Durée de conservation : fixer une règle défendable

Une durée de conservation exploitable répond à quatre questions : quelles données, pour quel usage, jusqu’à quel événement, puis avec quel sort final ? Écrire « cinq ans » dans le registre laisse ces décisions ouvertes. Écrire « tant que le consentement existe » ne justifie pas davantage une conservation indéfinie.

L’Art. 5(1)(e) du RGPD impose une durée limitée à ce qui est nécessaire aux finalités. Ce guide explique comment rédiger votre règle. Les chiffres par catégorie figurent dans notre tableau pratique de conservation RGPD.

Partir de l’usage et du texte applicable

Séparez les finalités avant de choisir une durée. L’adresse d’un client peut servir à livrer sa commande, envoyer une newsletter et conserver une facture. La nécessité de garder la facture ne prolonge pas le droit d’envoyer des messages commerciaux.

Procédez dans cet ordre :

1. Identifiez précisément les documents ou champs concernés et leur finalité.
2. Recherchez les obligations de conservation applicables à votre activité, en vérifiant leur périmètre.
3. Consultez les recommandations sectorielles pertinentes de la CNIL ; expliquez un éventuel écart.
4. Pour le besoin restant, justifiez une période proportionnée et un événement de départ vérifiable.
5. Désignez le service qui exécutera la suppression ou la restriction d’accès.

Une prescription peut justifier de conserver des preuves nécessaires à une défense en justice. Elle ne transforme pas tous les dossiers clients en archives de même durée. Identifiez le litige envisagé, les pièces utiles et le délai réellement applicable ; les Art. 5(1)(c), 5(1)(e) et 17(3)(e) du RGPD restent déterminants.

Une fiche de décision à intégrer à votre politique

La fiche suivante est une proposition de travail, pas un formulaire imposé par la CNIL.

Reportez les délais d’effacement envisagés, dans la mesure du possible, au registre des traitements conformément à l’Art. 30(1)(f). La fiche détaillée peut rester un document associé.

L’archivage ne consiste pas à tout garder ailleurs

La CNIL distingue les différentes étapes de conservation. Le passage par une archive intermédiaire ou définitive n’est pas obligatoire pour chaque traitement : il dépend de sa justification.

Exemple hypothétique : une entreprise clôture un compte client. Elle supprime les préférences de navigation devenues inutiles, conserve séparément les pièces comptables requises et traite à part une réclamation encore ouverte. Copier tout le compte dans une archive accessible au service marketing ne résout rien.

Une archive doit donc comporter un périmètre, des habilitations et une échéance propres. Les règles applicables au prestataire qui conserve les factures clients doivent correspondre à celles retenues en interne.

Trois niveaux de conservation à distinguer

La CNIL décrit, dans son guide sur les durées de conservation, un cycle en trois temps. Cette présentation est une recommandation de méthode, non une obligation formelle de créer trois bases distinctes.

Le point à documenter est le passage d’un niveau à l’autre : quel événement le déclenche, qui l’exécute et quelle preuve en reste.

Exemple chiffré : une boutique en ligne fictive

Exemple hypothétique, sans valeur de modèle universel. Une boutique en ligne traite un compte client, des commandes, une newsletter et des échanges avec le service client. Un raisonnement par finalité donne par exemple le tableau suivant, à confronter aux textes et recommandations applicables à votre activité.

Le délai de prescription de droit commun est de cinq ans en matière civile et commerciale (Code civil, art. 2224 ; Code de commerce, art. L. 110-4). Il fixe un horizon de défense possible, non une autorisation générale de garder cinq ans l’ensemble du compte. Vérifiez chaque texte sur Légifrance avant de reprendre un délai dans votre politique.

Les erreurs de rédaction qui reviennent le plus

• Une durée unique par entreprise : elle ignore que chaque finalité a son propre calendrier.
• Un point de départ introuvable : « à compter de la fin de la relation » suppose de pouvoir dater cette fin dans l’application.
• Une purge limitée à la base principale : exports, boîtes de messagerie, feuilles de calcul et outils connectés conservent souvent les mêmes données.
• Un renvoi à la prescription sans litige identifié : le risque contentieux doit être plausible et lié aux pièces conservées.
• Aucune preuve d’exécution : sans journal de purge ou compte rendu, la règle reste déclarative.

Sauvegardes : un point d’attention distinct

Une donnée supprimée de la base de production peut subsister dans une sauvegarde. Le RGPD ne dit pas qu’il faut réécrire chaque sauvegarde à chaque suppression ; il impose de maîtriser le risque. Fixez une durée de rotation courte et documentée, interdisez la restauration directe sans nouvelle purge, et traduisez cette consigne dans la procédure de reprise après incident. Informez la personne qui exerce son droit d’effacement du délai pendant lequel la sauvegarde subsistera, lorsque ce délai est pertinent pour sa demande.

Risques en cas de contrôle

La conservation excessive relève de l’Art. 5(1)(e) du RGPD. Les manquements aux principes de l’Art. 5 peuvent entraîner des amendes pouvant atteindre 20 000 000 € ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (Art. 83(5)(a)). En pratique, la CNIL examine d’abord la cohérence entre ce que vous annoncez (information des personnes, registre) et ce que vos systèmes font. Consultez les sanctions récentes de la CNIL pour mesurer l’importance accordée à ce point, et appuyez-vous sur un modèle de politique de conservation pour formaliser vos choix. Les cas particuliers sont traités dans notre page sur les exceptions à la politique de conservation.

Newsletter, vivier de candidats : éviter la durée illimitée

Le consentement porte sur un traitement déterminé ; il ne remplace pas le principe de limitation de la conservation. Pour une newsletter, définissez une politique d’inactivité et distinguez la liste d’envoi des éléments minimaux nécessaires à la preuve ou au respect d’une opposition. Un désabonnement arrête les envois concernés ; conserver une trace pour éviter la réinscription involontaire appelle une finalité et une durée distinctes.

De même, un CV n’a pas vocation à rester dans un vivier jusqu’à ce que son auteur pense à demander sa suppression. Vérifiez le besoin de recrutement, l’information fournie et les recommandations applicables. Ne reconduisez pas une durée par le seul envoi automatique d’un message.

Passer de la politique au fonctionnement réel

Pour chaque application, traduisez la règle en un critère de sélection compréhensible : quel champ, quel événement et quelle exception ? Faites examiner un échantillon avant une purge importante. Vérifiez ensuite les fichiers exportés, les outils connectés et la gestion des sauvegardes, notamment le traitement des données supprimées lors d’une restauration.

L’Art. 28(3)(g) du RGPD encadre la restitution ou suppression par le sous-traitant à la fin de la prestation, sous réserve de la conservation exigée par le droit applicable. Inscrivez les modalités opérationnelles au contrat et vérifiez leur exécution. Un réglage affiché ne prouve pas une purge réussie.

Enfin, informez les personnes de la durée ou des critères qui la déterminent, selon les Art. 13(2)(a) et 14(2)(a). Si vous conservez des statistiques, suivez une véritable démarche d’anonymisation : retirer le nom n’est pas une démonstration suffisante.

Pour les candidats, voir la durée de conservation des CV ; pour la prospection, le calcul à partir du dernier contact.

Ce qu’il faut retenir

• Une durée associe une finalité, un périmètre et un point de départ vérifiable.
• Les obligations légales et les recommandations ne se présentent pas comme des règles de même nature.
• L’archivage doit être justifié et limité aux pièces encore nécessaires.
• La politique doit se retrouver dans les applications, les contrats et l’information des personnes.
• Les sauvegardes, exports et outils connectés font partie du périmètre de purge.
• Une prescription justifie la conservation de preuves identifiées, pas celle de tout le dossier.

FAQ

Peut-on appliquer la durée la plus longue à tout un dossier ?

Il faut examiner les données nécessaires à chaque finalité. Une obligation comptable ne justifie pas la conservation de toutes les notes commerciales ou de tous les documents annexes.

Une demande d’effacement oblige-t-elle à supprimer une facture ?

Le droit à l’effacement connaît notamment l’exception de l’Art. 17(3)(b) pour une obligation légale de traitement. Vérifiez cette obligation, limitez les données conservées et expliquez à la personne ce qui reste nécessaire.

Que faire des données dans les sauvegardes ?

Maîtrisez le risque plutôt que de promettre une suppression instantanée : rotation courte et documentée, interdiction de restaurer sans nouvelle purge, et information de la personne concernée quand elle demande l’effacement.

Une prescription de cinq ans autorise-t-elle à garder tous les documents cinq ans ?

Non. Elle justifie de conserver les pièces utiles à une défense plausible, pas l’ensemble des données d’un client. Identifiez le litige envisagé et les documents nécessaires.

À quelle fréquence revoir sa politique ?

Le RGPD ne fixe pas une fréquence annuelle universelle. Organisez une revue adaptée aux changements de finalités, de textes et d’outils, avec une échéance interne et un responsable identifiés.

Recevez nos analyses pratiques de conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit du numérique et la protection des données. Il est le fondateur de Legiscope.