Temporalité RGPD : fixer une durée de conservation

Le principe de temporalité correspond à la limitation de la conservation des données personnelles. Il oblige à déterminer jusqu’à quand une information identifiable reste nécessaire pour une finalité. Le RGPD ne fixe pas une durée unique pour tous les fichiers, mais certains textes sectoriels imposent des délais précis.

Ce qu’il faut retenir

Une durée se raisonne par finalité et catégorie de données. Elle comprend un point de départ vérifiable et une action à l’échéance. La conservation d’une archive justifiée ne permet pas de poursuivre tous les usages courants. Le droit à l’effacement est lié à cette obligation, mais il s’agit d’un droit distinct, avec ses conditions et exceptions.

Ce qu’impose l’Art. 5(1)(e)

L’Art. 5(1)(e) du RGPD limite la conservation sous une forme permettant l’identification au temps nécessaire aux finalités. L’Art. 5(2) impose au responsable de pouvoir démontrer le respect de ce principe.

Le texte prévoit une conservation plus longue pour certaines finalités archivistiques dans l’intérêt public, scientifiques, historiques ou statistiques, sous les garanties de l’Art. 89(1). Il ne suffit donc pas de renommer une vieille base commerciale « archive statistique ». Une pseudonymisation peut constituer une garantie, mais les données restent personnelles si la réidentification demeure possible.

Choisir la durée avec la bonne méthode

Commencez par rechercher les textes applicables à la pièce ou au traitement : ils peuvent fixer une durée, un minimum, un maximum ou un régime particulier. Examinez ensuite les recommandations pertinentes et, pour ce qui reste à déterminer, le besoin réel du traitement.

La CNIL distingue les durées obligatoires des durées recommandées. Un référentiel peut contenir les deux. Il faut lire la justification de la ligne et vérifier qu’elle correspond au secteur et à l’opération concernés.

Ne présentez pas un délai de prescription comme une obligation de conserver tout le fichier. Il peut justifier les preuves nécessaires à un litige, mais son point de départ et les éventuelles causes d’interruption ou de suspension doivent être examinés.

Distinguer l’usage courant de l’archive

Après la fin d’une relation, certaines pièces peuvent rester nécessaires à une obligation comptable ou à la défense de droits. Elles ne doivent pas rester disponibles pour toutes les opérations quotidiennes. Restreignez les accès et les utilisations au besoin d’archive.

Une même donnée peut être nécessaire à plusieurs traitements soumis à des durées différentes. La suppression dans un fichier marketing n’oblige pas à détruire une pièce justificative encore légalement nécessaire. Inversement, cette pièce ne permet pas de conserver indéfiniment le contact dans les campagnes commerciales.

Le tableau des durées de conservation sert à distinguer ces cas. Pour le marketing, le repère de dernier contact du prospect mérite une définition précise : chaque action interne ne doit pas relancer artificiellement un délai.

Mettre la règle dans les outils

Une durée écrite ne suffit pas si le logiciel ne dispose d’aucun événement de départ fiable. Identifiez le champ qui déclenche la règle, le responsable de son exactitude et les systèmes qui possèdent une copie des données.

Vérifiez les exports, les pièces jointes, les doublons et les prestataires. Organisez aussi les sauvegardes : leur cycle et leur restauration doivent tenir compte des effacements déjà effectués. Les exceptions liées à un contentieux doivent être délimitées et réexaminées.

La politique de conservation formalise ces responsabilités. Contrôlez des dossiers réellement arrivés à échéance et conservez une trace proportionnée de l’opération et des anomalies corrigées.

Effacement, information et sanctions

L’Art. 17(1)(a) permet notamment de demander l’effacement de données devenues inutiles aux finalités. Les exceptions de l’Art. 17(3), dont certaines obligations légales et la défense de droits en justice, doivent être examinées. Ce droit ne dispense pas le responsable d’appliquer ses durées de sa propre initiative. Voir le texte de l’Art. 17.

Le droit français prévoit aussi l’Art. 226-20 du Code pénal. Sa rédaction vise des durées prévues par la loi, le règlement ou les formalités qu’il énumère. Il ne faut pas le reformuler comme une peine automatique pour tout dépassement d’une date inscrite dans un tableau interne. L’analyse pénale suppose de vérifier les éléments de l’infraction ; les obligations et sanctions administratives du RGPD constituent un cadre distinct.

Les trois phases d’une conservation : base active, archive intermédiaire, sort final

La CNIL raisonne en trois temps, et c’est le plus utile pour construire une règle opérationnelle. Dans la base active, la donnée sert la finalité quotidienne : gestion du contrat, relation commerciale, paie. Dans l’archivage intermédiaire, elle n’est plus utilisée au quotidien mais reste nécessaire à une obligation légale ou à la défense de droits ; l’accès est alors limité à un petit nombre de personnes habilitées. Au terme du délai, la donnée est supprimée, anonymisée ou, pour certaines catégories, versée aux archives publiques selon le Code du patrimoine.

Cette architecture évite deux erreurs symétriques : tout supprimer à la fin du contrat alors qu’une obligation comptable ou fiscale impose de garder la pièce, ou tout garder « au cas où » dans la base commerciale. Le même client peut ainsi être présent dans trois périmètres avec trois durées différentes.

Ce que disent la Cour de justice et la CNIL

La Cour de justice de l’Union européenne a eu l’occasion de rappeler que la limitation de la conservation est une obligation autonome. Dans l’arrêt Digi Távközlési (C-77/21, 20 octobre 2022), un opérateur avait copié des données d’abonnés dans une base de test, puis les y avait laissées bien après la fin des tests. La Cour a jugé que la conservation au-delà du temps nécessaire à la finalité de la copie méconnaît l’Art. 5(1)(e), indépendamment de la licéité de la collecte initiale. Retenez la leçon pratique : une copie de test, un export ponctuel ou une base de recette ont leur propre finalité, donc leur propre échéance.

En France, la CNIL sanctionne régulièrement les durées excessives, souvent associées à d’autres manquements. La délibération SAN-2020-003 du 28 juillet 2020 (Spartoo, 250 000 €) en est un exemple : la formation restreinte y examine la conservation de données de clients et de prospects. Pour chaque décision citée, lisez le dispositif lui-même : l’amende compte moins que le raisonnement sur la finalité, le point de départ du délai et la distinction entre base active et archive.

Exemple fictif : une boutique en ligne et ses comptes inactifs

Cet exemple est hypothétique. Une boutique en ligne conserve les comptes clients sans limite. Son responsable de traitement décide d’appliquer une règle en quatre lignes :

Le délai de trois ans après le dernier contact s’inspire du repère que la CNIL applique à la prospection commerciale. Il doit être justifié par la finalité de la boutique, et non recopié par réflexe. Un « dernier contact » doit correspondre à une action du client (achat, réponse, clic sur un message), pas à une relance envoyée par l’entreprise.

Erreurs fréquentes

La première consiste à fixer une durée sans point de départ : « 5 ans » ne veut rien dire tant que l’événement déclencheur n’est pas défini. La deuxième est de confondre archive et sauvegarde : une sauvegarde n’est pas une base de consultation, mais elle doit pouvoir être purgée selon un cycle connu. La troisième est de s’en remettre à l’effacement à la demande, alors que l’obligation pèse sur le responsable de traitement, qui doit agir de sa propre initiative. La quatrième est d’ignorer les prestataires : l’échéance doit être répercutée dans le contrat de sous-traitance (Art. 28(3)(g)), avec restitution ou destruction à la fin de la prestation.

Pour approfondir le sujet, consultez notre article sur la durée de conservation des données RGPD et celui sur le droit à l’effacement. Le principe voisin de finalité détermine ce qui rend une donnée « nécessaire ».

FAQ

Le consentement permet-il une conservation illimitée ?

Non. Même fondé sur le consentement, un traitement reste soumis aux principes de nécessité et de limitation de la conservation. La finalité et la durée doivent être justifiées.

Faut-il supprimer toutes les données dès la fin du contrat ?

Non. Certaines pièces peuvent rester nécessaires pour une obligation ou un besoin de preuve. Il faut distinguer les pièces et usages, limiter les accès et fixer leur sort final.

Un tableau suffit-il à prouver la conformité ?

Il documente la règle. Il faut également vérifier son application dans les systèmes, les copies et les prestations concernées.

Quelle différence entre anonymiser et supprimer ?

La suppression détruit la donnée. L’anonymisation la transforme de façon à ce qu’aucune réidentification ne soit raisonnablement possible : si elle reste possible, y compris par recoupement, la donnée demeure personnelle et la limitation de conservation continue de s’appliquer. Une simple suppression du nom ne suffit généralement pas.

Qui fixe la durée : la CNIL ou l’entreprise ?

Quand un texte prévoit une durée, il s’impose. Sinon, c’est le responsable de traitement qui la fixe et qui doit pouvoir la justifier (Art. 5(2)), en s’appuyant éventuellement sur les référentiels et recommandations de la CNIL, qui n’ont pas la valeur d’une obligation sauf lorsqu’elles reprennent un texte.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.