Durée de conservation des données RGPD : le tableau de référence

Le principe : une durée proportionnée à la finalité

Le RGPD ne fixe aucune durée universelle. Il pose un principe de limitation de la conservation : une donnée ne doit pas être gardée plus longtemps que nécessaire au regard de la finalité pour laquelle elle a été collectée. La durée découle donc de l'usage, pas d'un chiffre imposé par le règlement.

C'est au responsable de traitement, donc au dirigeant, de fixer chaque durée, de la justifier et de s'y tenir. La CNIL publie des référentiels et des recommandations qui servent de repères solides, mais la durée retenue doit toujours refléter votre usage réel des données.

Conserver une base « au cas où », sans échéance définie, reste l'une des non-conformités les plus fréquentes lors d'un contrôle, et l'une des plus simples à corriger. C'est aussi un point systématiquement vérifié dans la conformité RGPD de votre site web.

Base active, archivage, suppression : les trois temps d'une donnée

La CNIL distingue trois phases dans la vie d'une donnée. En base active, la donnée est utilisée au quotidien par les services concernés : c'est la phase la plus courte, calée sur la finalité (relation commerciale, prospection, recrutement).

Vient ensuite l'archivage intermédiaire. La donnée n'est plus utilisée couramment, mais elle est conservée pour répondre à une obligation légale ou à un besoin de preuve, par exemple en cas de contentieux ou de contrôle. L'accès doit alors être restreint aux seules personnes habilitées.

À l'échéance, la donnée est supprimée ou anonymisée de manière irréversible. Distinguer ces trois temps évite la confusion la plus courante : croire que la « durée d'utilisation » et la « durée légale d'archivage » sont identiques, alors que la seconde est souvent bien plus longue.

Le tableau de référence des durées usuelles

Les repères ci-dessous sont recommandés par la CNIL ou fixés par la loi. Ils restent indicatifs, à ajuster selon votre activité puis à documenter au cas par cas. Ils concernent la base active, sauf mention contraire.

Prospects non clients : 3 ans à compter du dernier contact (ouverture d'un e-mail, clic, demande d'information). Le compteur repart à chaque nouvelle interaction ; passé ce délai, vous pouvez solliciter un nouvel accord, à défaut la donnée est supprimée.

Clients : toute la durée de la relation contractuelle en base active, puis un archivage intermédiaire aligné sur les délais de prescription applicables, souvent 5 ans en matière commerciale ou civile. Candidats non retenus : 2 ans après le dernier contact selon la CNIL, sauf accord du candidat pour une conservation plus longue.

Logs et données de connexion : une conservation glissante de 6 mois à 1 an, recommandée par la CNIL. Documents comptables, sociaux et fiscaux : des durées légales spécifiques, détaillées plus bas. Pour ne rien oublier, appuyez-vous sur notre checklist RGPD de votre site.

Cookies et traceurs : des durées bien encadrées

Les traceurs suivent leurs propres règles. Le choix de l'internaute, consentement comme refus, se conserve environ 6 mois selon la bonne pratique recommandée par la CNIL : au-delà, il faut à nouveau lui demander son avis via le bandeau.

Pour la mesure d'audience, la CNIL recommande une durée de vie des traceurs limitée à 13 mois, sans prolongation automatique à chaque visite. Les informations collectées par leur intermédiaire ne doivent pas être conservées plus de 25 mois.

Ces durées font partie des points les plus visibles, et les plus contrôlés, sur un site web, car elles se vérifient directement depuis le navigateur. Un bandeau conforme et des durées de traceurs maîtrisées sont donc une priorité pratique.

Quand la loi impose la durée : comptabilité, paie, fiscalité

Certaines données ne relèvent pas d'une recommandation mais d'une obligation légale de conservation, qui prime alors sur la seule logique de finalité du RGPD. Ces durées s'exécutent en archivage intermédiaire, avec un accès restreint aux personnes habilitées.

Les principales : 10 ans pour les pièces comptables (factures, livres) au titre du Code de commerce, 6 ans pour les documents fiscaux, et 5 ans pour les bulletins de paie au titre du Code du travail. Lorsque le bulletin est dématérialisé, l'employeur doit en garantir la disponibilité pour le salarié pendant une durée bien plus longue (50 ans ou jusqu'à ses 75 ans).

Retenez le principe : quand une loi impose une durée minimale, vous la respectez ; quand la CNIL recommande une durée maximale, vous ne la dépassez pas sans justification. Entre les deux, c'est votre finalité qui fixe le curseur.

Documenter vos durées dans le registre des traitements

Une durée correcte mais non écrite ne vous protège pas. Pour chaque traitement, la durée de conservation doit être définie à l'avance, justifiée et consignée. Le support de cette traçabilité, c'est le registre des traitements.

Concrètement, chaque fiche de traitement mentionne la finalité, les catégories de données, les destinataires et la durée de conservation retenue, base active et archivage. C'est le premier document que la CNIL demande en cas de contrôle. Vous pouvez le bâtir avec notre générateur de registre des traitements.

Tenir ce registre à jour impose aussi une hygiène utile : revoir périodiquement chaque durée, purger ce qui est échu et repérer les bases orphelines que plus personne n'utilise.

À l'échéance : supprimer ou anonymiser

Arrivé au terme, deux options : la suppression pure et simple, ou l'anonymisation. Anonymiser signifie rendre la ré-identification impossible de façon irréversible ; les données ainsi traitées sortent du champ du RGPD et peuvent servir, par exemple, à des statistiques agrégées.

Attention à ne pas confondre anonymisation et simple pseudonymisation (remplacer un nom par un identifiant) : cette dernière reste soumise au RGPD. Mettre en place des purges automatiques évite l'accumulation silencieuse de données périmées.

Pour savoir où vous en êtes, un audit RGPD gratuit repère en quelques minutes les durées manquantes ou excessives sur votre site. Cet article a une visée informative et ne constitue pas un conseil juridique : en cas de doute, faites valider vos durées par un professionnel.