Clients, prospects, salariés, candidats, fournisseurs… Toute entreprise collecte et utilise quotidiennement des données personnelles. Mais une question revient régulièrement : combien de temps faut-il conserver ces données ? Faut-il les supprimer au bout d’un an, de trois ans ou de dix ans ? La réponse dépend de la nature des données et, surtout, de la raison pour laquelle elles sont utilisées.
Le RGPD ne fixe pas une durée unique applicable à toutes les données personnelles. Il impose en revanche à chaque organisme de déterminer une durée de conservation cohérente et justifiée au regard de la finalité du traitement.
Alors, concrètement, comment déterminer la bonne durée de conservation pour votre entreprise ?
1. Commencez par identifier la finalité du traitement
Avant de chercher une durée, posez-vous une question simple : Pourquoi collectez-vous et utilisez-vous ces données ? C’est ce que le RGPD appelle la finalité du traitement.
Par exemple, les données d’un client peuvent être utilisées pour :
- gérer une commande ;
- assurer la livraison ;
- répondre à une demande ;
- gérer la relation commerciale ;
- établir une facture ;
- assurer un suivi après-vente.
La durée de conservation doit être liée à cet objectif.
Une donnée ne doit donc pas être conservée parce qu’elle pourrait être utile un jour, mais parce qu’elle est nécessaire à la réalisation d’une finalité précise. C’est le point de départ de toute réflexion sur la durée de conservation. La CNIL recommande ainsi d’identifier le traitement concerné et son objectif avant de déterminer la durée applicable.
2. Vérifiez si un texte impose déjà une durée
Dans certains cas, vous n’avez pas à déterminer vous-même la durée : la loi ou la réglementation prévoit déjà une durée de conservation. Ces règles peuvent notamment être prévues par :
- le Code du travail ;
- le Code de commerce ;
- le Code de la santé publique ;
- le Code de la sécurité intérieure ;
- ou encore une réglementation spécifique à votre secteur d’activité.
Par exemple, le Code du travail impose à l’employeur de conserver un double des bulletins de paie pendant cinq ans. À l’inverse, la réglementation relative à la vidéoprotection prévoit une durée maximale de conservation des images d’un mois, sauf procédure particulière.
Le bon réflexe : avant de fixer une durée, vérifiez toujours si une obligation légale ou réglementaire s’applique à votre activité ou au type de données concerné.
3. Consultez les recommandations de la CNIL et les règles de votre secteur
Lorsqu’aucune durée n’est directement imposée par la loi, d’autres sources peuvent vous aider à déterminer une durée pertinente. La CNIL met notamment à disposition des référentiels de durées de conservation pour certains secteurs et traitements.
Ces référentiels peuvent contenir :
- des durées imposées par des textes ;
- des durées recommandées par la CNIL ;
- des indications sur la manière de justifier et d’appliquer ces durées.
Les recommandations de la CNIL constituent un point de repère utile. Il est possible de retenir une autre durée, mais ce choix doit pouvoir être justifié et documenté.
Il est également important de vérifier s’il existe des règles propres à votre secteur d’activité, notamment des codes de conduite ou des réglementations professionnelles spécifiques.
4. Aucune durée n’est imposée : comment déterminer la durée de conservation ?
C’est la situation la plus fréquente.
Lorsqu’aucun texte ne fixe précisément la durée applicable, il appartient à l’entreprise de la déterminer. Pour cela, la question essentielle est :
Pendant combien de temps avons-nous réellement besoin de ces données pour atteindre notre objectif ?
Il convient alors d’évaluer les besoins opérationnels de l’entreprise.
Prenons un exemple: Les données d’un prospect
Votre entreprise récupère les coordonnées d’une personne intéressée par vos produits ou services. Vous pouvez avoir besoin de conserver ces informations pour assurer le suivi de votre relation commerciale et lui adresser des propositions adaptées. Mais si cette personne ne manifeste plus aucun intérêt pendant plusieurs années, la question se pose : est-il toujours nécessaire de conserver ses données pour cette même finalité ?
La CNIL prévoit notamment, pour certaines opérations de prospection commerciale, une durée pouvant aller jusqu’à trois ans à compter du dernier contact émanant du prospect. Le point de départ peut donc être « glissant » lorsqu’un nouveau contact intervient.
Cet exemple montre qu’une durée de conservation peut être exprimée de différentes manières :
- pendant une durée fixe ;
- à compter d’une date précise ;
- à compter d’un événement ;
- ou en fonction d’un critère déterminable.
Cet article pourrait aussi vous intéresser : Prospection B2C : guide pour un démarchage efficace et conforme au RGPD
5. Prenez également en compte vos obligations et les risques de contentieux
Même lorsqu’une donnée n’est plus nécessaire à la gestion courante d’une activité, certaines obligations peuvent justifier sa conservation pendant une durée supplémentaire.
Par exemple, l’entreprise peut devoir conserver certaines informations :
- pour respecter une obligation légale ;
- pour répondre à un contrôle ;
- pour respecter une obligation comptable ou fiscale ;
- ou pour disposer des éléments nécessaires en cas de litige.
Dans ce cas, il faut identifier précisément : Quelles données doivent être conservées ? Pourquoi ? Et pendant combien de temps ?
La durée retenue doit être liée à l’objectif précis qui justifie cette conservation. La CNIL invite notamment les organisations à prendre en compte les délais pendant lesquels elles peuvent avoir besoin de faire valoir ou de défendre leurs droits.
Une méthode simple en 4 questions
Pour déterminer la durée de conservation d’un traitement, vous pouvez suivre cette méthode :
1. Quelle est la finalité du traitement ?
Pourquoi avez-vous besoin de ces données ?
2. Existe-t-il une obligation légale ou réglementaire ?
Un texte impose-t-il une durée minimale ou maximale ?
3. Existe-t-il une recommandation applicable ?
La CNIL, votre secteur d’activité ou une réglementation professionnelle fournit-elle une durée ou un point de repère ?
4. Si aucune durée n’est prévue, combien de temps les données sont-elles réellement nécessaires ?
La durée doit être déterminée en fonction de vos besoins opérationnels et de la finalité poursuivie.
Important : chaque choix doit pouvoir être justifié.
Pensez à documenter votre décision
Déterminer une durée de conservation ne suffit pas : l’entreprise doit également être capable d’expliquer pourquoi cette durée a été retenue. La CNIL recommande notamment de faire figurer les durées de conservation dans la documentation de conformité, notamment dans le registre des activités de traitement.
Il peut également être utile de créer un tableau interne recensant, pour chaque traitement :
| Traitement | Finalité | Données concernées | Durée retenue | Justification |
| Gestion des clients | Gérer la relation commerciale | Coordonnée, commandes | À déterminer selon le contexte | Besoin opérationnel / obligations applicables |
| Prospection | Contacter des prospects | Coordonnées professionnelles | Selon les règles applicables | Références CNIL |
| Gestion RH | Gérer les salariés | Données administratives | Selon les obligations applicables | Code du travail |
Cette documentation permet non seulement de mieux organiser la gestion des données, mais également de démontrer que l’entreprise a effectué une véritable analyse de conformité.
Cet article pourrait aussi vous intéresser : Comment préparer votre entreprise à un contrôle de la CNIL ?
Les erreurs à éviter
Choisir la même durée pour toutes les données
Toutes les données n’ont pas la même finalité ni les mêmes obligations de conservation.
Conserver les données « au cas où »
Une éventuelle utilité future ne suffit pas à justifier une conservation indéfinie.
Copier une durée sans vérifier si elle est applicable à votre activité
Une durée recommandée pour un secteur ou un traitement ne s’applique pas automatiquement à toutes les entreprises.
Définir une durée sans prévoir comment l’appliquer
Une durée de conservation doit être accompagnée de mesures concrètes permettant d’assurer la suppression ou la gestion des données à l’échéance prévue. La CNIL souligne d’ailleurs que l’absence de mécanisme de purge fait partie des manquements fréquemment constatés.
À retenir
Il n’existe pas de durée de conservation universelle prévue par le RGPD. Pour déterminer la durée applicable, une entreprise doit suivre une démarche simple :
Finalité → Obligation légale → Recommandations applicables → Besoin réel → Documentation
En cas de doute, posez-vous toujours la question suivante : « Puis-je expliquer précisément pourquoi j’ai encore besoin de ces données et pourquoi je les conserve pendant cette durée ? »
Si la réponse est non, il est probablement nécessaire de réexaminer votre durée de conservation.
Déterminer la bonne durée, ce n’est pas conserver le moins possible à tout prix , c’est conserver les données aussi longtemps que nécessaire, et pas plus longtemps.
à 
