Durée de conservation des données : repères et méthode RGPD

Le principe de conservation limitée imposé par le RGPD

La règle posée par le RGPD tient en une phrase. Les données doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Elle figure à l'article 5 du règlement, sous le nom de principe de conservation limitée. Garder un fichier « au cas où » ? Ce n'est pas un motif recevable.

Clients, prospects, candidats, abonnés à la newsletter, comptes créés sur votre site : aucun fichier n'y échappe. Pas même les données qui dorment dans une vieille base de données que plus personne n'ouvre. Oubliée ou non, une donnée reste sous votre responsabilité.

Une durée qui dépend de la finalité du traitement

Inutile de chercher une durée universelle : elle n'existe pas. Tout découle de la finalité du traitement (autrement dit, la raison pour laquelle vous collectez la donnée). Prenez une adresse email. Recueillie pour livrer une commande, elle n'a pas la même durée de vie qu'inscrite à une lettre d'information. Revenez toujours à cette question : de quoi ai-je réellement besoin, et jusqu'à quand ?

Qui décide de la durée, et qui doit la justifier

La durée, c'est le responsable de traitement qui la fixe. Dans une TPE ou une PME, il s'agit en général de l'entreprise elle-même, représentée par son dirigeant. Et votre agence web, votre éditeur de logiciel, votre hébergeur ? Ils agissent comme sous-traitants et appliquent vos consignes. Lors d'un contrôle, la justification vous revient, durée par durée.

Les trois étapes du cycle de vie d'une donnée

Pour la CNIL, une donnée vit en trois temps. Retenir ce schéma vous évite une erreur fréquente : croire qu'il faut tout effacer dès la fin du contrat. En réalité, une partie des données transite d'abord par une phase d'archivage, et n'est supprimée qu'ensuite.

La base active

Place à l'usage courant. Suivi d'une commande, échanges avec un client, relance d'un devis : les données servent au quotidien. Les équipes qui en ont besoin y accèdent dans le CRM ou le back-office. Une fois la finalité atteinte, la phase s'arrête.

L'archivage intermédiaire

L'objectif est atteint, mais certaines données doivent rester. Soit une obligation légale l'exige, soit elles pourront servir de preuve en cas de contentieux. On parle alors d'archivage intermédiaire. Isolées de la base active, ces données ne sont consultables que par quelques personnes habilitées (le service comptable ou juridique, par exemple). Restreindre l'accès n'a rien de facultatif.

La suppression définitive ou l'anonymisation

Vient ensuite la suppression définitive. Autre voie possible : l'anonymisation, à condition que personne ne puisse plus être identifié, même en croisant des informations. Masquer ou pseudonymiser ne suffit pas. Dans ce cas, la donnée reste personnelle.

Tableau de durées : les repères courants pour une PME

Voici les repères qui servent le plus à une entreprise qui vend en ligne ou récolte des contacts via son site. Ils reposent sur des textes de loi ou sur les recommandations de la CNIL. Un conseil : assurez-vous qu'aucune règle propre à votre secteur ne vient s'y ajouter.

Clients et prospects

• Clients : la durée de la relation commerciale, puis archivage des éléments utiles comme preuve ou soumis à une obligation légale.
• Prospects : trois ans à compter du dernier contact émanant du prospect, recommande la CNIL (une demande de devis, un clic dans un email…).
• Clients devenus inactifs : en prospection, le même délai de trois ans s'applique, calculé cette fois depuis la fin de la relation commerciale.
• Liste d'opposition : on garde les coordonnées de la personne qui refuse la prospection pour respecter ce refus, surtout pas pour la relancer.

Pour un prospect inactif, oubliez l'idée d'un compte à rebours figé. Chaque nouveau contact de sa part relance le délai. Avant l'échéance, rien ne vous empêche de lui demander s'il veut rester inscrit. Pas de réponse positive ? Ses données sortent du fichier. Pour prouver le consentement, une inscription en double opt-in vous simplifie aussi la tâche.

Documents comptables et commerciaux

Dix ans : c'est la durée que le Code de commerce impose pour les pièces comptables, factures comprises. Les contrats, eux, peuvent être conservés le temps de la prescription applicable, souvent cinq ans en matière civile ou commerciale. Pour les paiements par carte, la CNIL admet un archivage limité à la période des contestations possibles, autour de treize mois après le débit. Hors abonnement ou accord exprès du client, le numéro de carte quitte votre base active une fois la transaction terminée.

Recrutement et ressources humaines

Vous n'avez pas retenu un candidat ? La CNIL recommande de ne pas conserver son dossier plus de deux ans après le dernier contact, sauf opposition de sa part. Pour les salariés, les données RH restent pendant toute la durée du contrat. Après, certaines pièces relèvent d'une obligation légale : selon le Code du travail, le double des bulletins de paie se garde cinq ans. Et les CV arrivés par le formulaire de votre site suivent exactement les mêmes règles.

Données techniques du site

• Cookies et traceurs : treize mois au maximum d'après la CNIL, à régler depuis votre bandeau cookies.
• Choix de consentement : à garder pour être en mesure de le prouver, en reposant la question à intervalle raisonnable.
• Journaux de connexion : pour les logs serveur à vocation de sécurité, la CNIL préconise en général six mois à un an.
• Messages du formulaire de contact : le temps de traiter la demande ; ensuite, règle prospect ou règle client selon la suite donnée.

Secteurs encadrés et référentiels sectoriels

Certains métiers obéissent à des règles plus strictes. Pour la santé, la banque, l'assurance ou le logement social, la CNIL a publié des référentiels sectoriels avec des durées précises par type de fichier. Votre activité touche l'un de ces domaines ? Alors ces référentiels l'emportent sur les repères généraux de ce guide.

Fixer vos durées de conservation en cinq étapes

Pas besoin d'être une grande entreprise pour s'y mettre. Dans une PME, une demi-journée bien menée couvre souvent l'essentiel. Voici l'ordre que je recommande.

• Listez vos fichiers : CRM, boutique en ligne, outil d'emailing, tableurs, boîte mail, formulaires du site, sauvegardes.
• Pour chacun, résumez la finalité en une phrase simple, du type « gérer les commandes » ou « envoyer la newsletter ».
• Cherchez les durées applicables : un texte de loi d'abord, ensuite les recommandations de la CNIL, enfin votre propre besoin, justifié.
• Choisissez le point de départ de chaque durée : date de commande, fin de contrat, dernier contact, désinscription.
• Consignez le tout dans votre registre des traitements, puis programmez la purge dans vos outils.

Tout converge vers le registre. Pour chaque traitement, il indique la durée de conservation ou, à défaut, les critères qui permettent de la déterminer. C'est aussi le meilleur endroit pour tenir votre tableau de durées à jour. Reportez enfin cette durée dans votre politique de confidentialité, puisque les personnes concernées doivent en être informées.

Automatiser plutôt que compter sur sa mémoire

Une règle écrite qu'on n'applique jamais ne protège personne. D'où l'intérêt d'automatiser la purge : tâche planifiée sur le serveur, règle de suppression dans l'outil d'emailing, archivage programmé dans le CRM. Vous êtes sur WordPress ? Pensez à nettoyer la base de données, où s'entassent souvent de vieux messages de formulaire. Sur chaque création de site internet que nous menons, ces purges sont prévues dès la conception. Chez RankerSquare, comptez dès 19,90 € par mois en abonnement pour un site vitrine sur-mesure ; les outils plus complexes se font sur devis.

Ce qui fait varier la durée, et les pièges à éviter

Deux entreprises du même secteur peuvent retenir des durées différentes et avoir raison toutes les deux. Usage réel, contrats, risque de litige : tout entre en jeu. L'essentiel ? Être capable d'expliquer votre choix.

Les facteurs qui déplacent la durée

• La finalité exacte : vendre, prospecter, recruter, sécuriser le site.
• Une éventuelle obligation légale de conservation, qu'elle soit fiscale, comptable ou sociale.
• Le risque de contentieux, avec les délais de prescription qui l'accompagnent.
• Le point de départ retenu, qui peut repousser la fin de plusieurs années.
• Votre secteur d'activité et, le cas échéant, ses référentiels sectoriels.

Les erreurs les plus fréquentes

• Conserver l'intégralité du fichier client pendant dix ans, sous prétexte que les factures doivent l'être.
• Oublier sauvegardes, exports Excel et boîtes mail, qui contiennent pourtant les mêmes données.
• Ne rien prévoir côté sous-traitants : outil d'emailing, CRM en ligne, prestataire de paiement.
• Confondre limitation et effacement (le droit à la limitation gèle une donnée, il ne la supprime pas).
• Afficher une durée dans la politique de confidentialité sans la faire appliquer par les outils.

Questions fréquentes