justification structurée. Quelle finalité, quel risque couvert, quelle durée, quel accès. Sans réponse claire aux quatre, la donnée se supprime. Cette discipline vous épargne les conservations indéfinies, celles qui sautent aux yeux d’un contrôleur.

Consignez toujours le résultat. Une durée choisie sans trace écrite risque de poser problème lors d’un contrôle la CNIL. Toute cette analyse a vocation à nourrir votre registre des traitements, le premier document réclamé lors d’un contrôle. Si sa construction vous semble hors de portée en interne, c’est précisément l’objet de notre accompagnement à la cartographie des traitements de données.

Une fois le délai atteint : supprimer ou anonymiser

Le délai expire. Deux issues possibles seulement. Vous supprimez, ou vous anonymisez. Le « on la garde encore un peu » ne figure pas dans la liste.

La suppression doit être effective et irréversible. Effacer un fichier de l’interface pendant qu’il subsiste dans trois sauvegardes et un export Excel sur le poste d’un collaborateur, ce n’est pas supprimer. Nous voyons ce demi-effacement partout.

L’anonymisation transforme la donnée pour rendre toute réidentification impossible. Attention au faux ami. Pseudonymiser, c’est remplacer un nom par un identifiant réversible, et ce n’est pas anonymiser. Une donnée pseudonymisée reste une donnée personnelle, donc soumise au RGPD. Seule une anonymisation véritable fait sortir l’information du champ du règlement.

Le versant RH mérite une mention à part. La sortie d’un salarié cumule les pièges : gel des accès, tri entre ce qui se détruit et ce qui s’archive, destruction sécurisée du dossier. Nous y avons consacré un article entier sur la façon d’archiver ou supprimer les données d’un collaborateur qui part, qui prolonge ce que vous lisez ici. Il s’inscrit dans une problématique plus large, celle de la gestion des données RH au sens du RGPD, où la question des durées croise celle des droits des salariés.

Les pièges les plus fréquents lors d’un contrôle CNIL

Les erreurs qui suivent ne sont pas des cas d’école. Ce sont les manquements que la CNIL relève le plus souvent, et chacun peut à lui seul déclencher une mise en demeure ou toute autre sanction.

Déclarer une durée « indéfinie » ou « tant que nécessaire » dans le registre. La CNIL attend une durée chiffrée ou une référence légale précise. Une mention vague vaut absence de durée.
Documenter sans purger. Un beau tableau de durées, mais aucun mécanisme n’efface réellement les données à l’échéance. La conformité sur le papier ne suffit pas, l’effectivité se contrôle. L’audit annuel comparant durées déclarées et durées réellement appliquées est le point de contrôle par excellence.
Laisser dormir des prospects au-delà de trois ans. Le délai est strictement appliqué. Une base jamais nettoyée depuis 5 ans est une non-conformité caractérisée.
Confondre fin de la base active et suppression. On cesse d’utiliser une donnée sans la basculer en archivage à accès restreint, ni la supprimer. Elle reste visible de tous. Le trou le plus courant.
Oublier que l’obligation légale prime. Si un texte impose dix ans, la donnée reste dix ans, quels que soient les autres référentiels. La durée la plus longue applicable l’emporte.

Avant de vous lancer

Une politique de conservation solide ne se résume pas à un tableau de durées. Elle enchaîne 3 maillons :

fixer une durée justifiée pour chaque traitement et pour les documents qui y sont associés,
séparer techniquement la base active de l’archivage et ou limiter les accès aux seules personnes habilitées,
un mécanisme de purge effectif et testé.

Le dernier maillon, l’effectivité, sépare l’entreprise réellement conforme de celle qui a seulement rempli un document.

Si vos durées n’ont jamais été formalisées, un diagnostic de conformité RGPD établit l’état des lieux et hiérarchise les sujets à risque. Quand la charge dépasse les moyens internes, notre DPO externe prend le relais pour bâtir cette politique et la tenir dans le temps. Reste une évidence de terrain : une durée de conservation se décide une fois, mais son application se vérifie chaque année.

Questions fréquentes

Mes sauvegardes doivent-elles respecter les durées de conservation ?

Oui, et c’est un angle mort classique. Une donnée supprimée de votre base active mais toujours présente dans une sauvegarde reste une donnée conservée au sens du RGPD. La CNIL admet un décalage technique, le temps que les cycles de sauvegarde tournent, mais elle refuse qu’un backup serve de conservation déguisée. La règle de terrain : vos sauvegardes doivent avoir leur propre politique de rotation, et une donnée effacée ne doit jamais être réinjectée dans la base active lors d’une restauration. Documentez ce point, les contrôleurs le regardent.

Comment prouver à la CNIL que mes durées sont bien respectées ?

Par la documentation, pas par la déclaration. Un contrôleur ne se contente pas d’un registre qui affiche des durées, il vérifie qu’elles s’appliquent. Trois éléments font la preuve : la trace écrite du raisonnement ayant conduit à fixer chaque durée, la description du mécanisme de purge et sa périodicité, et un journal des suppressions effectuées. Sans ces pièces, votre registre reste une intention. C’est la différence entre une entreprise qui a rempli un document et une entreprise qui pilote réellement sa conservation. Un audit annuel comparant les durées déclarées aux durées réellement appliquées suffit à constituer ce faisceau de preuves.

Faut-il indiquer les durées de conservation dans la politique de confidentialité ?

Oui, de préférence et cela permet de répondre à certaines dispositions légales notamment l’article 13 du RGPD. Votre politique de confidentialité doit mentionner, pour chaque catégorie de données, soit la durée précise, soit les critères qui permettent de la déterminer quand aucune durée fixe n’est possible. Une incohérence entre la durée affichée sur votre site et celle réellement appliquée en interne constitue un manquement à part entière, indépendamment du reste de votre conformité.

Une TPE sans DPO est-elle concernée par ces obligations ?

Entièrement. L’absence d’obligation de désigner un délégué à la protection des données ne dispense d’aucune règle de conservation. Une TPE de 3 salariés doit fixer, appliquer et justifier ses durées comme un grand groupe. La CNIL sanctionne régulièrement des structures modestes sur ce fondement, souvent à la suite d’une plainte d’un ancien client ou salarié. Sans DPO, la responsabilité repose directement sur le dirigeant, qui reste le responsable de traitement.

Qui, de mon entreprise ou de mon prestataire, applique la purge des données ?

La responsabilité vous incombe, en tant que responsable de traitement, même quand un sous-traitant héberge ou gère techniquement les données. Le contrat de sous-traitance prévu à l’article 28 du RGPD doit préciser qui déclenche la suppression à l’échéance et selon quelles modalités. Vous devez aussi vous assurer qu’aucune copie ne subsiste chez le prestataire après effacement. Un éditeur logiciel qui conserve vos données au-delà du délai vous met en défaut, pas lui. Vérifiez cette clause à chaque renouvellement de contrat.