Conservation RGPD : tableau des durées et limites
Factures, paie, contrats en ligne, prospects : comparez les durées, leurs points de départ et leur portée avant de paramétrer la purge.
Un tableau de conservation sert à choisir une règle pour une donnée précise. Il devient trompeur lorsqu’un délai applicable à une facture est étendu à tout le compte client, ou qu’une recommandation de prospection est présentée comme une durée légale universelle.
Les repères ci-dessous distinguent obligations françaises et recommandations. Ils complètent notre méthode pour fixer une durée de conservation. Vérifiez le texte sectoriel et la finalité avant de les transposer dans un logiciel.
Tableau : six situations à qualifier
| Données ou documents concernés | Durée et point de départ | Portée de la règle |
|---|---|---|
| Documents comptables et pièces justificatives | 10 ans selon l’Art. L123-22 du Code de commerce | Obligation portant sur les pièces comptables, pas sur l’ensemble du CRM |
| Double employeur du bulletin de paie ou bulletin remis sous forme électronique | 5 ans selon l’Art. L3243-4 du Code du travail | À distinguer des obligations de disponibilité du bulletin électronique pour le salarié |
| Mentions du registre unique du personnel | 5 ans à compter du départ du salarié ou stagiaire de l’établissement | Art. R1221-26 du Code du travail ; ne fixe pas la durée de tout le dossier RH |
| Écrit constatant un contrat électronique de consommation d’au moins 120 € | 10 ans dès la conclusion si l’exécution est immédiate ; sinon de la conclusion jusqu’à l’exécution, puis 10 ans | Art. L213-1, D213-1 et D213-2 du Code de la consommation |
| Livres, registres et pièces relevant du droit de contrôle fiscal | En principe 6 ans après la dernière opération inscrite ou l’établissement de la pièce | Art. L102 B(I) du LPF ; règles spéciales et obligations comptables à examiner séparément |
| Données de prospection commerciale de non-clients | Recommandation de 3 ans depuis la collecte ou le dernier contact venant du prospect | Référentiel CNIL applicable à son périmètre ; ce délai n’autorise pas à prospecter sans base légale |
Sources légales consultées : L123-22, L3243-4, R1221-26, L213-1, D213-1 et D213-2, L102 B, version applicable en septembre 2026.
Pour la dernière ligne, la CNIL explique le référentiel commercial. Il s’agit d’une recommandation à contextualiser. Le même document distingue la prospection d’anciens clients, pour laquelle le repère est la fin de la relation commerciale, puis trois ans.
Pourquoi le point de départ change tout
Prenons un exemple hypothétique : un contrat de consommation de 180 € est conclu en ligne le 12 mars, avec une prestation exécutée le 4 juin. Pour l’écrit contractuel relevant de l’Art. D213-2, la période court dès la conclusion, puis se prolonge pendant dix ans à compter de l’exécution. Compter dix ans uniquement depuis le paiement peut donc produire une mauvaise échéance.
Le registre du personnel utilise un autre événement : le départ de l’établissement. Un outil ne doit pas appliquer la date de création du salarié à toutes les catégories RH. Demandez au métier de valider le champ déclencheur avant de configurer une suppression automatique.
En prospection, un message sortant ne constitue pas à lui seul un contact émanant du prospect. Rapprochez le paramétrage de votre organisation de la prospection commerciale, notamment des oppositions déjà reçues.
Les chiffres que ce tableau n’étend pas à tous les usages
La durée des pièces de paie ne régit pas tout le dossier professionnel. Le délai fiscal ne permet pas de supprimer une pièce encore soumise à une autre obligation légale. Une durée de preuve contractuelle ne justifie pas de continuer les campagnes marketing.
Pour les cookies, les journaux de sécurité, les images vidéo, les données médicales ou les CV, il faut identifier le traitement exact et les textes ou recommandations correspondants. Reprendre une durée générique de « 13 mois », « six mois » ou « un mois » sans ce périmètre peut conduire à une mauvaise règle.
La prescription doit également être qualifiée : action envisagée, point de départ, interruptions ou suspensions éventuelles. Conserver une sélection de preuves pour un litige déterminé ne revient pas à maintenir toute une base en exploitation courante.
Quatre durées que les équipes confondent souvent
Le tableau ci-dessus ne couvre pas les traitements les plus fréquents dans un système d’information. Quatre repères complémentaires, à qualifier selon votre contexte, reviennent régulièrement :
| Sujet | Repère | Nature |
|---|---|---|
| Traceurs (cookies) | 13 mois maximum pour la durée de vie du traceur ; 25 mois pour la conservation des informations collectées | Lignes directrices CNIL sur les traceurs, délibération n° 2020-091 du 17 septembre 2020 : recommandation, à ne pas lire comme une durée légale |
| Vidéosurveillance de locaux | En principe pas plus d’un mois ; quelques jours suffisent le plus souvent | Recommandation CNIL ; une procédure (litige, enquête) justifie d’extraire et conserver les seules images utiles |
| Candidatures non retenues | Deux ans au plus après le dernier contact, sauf accord du candidat pour une durée plus longue | Référentiel CNIL sur le recrutement : recommandation |
| Prescription civile et commerciale | Cinq ans en principe (Art. 2224 du Code civil ; Art. L110-4 du Code de commerce pour les obligations entre commerçants) | Texte légal, mais délai de prescription et non durée de conservation obligatoire |
La dernière ligne est la plus mal comprise. Un délai de prescription indique pendant combien de temps une action peut être engagée ; il n’oblige pas à conserver tous les échanges d’un client. Il peut en revanche justifier de conserver à part les pièces utiles à la preuve d’un litige raisonnablement prévisible, sous accès restreint. C’est l’application de l’Art. 6(1)(f) du RGPD (intérêt légitime) ou de l’Art. 17(3)(e) (constatation, exercice ou défense de droits en justice), à documenter dans votre analyse.
Pour les journaux techniques, ne confondez pas deux régimes : les intermédiaires techniques ont une obligation de conservation des données d’identification (Art. 6 de la loi n° 2004-575 du 21 juin 2004, LCEN, et son décret d’application), alors que la journalisation de vos propres applications relève d’un choix proportionné à la sécurité, au sens de l’Art. 32 du RGPD. Le même fichier de logs peut relever des deux ; nommez la finalité avant de fixer la durée.
Exemple hypothétique : une boutique en ligne
Une boutique fictive (SAS de 25 salariés) vend à des particuliers. Elle peut raisonner ainsi : les factures et pièces comptables sont archivées pour la durée comptable applicable ; le compte client inactif est supprimé ou anonymisé après une durée qu’elle justifie dans son registre ; les contrats électroniques d’au moins 120 € sont conservés selon l’Art. L213-1 du Code de la consommation ; les prospects non clients sont retirés trois ans après leur dernier contact ; les CV non retenus au plus tard deux ans après le dernier échange. Chaque durée a un propriétaire, un événement de départ et un système concerné. L’erreur fréquente serait d’appliquer « dix ans » à la base entière parce qu’une partie des pièces l’exige.
Sanctions : la conservation excessive est contrôlée
La limitation de la conservation relève du principe de l’Art. 5(1)(e) du RGPD, dont la violation peut être sanctionnée à hauteur de 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (Art. 83(5)(a)). La CNIL a régulièrement sanctionné des durées excessives ou l’absence de purge, notamment lorsque des données de clients ou de salariés inactifs restaient dans la base active. Avant de citer une décision à un comité, ouvrez le texte sur Légifrance et vérifiez le numéro de délibération, la date et le fondement retenu ; cette page ne reproduit pas de décision qu’elle n’a pas relue.
Transformer le tableau en règles de purge
Ajoutez à chaque ligne de votre registre des traitements le système concerné, le responsable de l’exécution et le sort final. Notre tableau détaillé des durées aide à approfondir les catégories ; aucune liste ne dispense de cette qualification.
Voici une séquence de mise en œuvre proposée :
- Sélectionner une catégorie et vérifier son périmètre légal.
- Identifier l’événement de départ dans l’application et traiter les dates manquantes.
- Séparer l’utilisation courante des pièces conservées uniquement pour une autre obligation.
- Tester la sélection sur un échantillon, y compris les dossiers faisant l’objet d’un gel justifié.
- Appliquer la règle aux copies et aux outils connectés, puis conserver une preuve proportionnée de l’exécution.
Prévoyez les restaurations de sauvegarde : une donnée supprimée ne doit pas retrouver durablement un usage courant par une restauration non contrôlée. Avec un prestataire, la clause de sous-traitance de l’Art. 28 doit correspondre aux instructions retenues.
Ce qu’il faut retenir
- Le document concerné et l’événement de départ comptent autant que le nombre d’années.
- Une obligation de conservation n’autorise pas tous les usages pendant toute sa durée.
- Les recommandations CNIL se distinguent des délais imposés par un texte.
- Les repères de cookies, vidéosurveillance et candidatures sont des recommandations CNIL ; la prescription est un délai d’action, pas une obligation de conserver.
- Vérifiez l’exécution des règles dans les outils et chez les prestataires.
FAQ
Le RGPD impose-t-il un délai général de trois ans ?
Non. Son Art. 5(1)(e) exige une conservation nécessaire aux finalités. Le repère de trois ans évoqué ici appartient aux recommandations de prospection commerciale, avec un périmètre déterminé.
Peut-on supprimer toutes les données RH cinq ans après un départ ?
Non : la ligne relative au registre unique du personnel ne couvre pas tout le dossier RH. Chaque document et chaque finalité appellent leur propre examen.
La prescription de cinq ans justifie-t-elle de tout garder cinq ans ?
Non. La prescription fixe le délai pour agir en justice. Elle peut justifier de conserver, sous accès restreint, les seules pièces nécessaires à la preuve d’un litige prévisible, mais pas de maintenir l’ensemble des données en usage courant.
Quelle durée pour les cookies et les données de mesure d’audience ?
La CNIL recommande 13 mois maximum pour la durée de vie des traceurs et 25 mois pour les informations collectées. Ces repères proviennent de ses lignes directrices et non d’un texte de loi.
Une obligation de dix ans impose-t-elle de garder les données dans l’application commerciale ?
Pas nécessairement. Il faut assurer la conservation requise, avec les accès utiles, sans maintenir des usages devenus injustifiés. L’architecture retenue doit préserver les pièces et leurs conditions d’accès.
Recevez nos analyses pratiques de conformité dans la newsletter.
Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit du numérique et la protection des données. Il est le fondateur de Legiscope.