Combien de temps peut-on conserver des données personnelles ?

Le principe : pas de conservation illimitée

L'article 5 du RGPD impose que les données soient conservées sous une forme permettant l'identification des personnes pendant une durée n'excédant pas celle nécessaire au regard des finalités. Le règlement ne fixe aucune durée de conservation chiffrée : c'est au responsable de la déterminer, traitement par traitement, en tenant compte de la finalité, des obligations légales qui imposent de garder certaines pièces et des délais de prescription. Cette durée doit figurer dans le registre et dans l'information des personnes. Conserver « au cas où » n'est pas une justification, et la CNIL sanctionne régulièrement des bases de données jamais purgées.

Les trois phases du cycle de vie

La CNIL recommande de raisonner en trois temps. Les données sont d'abord en base active, accessibles aux services opérationnels pour l'usage courant. Elles peuvent ensuite être placées en archivage intermédiaire, avec un accès restreint à quelques personnes habilitées, lorsqu'elles ne servent plus au quotidien mais doivent être conservées pour respecter une obligation légale ou se défendre en cas de litige. Enfin, elles sont supprimées ou anonymisées, sauf rares cas d'archivage définitif dans l'intérêt public. Le guide pratique de la CNIL sur les durées de conservation détaille cette logique.

Les repères les plus utiles

Le tableau ci-dessous rassemble des durées couramment retenues, issues de la loi ou des recommandations et référentiels de la CNIL. Elles sont indicatives : une situation particulière (contentieux en cours, règle sectorielle, convention collective) peut justifier une autre durée, qui doit alors être documentée.

Le cas des clients inactifs

Un client qui n'a plus passé commande depuis longtemps peut continuer à recevoir des offres pendant un certain temps : la CNIL considère que la relation commerciale prend fin après une période d'inactivité, et retient en général un délai de trois ans à compter de la fin de la relation pour les actions de prospection. Au-delà, il faut soit obtenir un nouvel accord, soit supprimer les données qui ne sont plus nécessaires, en ne gardant que ce que la comptabilité ou la garantie imposent.

Mettre en place la purge

Fixer des durées ne suffit pas, il faut les appliquer. Les logiciels récents permettent souvent de programmer des suppressions automatiques ; à défaut, une revue planifiée (par exemple chaque trimestre) permet de supprimer manuellement les données échues. Les sauvegardes posent une difficulté particulière : on ne peut pas toujours y effacer une donnée isolément, mais les données supprimées de la base active disparaissent à la rotation des sauvegardes, qui doit elle-même avoir une durée limitée. La suppression de papier passe par un destructeur ou un prestataire de destruction sécurisée.

Anonymiser plutôt que supprimer

Lorsqu'une organisation souhaite conserver des statistiques après la fin de la durée de conservation (évolution des ventes, taux de réussite d'une formation), elle peut anonymiser les données plutôt que de les supprimer. L'anonymisation doit être réelle, c'est-à-dire irréversible ; une simple suppression du nom laisse souvent la personne identifiable. Les critères sont rappelés dans le guide des données personnelles.

Durées et droit à l'effacement

La fin de la durée de conservation entraîne la suppression sans que la personne ait à le demander. Avant ce terme, la personne peut demander l'effacement de ses données dans les conditions de l'article 17, par exemple si elles ne sont plus nécessaires ou si elle retire son consentement ; l'organisme peut alors refuser seulement s'il doit les conserver pour une obligation légale ou la défense de ses droits. Le guide du droit à l'effacement explique ces situations.

Les durées fixées par la loi

De nombreuses durées découlent de textes législatifs ou réglementaires. Le Code de commerce impose de conserver les livres et pièces comptables pendant dix ans. Le livre des procédures fiscales permet à l'administration de contrôler les comptes pendant six ans pour certains impôts, ce qui justifie de conserver les documents correspondants. Le Code du travail impose de conserver le double des bulletins de paie pendant cinq ans et les documents relatifs aux horaires pendant un an. Les délais de prescription, qui déterminent la période pendant laquelle une action en justice peut être engagée, justifient aussi des durées d'archivage : cinq ans en matière civile et commerciale, deux ans pour certaines actions des consommateurs, trois ans pour les actions relatives aux salaires. Ces durées constituent des maximums pour l'archivage, pas des obligations de conserver les données en base active.

Les référentiels de la CNIL

En l'absence de texte, la CNIL a publié des référentiels qui fixent des durées recommandées pour les traitements courants. Le référentiel relatif à la gestion commerciale prévoit ainsi la conservation des données des prospects pendant trois ans à compter de la collecte ou du dernier contact émanant du prospect, et celle des clients pendant la durée de la relation commerciale, prolongée de trois ans pour la prospection. Le référentiel relatif à la gestion du personnel encadre la conservation des données des salariés et des candidats, ces dernières étant conservées au plus deux ans après le dernier contact avec l'accord du candidat. La CNIL a aussi publié un guide pratique des durées de conservation qui récapitule les principales durées par catégorie de traitement. Ces référentiels ne sont pas contraignants, mais un organisme qui s'en écarte doit pouvoir le justifier.

Le cas des cookies et des journaux

Les traceurs ont leurs propres repères. La CNIL recommande une durée de vie maximale de treize mois pour les cookies soumis à consentement et une conservation des informations collectées par ces traceurs pendant vingt-cinq mois au maximum. Le choix de l'utilisateur, acceptation ou refus, doit être conservé pendant six mois, au terme desquels il peut être sollicité à nouveau. Pour les journaux de connexion des systèmes informatiques, la recommandation de 2021 sur la journalisation préconise une durée de six mois à un an. Les opérateurs de communications électroniques et les hébergeurs sont soumis à des obligations spécifiques de conservation des données de connexion, fixées par le Code des postes et des communications électroniques et la loi pour la confiance dans l'économie numérique.

Supprimer, archiver, anonymiser : bien choisir

Au terme de la durée d'utilisation, trois options s'offrent au responsable. La suppression est la solution la plus simple et la plus sûre lorsqu'aucune obligation ne justifie de conserver les données. L'archivage intermédiaire consiste à extraire les données de la base active pour les conserver dans un espace séparé, accessible à un nombre restreint de personnes, pendant la durée d'une obligation légale ou d'un délai de prescription. L'anonymisation permet de conserver des données à des fins statistiques sans contrainte de durée, à condition qu'elle soit réelle et irréversible. L'archivage définitif, enfin, concerne les données présentant un intérêt historique, scientifique ou statistique, notamment pour les archives publiques, selon les règles du Code du patrimoine.

Les durées pour les ressources humaines

Les données des salariés obéissent à des durées variées selon leur nature. Le dossier administratif du salarié est conservé pendant la durée du contrat, puis archivé pendant les délais de prescription applicables, généralement cinq ans après le départ pour la plupart des documents. Les bulletins de paie sont conservés cinq ans par l'employeur, alors que le salarié est invité à les garder sans limitation de durée. Les données relatives aux horaires sont conservées un an. Les entretiens annuels peuvent être conservés pendant la durée de la relation de travail, avec un accès limité. Les sanctions disciplinaires ne peuvent plus être invoquées au-delà de trois ans, en application de l'article L. 1332-5 du Code du travail. Les images de vidéosurveillance sont conservées quelques jours, et au maximum un mois. Les données de badgeuse servant au contrôle des horaires sont conservées cinq ans lorsqu'elles servent au calcul de la paie, et trois mois lorsqu'elles servent seulement au contrôle d'accès.

Les durées dans le secteur de la santé

Le dossier médical d'un patient est conservé pendant vingt ans à compter de la date de son dernier séjour ou de sa dernière consultation externe dans un établissement de santé, en application de l'article R. 1112-7 du Code de la santé publique. Pour les mineurs, la durée est prolongée si nécessaire jusqu'au vingt-huitième anniversaire. Pour les patients décédés, le dossier est conservé dix ans à compter du décès. Les professionnels libéraux s'inspirent généralement de ces durées. Les données de santé traitées à des fins de recherche obéissent aux durées fixées par le protocole et les méthodologies de référence de la CNIL.

Le cas des clients inactifs

La question du client inactif se pose dans tous les commerces. Un client qui n'a passé aucune commande depuis plusieurs années peut-il encore recevoir des offres ? La CNIL considère qu'au terme d'un délai de trois ans à compter de la fin de la relation commerciale, par exemple la date du dernier achat, les données ne peuvent plus être utilisées à des fins de prospection, sauf si le client a manifesté son intérêt entre-temps, par exemple en cliquant sur un lien d'un courriel ou en se connectant à son compte. Avant ce terme, il est possible de lui demander s'il souhaite continuer à recevoir des sollicitations ; en l'absence de réponse positive, ses données doivent être supprimées ou archivées. Les données nécessaires à la gestion des garanties ou des litiges peuvent en revanche être archivées pendant les délais légaux.

Les comptes en ligne inactifs

Les comptes utilisateurs d'un site ou d'une application posent une question voisine. Un compte jamais utilisé depuis des années expose inutilement des données, d'autant que les mots de passe peuvent avoir été compromis ailleurs. La CNIL recommande de définir une durée d'inactivité au terme de laquelle le compte est supprimé, après avoir prévenu l'utilisateur et lui avoir laissé la possibilité de le réactiver. Deux ans d'inactivité constituent un repère fréquemment retenu. Cette pratique est aussi un argument de sécurité : moins de comptes dormants signifie moins de cibles pour les attaques par réutilisation de mots de passe.

Durée de conservation et sauvegardes

Les sauvegardes contiennent des copies des données, qui ne disparaissent pas au moment où la donnée est supprimée de la base active. La CNIL admet que les données supprimées puissent subsister dans les sauvegardes pendant leur durée de rotation normale, à condition que cette durée soit limitée, que les sauvegardes soient sécurisées et que les données ne soient pas restaurées et réutilisées en cas de restauration. Il est utile de prévoir une procédure qui, en cas de restauration, réapplique les suppressions intervenues depuis la sauvegarde, pour éviter de faire réapparaître des données effacées à la demande d'une personne.

Documenter et prouver les suppressions

Le responsable doit pouvoir démontrer qu'il applique ses durées de conservation. Une politique de conservation écrite, qui reprend les durées du registre, est un premier élément. La traçabilité des purges, par un journal indiquant la date, le périmètre et le volume des données supprimées, constitue une preuve plus solide. Pour les archives papier, un procès-verbal de destruction établi par le prestataire spécialisé remplit le même rôle. Lors d'un contrôle, la CNIL vérifie fréquemment l'ancienneté des données présentes dans les bases : la découverte de fiches clients de plus de dix ans, alors que la politique affichée prévoit trois ans, est un manquement facile à établir.

Les durées de conservation des documents papier

Les règles de conservation s'appliquent aussi aux documents papier : dossiers du personnel, fiches clients, formulaires d'inscription, courriers. Ils doivent être classés de façon à pouvoir identifier les documents arrivés à échéance, conservés dans des armoires fermées et détruits de façon sécurisée. Le passage au numérique ne doit pas conduire à conserver à la fois une version papier et une version numérique sans nécessité. Les archives papier anciennes, souvent oubliées dans une cave ou un grenier, constituent un gisement de données dont la conservation n'est généralement plus justifiée.

Construire sa politique de conservation

Une politique de conservation se construit en quelques étapes. Il faut d'abord recenser les catégories de données à partir du registre. Pour chacune, on identifie la finalité, les textes applicables et les recommandations de la CNIL. On fixe ensuite la durée en base active, la durée d'archivage intermédiaire et le sort final. On définit les modalités pratiques : qui déclenche la purge, à quelle fréquence, avec quel outil. On informe enfin les personnes des durées dans la politique de confidentialité, sous la forme de durées précises ou de critères permettant de les déterminer. Cette politique est révisée lorsque les textes évoluent ou lorsque de nouveaux traitements sont créés.

Durées de conservation et information

Les personnes doivent être informées de la durée de conservation de leurs données ou, lorsque ce n'est pas possible, des critères utilisés pour la déterminer, en application des articles 13 et 14. Une formule vague comme « aussi longtemps que nécessaire » ne remplit pas cette obligation. Une politique de confidentialité claire présente un tableau des durées par catégorie de données ou par finalité, ce qui rassure les personnes et engage l'organisme à respecter ces durées. Une durée bien choisie se justifie d'ailleurs en une phrase : la finalité, le texte ou la recommandation qui la fonde, et ce qui se passe à son terme, suppression, archivage ou anonymisation.

Cette question, posée régulièrement à l'échelle de chaque fichier, suffit souvent à faire apparaître des données conservées par simple habitude, sans finalité actuelle.

Des repères à adapter

Les durées indiquées sur cette page sont des repères ; elles doivent être confrontées aux textes propres à chaque secteur.