Durée de conservation des données : Que dit le RGPD ?

La durée de conservation des données personnelles ne peut pas être illimitée. Dans le cadre du RGPD, elle doit être définie en fonction de la finalité du traitement, puis les données doivent être supprimées ou anonymisées lorsque cette durée arrive à son terme.

Voici l’idée en une vue simple :

• Pas de durée par défaut : chaque traitement a sa propre durée.
• La finalité décide du délai : contrat, prospection, comptabilité, sécurité, RH, etc.
• 3 étapes à prévoir : base active → archivage intermédiaire → suppression ou anonymisation.
• Vous devez pouvoir prouver votre démarche de conformité : registre, politique de confidentialité, traces de purge.
• Des repères concrets existent : par exemple 3 ans pour la prospection après le dernier contact actif, et souvent 30 jours pour la vidéosurveillance.
• Le risque est réel : en 2021, un assureur a été sanctionné à hauteur de 1,75 million d’euros pour conservation excessive. Face à de tels enjeux, bénéficier d’une assistance RGPD permet de sécuriser ses pratiques en urgence.

En clair, vous ne gardez pas une donnée “au cas où”. Vous la gardez tant qu’elle sert, puis vous limitez l’accès si une loi ou un risque de litige impose de la conserver encore, et enfin vous l’effacez ou vous l’anonymisez de façon irréversible.

Si il faut résumer en une phrase : le RGPD vous demande de garder les données personnelles le temps juste, pas plus.

Ce que le RGPD exige en matière de durée de conservation

Le RGPD ne fixe pas de délai unique. La durée de conservation dépend de la finalité du traitement, et c’est au responsable de traitement de pouvoir la justifier. Dit simplement : on ne part pas d’une durée “par défaut”, on part de l’usage des données.

La limitation de la conservation comme principe juridique

Garder des données sans finalité claire va à l’encontre du RGPD. La CNIL attend que la durée de conservation soit prévue dès la conception du traitement.

Pourquoi la finalité du traitement détermine la durée de conservation

Une même donnée peut être gardée plus ou moins longtemps selon l’usage qui en est fait : contrat, prospection, comptabilité ou sécurité. Pour une adresse e-mail, par exemple, la durée ne sera pas la même selon qu’elle sert à gérer un client, envoyer des offres commerciales ou sécuriser un accès.

C’est là que tout se joue : la durée doit être rattachée à une finalité précise, pas à une habitude interne ni à un simple “au cas où”.

Chaque traitement inscrit au registre doit indiquer sa durée de conservation. Et cette durée doit être fixée avant toute collecte.

Il faut ensuite traduire ce principe en durées concrètes, traitement par traitement.

sbb-itb-9879cb5

Comment fixer la bonne durée de conservation ?

La durée de conservation se fixe avant la collecte, traitement par traitement. L’idée est simple : partir de la finalité, de l’usage concret des données et des règles prévues par la loi. S’il n’existe pas de délai imposé, mieux vaut choisir une durée proportionnée et la noter dans le registre des traitements.

Le bon point de départ, c’est l’usage réel du traitement. En clair : à quoi servent ces données au quotidien, et pendant combien de temps servent-elles encore ?

Les critères à examiner avant de fixer une durée de conservation

Avant d’arrêter un délai, regardez surtout ces points :

• Utilité réelle : à quelle fréquence les équipes consultent-elles ces données ?
• Obligations légales : quelles durées imposent le droit commercial, social ou fiscal ?
• Délais de prescription : la conservation doit-elle couvrir un risque de litige ?
• Sensibilité des données : quel serait l’impact d’une fuite ou d’un usage abusif ?

Deux repères parlent d’eux-mêmes : la prospection commerciale se conserve souvent 3 ans après le dernier contact actif ; la vidéosurveillance est supprimée sous 30 jours, sauf procédure en cours.

Tableau : base active, archivage intermédiaire et suppression ou anonymisation

Une fois ces critères posés, il faut répartir les données entre base active, archivage intermédiaire et suppression ou anonymisation.

Le tableau ci-dessous résume ces trois phases et la logique à suivre.

En pratique, cette séparation évite de tout garder “au cas où”. C’est souvent là que ça se joue : un accompagnement RGPD permet d’y voir plus clair : une donnée peut être utile pendant la vie du contrat, puis n’avoir sa place qu’en archive à accès limité, avant d’être supprimée ou anonymisée.

Durée de conservation : comprendre l’archivage intermédiaire et savoir quand l’appliquer

Quand une donnée ne sert plus au quotidien, elle ne doit pas rester dans la base active par simple habitude. Pour autant, elle n’est pas toujours supprimée tout de suite. C’est précisément le rôle de l’archivage intermédiaire : une étape à part, encadrée, qui ne prolonge pas automatiquement la durée de conservation courante.

« L’archivage intermédiaire n’est pas un fourre-tout où l’on garde tout « au cas où ». Il a une durée, justifiée par une obligation ou un délai de prescription précis. » – Opt-on

Les conditions pour sortir une donnée de la base active

Le passage en archivage intermédiaire intervient quand la finalité opérationnelle de départ est remplie, mais qu’une autre règle impose de garder la donnée plus longtemps. Dit simplement : l’usage métier s’arrête, mais une obligation légale ou probatoire prend le relais.

Prenons un cas simple. Un contrat client arrive à son terme. Les données liées à la gestion courante n’ont plus leur place dans la base active. En revanche, les factures associées doivent être conservées 10 ans au titre du Code de commerce français.

Même logique côté RH. Les données d’un salarié dont le contrat est rompu peuvent passer en archivage intermédiaire pendant 5 ans pour couvrir la prescription prud’homale.

Le point à retenir est simple : on ne bascule pas des données en archivage intermédiaire pour se donner du temps. Sans base légale claire ou besoin probatoire précis, cette pratique n’est pas permise.

Comment encadrer les accès pendant la durée de conservation des données

L’archivage intermédiaire suppose une vraie séparation avec la base de production. Les données archivées doivent être stockées dans un espace isolé, sur le plan logique ou physique. L’idée est claire : elles ne doivent plus rester à portée de main des équipes qui les utilisent au jour le jour, comme le marketing ou les commerciaux.

L’accès doit rester limité à des personnes expressément habilitées, et seulement pour un besoin ponctuel identifié. En pratique, cela peut concerner le service juridique, le DPO ou les ressources humaines.

Chaque consultation doit aussi laisser une trace. Il faut pouvoir retrouver :

• l’identité de la personne ayant accédé aux données ;
• la date de l’accès ;
• le motif de la consultation.

Ce niveau de contrôle évite qu’un archive serve de base active déguisée.

Fin de la durée de conservation : quand supprimer, anonymiser et documenter les données ?

Fin de conservation : suppression ou anonymisation

Quand l’archivage intermédiaire n’a plus de base légale, on arrive à la dernière étape : supprimer ou anonymiser les données. À la fin de la dernière base légale, supprimez les données ou anonymisez-les de façon irréversible.

La suppression efface les données de façon définitive, y compris dans les sauvegardes, selon leur cycle de purge. L’anonymisation, elle, doit être irréversible : toute réidentification doit devenir impossible. Une donnée réellement anonymisée ne relève plus du RGPD et peut donc être conservée sans limite de durée pour des fins statistiques ou historiques.

Il faut bien la distinguer de la pseudonymisation. Masquer un identifiant ne suffit pas. Si une réidentification reste possible, la donnée reste une donnée personnelle et demeure soumise au RGPD.

Garder des données « au cas où », sans base légale ni durée fixée, fait partie des motifs de sanction les plus classiques.

Politique de conservation, registre et obligations de transparence

La fin de conservation ne doit pas seulement être appliquée. Il faut aussi pouvoir la prouver. Chaque traitement inscrit dans le registre des activités de traitement prévu par l’article 30 du RGPD doit indiquer une durée de conservation précise ou, à défaut, les critères qui servent à la déterminer.

Les personnes concernées doivent aussi recevoir cette information. Les articles 13 et 14 imposent de faire figurer les durées dans la politique de confidentialité. Et attention au décalage : les durées mentionnées dans le registre, la politique de confidentialité et les contrats conclus avec les sous-traitants doivent rester cohérentes et alignées.

En pratique, gardez une traçabilité des purges : date, périmètre et méthode de suppression. Ce journal sert de preuve en cas de contrôle.

Points clés à retenir

• Pas de conservation indéfinie : chaque durée doit être justifiée par une finalité ou une obligation précise.
• Fin de finalité → fin de base légale → suppression ou anonymisation irréversible.
• Documenter de façon systématique : registre, politique interne, mentions dans les avis de confidentialité.
• Traçabilité des purges : conservez un journal daté avec la date, le périmètre et la méthode pour montrer la conformité lors d’un audit CNIL.

FAQs

Comment prouver la durée de conservation ?

Pour prouver la conformité des durées de conservation, consignez-les dans le registre des activités de traitement. Ajoutez, pour chaque durée, sa justification : base légale, Code du commerce, Code du travail ou référentiels de la CNIL.

Il ne suffit pas d’écrire une règle sur le papier. Gardez aussi des preuves montrant que vos pratiques suivent bien cette politique : purges, anonymisations ou accès restreints aux archives.

Même logique pour les mentions d’information : elles doivent annoncer les durées réellement appliquées, pas des durées théoriques.

Que faire des données dans les sauvegardes ?

Les données stockées dans les sauvegardes doivent, elles aussi, être traitées dans le respect du RGPD. La purge ne peut donc pas s’arrêter à la base active. Elle doit aussi couvrir les copies de secours.

Concrètement, il faut documenter le cycle de rotation des sauvegardes ainsi que les procédures d’écrasement automatique. C’est ce cadre qui permet d’éviter les zones grises : une donnée supprimée en production ne doit pas continuer à dormir dans un ancien backup pendant des mois.

Si les sauvegardes sont chiffrées, la destruction sécurisée des clés peut être considérée comme une suppression effective. Encore faut-il que ce point soit prévu noir sur blanc dans vos consignes.

Vos instructions techniques doivent aussi donner à l’équipe informatique des règles claires pour appliquer ces purges sur l’ensemble des systèmes, pas seulement sur une partie du SI.

Quelle différence entre anonymisation et pseudonymisation ?

La pseudonymisation masque les identifiants directs. Mais avec un moyen technique, il reste possible de retrouver la personne. En clair, ces données restent des données personnelles et demeurent soumises au RGPD.

À l’inverse, l’anonymisation irréversible empêche de façon durable toute réidentification. À partir de là, les données ne sont plus considérées comme personnelles et sortent du champ du RGPD.