Durées de conservation : fixer et justifier chaque durée
Le RGPD interdit de garder les données plus longtemps que nécessaire, sans fixer lui-même de durées. Méthode pour les déterminer, cycle de vie des données et repères pour les traitements courants.
Publié le · 4 min de lecture
Combien de temps conserver le dossier d’un candidat non retenu, la fiche d’un prospect, un bulletin de paie ? Le RGPD ne donne pas de liste de durées. Il pose un principe, et c’est à chaque organisation de l’appliquer, traitement par traitement, puis de l’indiquer dans son registre.
Le principe : la limitation de la conservation
L’article 5.1.e du RGPD prévoit que les données sont conservées sous une forme permettant l’identification des personnes pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
Autrement dit, la durée découle de la finalité : une donnée collectée pour exécuter un contrat n’a plus de raison d’être utilisée une fois le contrat terminé et les obligations qui en découlent éteintes. Conserver « au cas où » n’est pas une finalité.
La durée de conservation doit être indiquée aux personnes concernées (articles 13 et 14) et, dans la mesure du possible, dans le registre (article 30).
Le cycle de vie d’une donnée
La CNIL distingue trois phases :
- La base active : les données sont utilisées au quotidien pour la finalité du traitement (gestion du contrat, suivi du client). Elles sont accessibles aux services qui en ont besoin.
- L’archivage intermédiaire : les données ne servent plus à la gestion courante, mais doivent être conservées pour respecter une obligation légale ou se prémunir contre un contentieux (prescription). Elles sont isolées, avec un accès restreint à quelques personnes habilitées.
- La suppression ou l’anonymisation : à l’issue de ces durées, les données sont effacées, ou rendues définitivement anonymes. Seuls certains documents présentant un intérêt historique, scientifique ou statistique peuvent être versés en archives définitives, dans un cadre strict.
Bien distinguer ces phases permet souvent de raccourcir fortement la durée en base active, sans méconnaître les obligations légales.
Comment fixer une durée : la méthode
Pour chaque catégorie de données d’un traitement, posez trois questions :
- Une loi impose-t-elle une durée ? C’est le cas, par exemple, des pièces comptables, conservées dix ans (article L123-22 du Code de commerce).
- Une prescription justifie-t-elle de garder une preuve ? Les actions personnelles ou mobilières se prescrivent par cinq ans (article 2224 du Code civil) : conserver les éléments d’un contrat pendant ce délai après sa fin permet de se défendre.
- À défaut, quel est le besoin opérationnel réel ? Les référentiels et recommandations de la CNIL donnent des repères pour de nombreux traitements.
Documentez le raisonnement : « durée du contrat, puis 5 ans en archivage intermédiaire (prescription de droit commun) » est une durée justifiée ; « 10 ans » sans explication ne l’est pas.
Repères pour les traitements courants
Ces repères sont issus des textes et des référentiels publiés par la CNIL ; ils doivent être adaptés à la situation de chaque organisation.
| Traitement | Repère |
|---|---|
| Prospects (prospection commerciale) | 3 ans à compter du dernier contact émanant du prospect |
| Clients | durée de la relation commerciale ; puis archivage pour la preuve et les obligations comptables |
| Factures et pièces comptables | 10 ans (Code de commerce, article L123-22) |
| Candidats non retenus | 2 ans après le dernier contact, sauf opposition du candidat |
| Doubles des bulletins de paie | 5 ans pour l’employeur (Code du travail, article L3243-4) |
| Vidéoprotection d’un local professionnel | quelques jours, un mois au plus en principe, sauf procédure en cours |
| Journaux de connexion (traçabilité) | de 6 mois à 1 an, selon les recommandations de la CNIL |
Mettre en œuvre la suppression
Une durée n’a de sens que si elle est appliquée. Prévoyez :
- une purge automatique dans les logiciels qui le permettent ;
- à défaut, une revue périodique (annuelle, par exemple) avec une liste des traitements à purger ;
- la suppression aussi dans les copies : exports, messageries, sauvegardes (qui sont effacées par rotation) ;
- l’anonymisation des données que l’on souhaite garder à des fins statistiques.
Les erreurs fréquentes
- Aucune durée fixée, ou une durée « illimitée » : c’est un manquement en soi.
- Une seule durée pour tout le traitement, alors que les catégories de données n’ont pas les mêmes besoins (le dossier d’un salarié et ses données de badge n’ont pas la même durée).
- Des données en base active pendant toute la durée légale, au lieu d’être archivées avec un accès restreint.
- Des durées annoncées mais jamais appliquées, ce que révèle immédiatement un contrôle.
Sources
- Règlement (UE) 2016/679 (RGPD), articles 5, 13, 14 et 30, EUR-Lex.
- Code de commerce, article L123-22 ; Code civil, article 2224 ; Code du travail, article L3243-4, legifrance.gouv.fr.
- CNIL, guide « Les durées de conservation » et référentiels sectoriels, cnil.fr.
- durée de conservation
- archivage
- article 5
- référentiels CNIL
