Conservation RGPD : tableau des durées et limites
Factures, paie, contrats en ligne, prospects : comparez les durées, leurs points de départ et leur portée avant de paramétrer la purge.
Un tableau de conservation sert à choisir une règle pour une donnée précise. Il devient trompeur lorsqu’un délai applicable à une facture est étendu à tout le compte client, ou qu’une recommandation de prospection est présentée comme une durée légale universelle.
Les repères ci-dessous distinguent obligations françaises et recommandations. Ils complètent notre méthode pour fixer une durée de conservation. Vérifiez le texte sectoriel et la finalité avant de les transposer dans un logiciel.
Tableau : six situations à qualifier
| Données ou documents concernés | Durée et point de départ | Portée de la règle |
|---|---|---|
| Documents comptables et pièces justificatives | 10 ans selon l’Art. L123-22 du Code de commerce | Obligation portant sur les pièces comptables, pas sur l’ensemble du CRM |
| Double employeur du bulletin de paie ou bulletin remis sous forme électronique | 5 ans selon l’Art. L3243-4 du Code du travail | À distinguer des obligations de disponibilité du bulletin électronique pour le salarié |
| Mentions du registre unique du personnel | 5 ans à compter du départ du salarié ou stagiaire de l’établissement | Art. R1221-26 du Code du travail ; ne fixe pas la durée de tout le dossier RH |
| Écrit constatant un contrat électronique de consommation d’au moins 120 € | 10 ans dès la conclusion si l’exécution est immédiate ; sinon de la conclusion jusqu’à l’exécution, puis 10 ans | Art. L213-1, D213-1 et D213-2 du Code de la consommation |
| Livres, registres et pièces relevant du droit de contrôle fiscal | En principe 6 ans après la dernière opération inscrite ou l’établissement de la pièce | Art. L102 B(I) du LPF ; règles spéciales et obligations comptables à examiner séparément |
| Données de prospection commerciale de non-clients | Recommandation de 3 ans depuis la collecte ou le dernier contact venant du prospect | Référentiel CNIL applicable à son périmètre ; ce délai n’autorise pas à prospecter sans base légale |
Sources légales consultées : L123-22, L3243-4, R1221-26, L213-1, D213-1 et D213-2, L102 B, version applicable en septembre 2026.
Pour la dernière ligne, la CNIL explique le référentiel commercial. Il s’agit d’une recommandation à contextualiser. Le même document distingue la prospection d’anciens clients, pour laquelle le repère est la fin de la relation commerciale, puis trois ans.
Pourquoi le point de départ change tout
Prenons un exemple hypothétique : un contrat de consommation de 180 € est conclu en ligne le 12 mars, avec une prestation exécutée le 4 juin. Pour l’écrit contractuel relevant de l’Art. D213-2, la période court dès la conclusion, puis se prolonge pendant dix ans à compter de l’exécution. Compter dix ans uniquement depuis le paiement peut donc produire une mauvaise échéance.
Le registre du personnel utilise un autre événement : le départ de l’établissement. Un outil ne doit pas appliquer la date de création du salarié à toutes les catégories RH. Demandez au métier de valider le champ déclencheur avant de configurer une suppression automatique.
En prospection, un message sortant ne constitue pas à lui seul un contact émanant du prospect. Rapprochez le paramétrage de votre organisation de la prospection commerciale, notamment des oppositions déjà reçues.
Les chiffres que ce tableau n’étend pas à tous les usages
La durée des pièces de paie ne régit pas tout le dossier professionnel. Le délai fiscal ne permet pas de supprimer une pièce encore soumise à une autre obligation légale. Une durée de preuve contractuelle ne justifie pas de continuer les campagnes marketing.
Pour les cookies, les journaux de sécurité, les images vidéo, les données médicales ou les CV, il faut identifier le traitement exact et les textes ou recommandations correspondants. Reprendre une durée générique de « 13 mois », « six mois » ou « un mois » sans ce périmètre peut conduire à une mauvaise règle.
La prescription doit également être qualifiée : action envisagée, point de départ, interruptions ou suspensions éventuelles. Conserver une sélection de preuves pour un litige déterminé ne revient pas à maintenir toute une base en exploitation courante.
Transformer le tableau en règles de purge
Ajoutez à chaque ligne de votre registre des traitements le système concerné, le responsable de l’exécution et le sort final. Notre tableau détaillé des durées aide à approfondir les catégories ; aucune liste ne dispense de cette qualification.
Voici une séquence de mise en œuvre proposée :
- Sélectionner une catégorie et vérifier son périmètre légal.
- Identifier l’événement de départ dans l’application et traiter les dates manquantes.
- Séparer l’utilisation courante des pièces conservées uniquement pour une autre obligation.
- Tester la sélection sur un échantillon, y compris les dossiers faisant l’objet d’un gel justifié.
- Appliquer la règle aux copies et aux outils connectés, puis conserver une preuve proportionnée de l’exécution.
Prévoyez les restaurations de sauvegarde : une donnée supprimée ne doit pas retrouver durablement un usage courant par une restauration non contrôlée. Avec un prestataire, la clause de sous-traitance de l’Art. 28 doit correspondre aux instructions retenues.
Ce qu’il faut retenir
- Le document concerné et l’événement de départ comptent autant que le nombre d’années.
- Une obligation de conservation n’autorise pas tous les usages pendant toute sa durée.
- Les recommandations CNIL se distinguent des délais imposés par un texte.
- Vérifiez l’exécution des règles dans les outils et chez les prestataires.
FAQ
Le RGPD impose-t-il un délai général de trois ans ?
Non. Son Art. 5(1)(e) exige une conservation nécessaire aux finalités. Le repère de trois ans évoqué ici appartient aux recommandations de prospection commerciale, avec un périmètre déterminé.
Peut-on supprimer toutes les données RH cinq ans après un départ ?
Non : la ligne relative au registre unique du personnel ne couvre pas tout le dossier RH. Chaque document et chaque finalité appellent leur propre examen.
Une obligation de dix ans impose-t-elle de garder les données dans l’application commerciale ?
Pas nécessairement. Il faut assurer la conservation requise, avec les accès utiles, sans maintenir des usages devenus injustifiés. L’architecture retenue doit préserver les pièces et leurs conditions d’accès.
Recevez nos analyses pratiques de conformité dans la newsletter.
Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit du numérique et la protection des données. Il est le fondateur de Legiscope.