Emails professionnels : quelles durées de conservation ?

La durée de conservation d’un email professionnel dépend de ce qu’il contient et de son utilité, pas de son format. Un message de rendez-vous, une facture et une contestation salariale n’appellent ni la même échéance ni les mêmes accès. Le RGPD ne fixe pas une durée générale de cinq ou dix ans pour toute la messagerie.

Ce guide propose une méthode de tri, une grille de décision et une procédure de départ. Le cas rempli ci-dessous montre aussi comment traiter une copie qui échappe à la suppression.

Ce qu’il faut retenir

• Séparez les messages de travail courant des pièces à conserver pour une obligation ou un besoin de preuve identifié.
• Une prescription de cinq ans ne signifie pas que chaque email doit être gardé cinq ans à compter de son envoi.
• La conservation du double d’un bulletin de paie pendant cinq ans se distingue de la prescription salariale de trois ans.
• Préparez la fermeture de l’adresse nominative au départ du salarié ; une redirection générale et indéfinie n’est pas une solution de continuité appropriée.

Quelle règle appliquer à chaque message ?

L’Art. 5(1)(e) du RGPD impose de limiter la conservation à la durée nécessaire aux finalités. Commencez par identifier le dossier auquel se rattache le message : commande, recrutement, facture, réclamation, organisation interne. Puis déterminez si le message apporte une information qui manque dans le système de référence.

Les articles 2224 du Code civil et L3245-1 du Code du travail sont des règles de prescription : elles ne prescrivent pas un archivage indifférencié. À l’inverse, L123-22 et L3243-4 imposent la conservation de documents déterminés.

Fiscalité : attention à la transition. L’Art. 36 de la loi n° 2026-534 prévoit le passage du délai général de L102 B à dix ans pour les documents et pièces dont le délai de conservation expire après le 1er janvier 2027. Faites revoir les échéances concernées avec la comptabilité avant toute purge ; l’obligation comptable de dix ans peut déjà s’appliquer à la même pièce.

Pour la prospection, le référentiel CNIL n° 2021-131 fournit un repère, pas une permission d’envoyer pendant trois ans malgré une opposition. L’ouverture automatique ou détectée d’un email ne doit pas remettre mécaniquement le compteur à zéro. Le tableau des durées de conservation complète ces distinctions par usage.

Construire une politique applicable dans votre outil

Évitez une consigne qui laisse chaque salarié décider seul du droit applicable. Faites valider une grille par les responsables métier, la fonction juridique, l’informatique et le DPO lorsqu’il est désigné. Le référentiel CNIL sur les durées RH de 2026 aide à distinguer les pièces du dossier salarié et la portée des durées indiquées.

Pour chaque catégorie, renseignez :

1. Le dossier de référence et la finalité de conservation.
2. Les messages ou pièces réellement nécessaires.
3. La durée, son fondement et l’événement qui la déclenche.
4. Le lieu de conservation et les personnes autorisées.
5. La règle de suppression, ses exceptions et le responsable du contrôle.

Choisissez ensuite une règle technique réaliste : catégories dans l’outil, transfert vers le dossier métier, restrictions d’accès, suppression des doublons. Une automatisation fondée uniquement sur l’âge du message risque de détruire une preuve nécessaire ou de conserver inutilement des milliers de courriels.

Archivage : limiter aussi l’accès et l’usage

La CNIL distingue l’utilisation active et l’archivage intermédiaire. Une séparation physique est possible, mais une séparation logique avec des habilitations adaptées peut également convenir. Déplacer un message dans un dossier nommé « Archives » accessible à toute l’équipe ne réalise pas cette restriction.

Ne cumulez pas automatiquement une durée active et un délai légal : ce dernier peut déjà courir pendant l’utilisation courante. Un gel lié à un contentieux doit préciser les pièces concernées, son motif, qui l’a décidé et quand sa nécessité sera réexaminée. Les exceptions au droit à l’effacement de l’Art. 17(3)(b) et (e) du RGPD ne justifient pas de bloquer toute suppression dans l’entreprise.

La politique doit aussi couvrir les exports locaux, les pièces téléchargées, les archives de messagerie et les copies de secours. La procédure de restauration des sauvegardes après effacement évite de réintroduire des données dans les usages courants.

Au départ d’un salarié : fermer le compte sans perdre les dossiers

La CNIL recommande d’annoncer la date de fermeture afin que le salarié puisse trier sa messagerie et récupérer ses messages privés. Elle indique que l’adresse nominative doit être supprimée une fois l’employé parti. Ce repère ne doit pas être remplacé par une règle inventée autorisant systématiquement plusieurs mois de redirection.

Préparez la continuité avant le départ :

• Répertoriez les dossiers actifs et transférez les échanges professionnels nécessaires dans leurs espaces de travail.
• Communiquez aux correspondants utiles une adresse fonctionnelle ou le contact du successeur.
• Fixez et annoncez la fermeture ; coordonnez-la avec la révocation des accès et des sessions.
• Isolez les seules preuves encore nécessaires selon la grille de conservation.
• Vérifiez ensuite les délégations, règles de transfert et copies locales résiduelles.

La protection de la correspondance personnelle demeure applicable. Un message clairement identifié comme privé, par son objet ou son classement approprié, ne devient pas librement consultable parce que le salarié est parti. Ne transposez pas aux courriels privés les règles particulières d’ouverture des fichiers personnels. En cas de litige, faites examiner les conditions juridiques d’accès, notamment le recours au juge, avant toute recherche intrusive.

Intégrez cette procédure à la charte informatique. Elle complète la gestion des données personnelles en ressources humaines, sans se substituer aux informations RGPD remises aux salariés.

Cas rempli : trier la boîte d’une chargée de clientèle

Situation hypothétique : une PME française de maintenance prépare le départ de sa chargée de clientèle. Sa boîte contient des rendez-vous, des factures, des dossiers encore ouverts et des messages privés identifiés. La direction renonce à donner toute la boîte au remplaçant. Le tri produit les décisions suivantes :

Cette fiche n’autorise pas la lecture générale des messages privés pour vérifier le tri. Pour les dossiers professionnels, l’équipe conserve les éléments qui établissent le sens d’un engagement ; extraire une facture ne permet pas de supprimer une acceptation contractuelle utile au seul motif qu’elle figure dans le même fil.

Lors du contrôle fictif, une archive locale complète apparaît sur le répertoire partagé du service. La fermeture du compte n’a donc pas supprimé cette copie. La direction en retire immédiatement l’accès général. Le responsable informatique, avec les personnes habilitées et dans le respect des correspondances privées, organise son traitement selon les décisions déjà prises, sans la donner au remplaçant « au cas où ».

Le contrôle est repris sur le serveur, le poste restitué et l’emplacement partagé. Si une copie ne peut pas encore être traitée, elle reste isolée avec un responsable et une échéance de résolution ; le dossier n’est pas déclaré terminé. Une pièce nécessaire manquante suspend en revanche la suppression du dossier concerné, le temps de rétablir sa conservation correcte. Cela ne justifie pas de geler toutes les boîtes.

Contrôler que la règle fonctionne

Faites un contrôle sur un échantillon représentatif : une boîte active, un départ récent, un dossier clos, une pièce comptable et un contentieux gelé. Pour chacun, comparez la règle écrite, l’échéance calculée, les accès réels et le résultat de la suppression. Gardez le constat et la correction, sans copier les courriels dans un nouveau fichier d’audit.

Rattachez les durées aux finalités correspondantes dans le registre des activités de traitement. L’Art. 30(1)(f) vise, dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données. Une ligne « messagerie : dix ans » ne décrit pas les usages distincts de la boîte.

FAQ

Faut-il conserver tous les emails professionnels cinq ans ?

Non. La prescription civile de droit commun ne constitue pas une obligation générale d’archiver chaque message. Identifiez les pièces utiles, le droit concerné et son point de départ ; supprimez les messages devenus inutiles selon une règle documentée.

Une facture impose-t-elle de garder toute la conversation ?

Pas automatiquement. Conservez la pièce comptable et le contexte nécessaire à sa compréhension et à sa preuve. Les éléments sans rapport suivent leur propre durée. Un tri doit préserver l’intégrité des documents conservés.

Peut-on laisser la boîte du salarié parti à son remplaçant ?

Évitez ce transfert global. Organisez la reprise des dossiers utiles, la fermeture de l’adresse nominative et la protection des messages privés. Le successeur n’a pas besoin d’hériter de toute l’histoire personnelle et professionnelle de la boîte.

Une sauvegarde autorise-t-elle une conservation illimitée ?

Non. Définissez sa finalité, sa rotation, ses accès et la procédure après restauration. Une copie de secours n’est pas une dispense générale de limitation de la conservation.

Thiébaut Devergranne, docteur en droit de l’informatique, accompagne les professionnels sur la protection des données et la conformité numérique depuis plus de vingt ans.

Recevoir la newsletter sur le RGPD et la conformité numérique.