Durée de conservation des données RGPD : fixer et purger

Que dit l'article 5.1.e du RGPD ?

L'article 5.1.e du RGPD impose de conserver les données sous une forme permettant l'identification des personnes pendant une durée n'excédant pas celle nécessaire aux finalités du traitement. Il ne fixe aucune durée chiffrée. C'est au responsable de traitement de la déterminer, de la justifier et de pouvoir le démontrer (article 5.2, principe d'accountability).

Trois conséquences en découlent. La durée se fixe traitement par traitement, selon la finalité : une même adresse e-mail n'a pas la même durée dans le fichier clients et dans le fichier de recrutement. Elle figure dans le registre des traitements et dans l'information donnée aux personnes. Enfin, à son terme, la donnée est supprimée ou rendue anonyme : l'anonymisation fait sortir la donnée du champ du RGPD.

La durée de conservation des données RGPD n'est donc pas une case à remplir une fois pour toutes : c'est une règle de gestion appliquée et vérifiable. Page de référence : Les durées de conservation des données (cnil.fr).

La CNIL décrit le cycle de vie d'une donnée en trois phases. Chaque passage à la phase suivante suppose un tri : on ne conserve que ce qui reste utile.

• Base active : la donnée sert au quotidien aux services qui l'utilisent, le temps nécessaire à la finalité. Exemple cité par la CNIL : les données d'un candidat non retenu, deux ans au maximum sauf demande d'effacement.
• Archivage intermédiaire : la donnée ne sert plus à la finalité initiale, mais une obligation légale ou un contentieux possible impose de la garder. L'accès devient ponctuel et réservé à des personnes habilitées. Exemple : les données de facturation, dix ans en application du Code de commerce.
• Archivage définitif : conservation sans limite de durée, réservée aux données à valeur historique ou patrimoniale, surtout dans le secteur public au titre du Code du patrimoine. Pour une entreprise privée, la règle est la suppression.

Les phases deux et trois ne sont pas systématiques : pour chaque traitement, il faut se demander si un archivage est nécessaire, pour quelles données et combien de temps. Ces définitions proviennent du guide pratique de la CNIL sur les durées de conservation (juillet 2020), rédigé avec le Service interministériel des archives de France.

Comment fixer une durée quand aucun texte ne l'impose ?

Quand aucun texte ne fixe de durée, le responsable de traitement la détermine à partir de la finalité et la documente. La CNIL publie des référentiels avec des durées recommandées : les appliquer crée une présomption de conformité, s'en écarter reste possible si le choix est motivé par écrit.

La grille d'analyse du guide CNIL (pages 13 et 14) tient en cinq questions, à poser pour chaque traitement du registre :

• Jusqu'à quand ai-je besoin de ces données pour atteindre la finalité ?
• Un texte m'impose-t-il de les conserver ou de les supprimer, et pour quelle durée (minimum ou maximum) ?
• Quelles données garder en vue d'un contentieux, et pendant quel délai de recours ?
• Un référentiel CNIL ou une réglementation sectorielle couvre-t-il ce traitement ?
• Quelles règles de suppression et d'archivage s'appliquent, et qui a accès aux archives ?

Deux erreurs reviennent souvent. Confondre délai de prescription et obligation de conservation : un délai de recours justifie un archivage à accès restreint, pas un maintien en base active. Et fixer une durée de conservation des données RGPD unique pour toute l'entreprise, alors que la durée dépend de chaque finalité. Les référentiels CNIL ne couvrent que le droit français : une structure présente dans plusieurs pays vérifie aussi les législations nationales concernées.

Le tableau ci-dessous rassemble des durées de référence pour les traitements courants d'une entreprise. La colonne « Nature » distingue ce qu'un texte impose de ce que la CNIL recommande.

Sources consultées pour ce tableau : le référentiel CNIL sur les durées de conservation en gestion des ressources humaines, le référentiel CNIL relatif à la gestion des activités commerciales, la fiche officielle sur les délais de conservation des documents d'entreprise, qui renvoie aux articles L123-22 du Code de commerce, L102 B du Livre des procédures fiscales, R1221-26 et L3243-4 du Code du travail.

Ce tableau n'est pas exhaustif : la santé, la banque, l'assurance ou les collectivités relèvent de référentiels propres, dont la CNIL demande de vérifier la date de mise à jour. Une durée de conservation des données RGPD reprise sans sa source ne se défend pas devant un contrôleur : notez pour chaque ligne du registre le texte ou le référentiel qui la fonde.

Fixer des durées ne suffit pas : il faut qu'elles s'appliquent. La procédure ci-dessous part du registre existant et aboutit à une purge documentée, menée par le DPO ou la personne en charge de la conformité, avec les équipes métiers qui connaissent les outils.

1. 1Inventorier — Reprendre le registre des traitements et lister, pour chaque traitement, les données, la finalité et les systèmes où elles vivent (CRM, paie, messagerie, sauvegardes).
2. 2Qualifier — Pour chaque traitement, rechercher le texte ou le référentiel applicable et distinguer base active, archivage intermédiaire et suppression.
3. 3Fixer — Arrêter une durée et un point de départ précis (dernier contact, fin de contrat, clôture d'exercice) et consigner la justification dans le registre.
4. 4Informer — Reporter les durées dans les mentions d'information et la politique de confidentialité, comme l'exigent les articles 13 et 14 du RGPD.
5. 5Purger — Mettre en place une suppression ou une anonymisation automatique dans chaque outil, et une revue manuelle pour les systèmes qui ne le permettent pas.
6. 6Prouver — Conserver une trace de chaque purge (date, périmètre, volume) et contrôler une fois par an que les règles sont appliquées, sous-traitants compris.

Deux points demandent de l'attention. Les sauvegardes entrent dans la règle : une donnée purgée de la base mais restaurable indéfiniment n'est pas supprimée. Et la purge doit être tracée : son journal est la preuve qu'exige le principe de responsabilité.

Une fois la durée de conservation des données RGPD appliquée dans chaque outil, le travail devient un contrôle annuel : les règles tournent, les nouveaux traitements en ont une, et les référentiels CNIL utilisés n'ont pas changé.

• Le RGPD ne fixe pas de durée chiffrée : l'article 5.1.e impose une durée proportionnée à la finalité, déterminée et justifiée par le responsable de traitement.
• Trois phases possibles : base active, archivage intermédiaire, archivage définitif, avec un tri à chaque étape et un accès restreint dès l'archivage.
• Sans texte applicable, la grille et les référentiels CNIL donnent des durées recommandées qui créent une présomption de conformité.
• Chaque durée du registre cite sa source : texte de loi ou référentiel CNIL, daté.
• Une durée n'existe que si une purge documentée l'applique, sauvegardes comprises.