Durée de conservation des données : fixer ses règles

Conserver des données personnelles au-delà du nécessaire est une faute aussi grave que les effacer trop tôt. Fixer des règles précises de conservation, c’est la condition d’une conformité durable et d’une gestion saine de l’information.

Trop conserver ou trop peu : deux risques qui se font face

Les discussions sur la durée de conservation des données personnelles se focalisent souvent sur un seul danger : garder des données trop longtemps. Ce risque est réel et documenté. La CNIL contrôle régulièrement ce manquement et le signale comme l’un des plus fréquents lors de ses inspections. Une base de données gonflée au-delà du nécessaire augmente mécaniquement la surface d’exposition en cas de violation : plus on stocke, plus on expose. Elle alourdit aussi les coûts de stockage, de sécurisation et de gestion des droits des personnes. À chaque demande d’accès ou d’effacement, une organisation qui conserve tout répond avec difficulté, parce qu’elle ne sait plus exactement ce qu’elle détient ni pourquoi.

Mais le risque inverse est tout aussi réel et bien moins souvent évoqué : supprimer trop tôt. Une facture purgée avant l’expiration de l’obligation légale de conservation comptable prive l’entreprise d’une pièce justificative indispensable lors d’un contrôle fiscal. Un contrat effacé avant l’expiration du délai de prescription civil ou commercial laisse l’organisation sans preuve en cas de litige. Un document social détruit prématurément peut exposer l’employeur à une mise en cause qu’il ne pourra pas contester. La conformité au RGPD n’impose pas de tout supprimer rapidement : elle impose de supprimer ce qui n’a plus de raison d’être conservé, au moment précis où cette raison disparaît.

Ces deux risques ne sont pas abstraits. Ils sont symétriques et se présentent simultanément dans toute organisation qui n’a pas formalisé ses règles. Trop conserver expose aux sanctions de la CNIL, à l’aggravation de l’impact d’une fuite de données et à la perte de confiance des personnes concernées. Trop peu conserver expose aux contentieux, aux redressements fiscaux et à l’impossibilité de défendre ses droits. Entre ces deux extrêmes, l’équilibre ne s’improvise pas : il se construit méthodiquement, règle par règle, traitement par traitement.

L’article 5 du RGPD pose le principe de limitation de la conservation. Il stipule que les données doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Ce principe ne fixe aucune durée chiffrée : il établit un cadre dans lequel chaque responsable de traitement doit inscrire ses propres règles, justifiées et documentées. L’objet de cet article est précisément d’expliquer comment construire ce cadre de manière rigoureuse.

Le cycle de vie d’une donnée en trois phases

La CNIL structure la gestion des données personnelles autour d’un concept central : le cycle de vie. Comprendre ce concept est indispensable avant de fixer toute durée, car une durée de conservation n’est pas un seul chiffre. C’est une succession de phases, chacune avec ses propres règles d’accès, de sécurité et de finalité. Confondre ces phases est l’une des erreurs les plus fréquentes et les plus coûteuses qu’une organisation puisse commettre. C’est aussi l’une de celles que les contrôleurs de la CNIL détectent le plus facilement, justement parce que ses traces sont visibles dans l’architecture des systèmes d’information et dans les droits d’accès effectivement configurés.

La base active

La base active désigne la phase pendant laquelle une donnée est utilisée quotidiennement pour accomplir la finalité qui a justifié sa collecte. Un dossier client est en base active tant que la relation commerciale est vivante. Un dossier de candidature est en base active pendant toute la durée du processus de recrutement. Un contrat est en base active pendant son exécution. À ce stade, les données sont directement accessibles aux services opérationnels concernés, sans restriction particulière liée à leur ancienneté : c’est leur usage courant qui justifie leur accessibilité.

La durée en base active correspond strictement à la durée nécessaire pour accomplir la finalité déclarée. Dès que cette finalité est atteinte ou que la relation qui la fondait prend fin, la donnée doit quitter la base active. Elle ne disparaît pas forcément, mais elle change de statut. Continuer à laisser une donnée en base active alors que la finalité initiale est éteinte constitue une conservation excessive, même si la durée totale de conservation paraît raisonnable par ailleurs. Une base de données clients qui inclut des contacts dont la relation commerciale est terminée depuis longtemps, sans que leur passage en archivage intermédiaire ait été décidé et tracé, est une base active surdimensionnée au sens du RGPD.

L’archivage intermédiaire

L’archivage intermédiaire correspond à la phase où une donnée n’est plus utile au quotidien mais doit être conservée pour un motif précis et documenté. Deux motifs principaux justifient cette phase : une obligation légale de conservation (obligation comptable, fiscale ou sociale) ou la nécessité de disposer d’une preuve en cas de litige pendant toute la durée du délai de prescription applicable. Les données ne disparaissent pas, mais elles changent de régime de manière substantielle.

En archivage intermédiaire, les données ne sont plus accessibles à l’ensemble des équipes opérationnelles. L’accès doit être restreint aux seules personnes spécifiquement habilitées : le service juridique, la comptabilité, la direction dans le cadre d’un contrôle. Cet accès doit être ponctuel et motivé, non permanent. La séparation entre base active et archivage intermédiaire peut être physique, c’est-à-dire que les données sont extraites et stockées dans une base dédiée, ou logique, c’est-à-dire que les droits d’accès sont reconfigurés pour isoler les données des utilisateurs courants. La CNIL attend que cette séparation soit réelle et contrôlable, pas seulement déclarée dans un document. Une séparation logique qui n’est pas effectivement paramétrée dans le système ne protège rien.

La durée de l’archivage intermédiaire dépend du motif qui le justifie. Si c’est une obligation légale, la durée est celle fixée par le texte applicable. Si c’est un intérêt probatoire, la durée est celle du délai de prescription pendant lequel un litige reste possible. À l’expiration de ce motif, les données doivent être supprimées ou anonymisées. L’archivage intermédiaire n’est pas une zone tampon où les données attendent indéfiniment : c’est une phase avec une durée propre, une finalité identifiée et un sort final documenté.

L’archivage définitif ou la suppression

À l’issue de l’archivage intermédiaire, deux issues sont possibles. La suppression définitive : les données sont effacées de manière sécurisée et irréversible, y compris dans toutes les copies et sauvegardes. L’anonymisation véritable : les données sont transformées de manière à rendre toute ré-identification impossible, même par croisement avec d’autres sources extérieures. Une donnée réellement anonymisée sort du champ d’application du RGPD et peut être conservée à des fins statistiques ou d’analyse sans contrainte réglementaire sur sa durée.

L’archivage définitif constitue une troisième voie, strictement encadrée, réservée à des données présentant un intérêt public historique, scientifique ou statistique. Il relève principalement d’obligations liées au Code du patrimoine et concerne essentiellement le secteur public et certaines professions réglementées. En entreprise privée ordinaire, ce cas de figure est exceptionnel et ne doit jamais servir de prétexte à une conservation indéfinie de données qui n’ont plus de finalité active. L’archivage intermédiaire et l’archivage définitif ne sont pas systématiques : chaque traitement doit être analysé pour déterminer si ces phases s’appliquent et pourquoi. Pour certains traitements, la donnée passe directement de la base active à la suppression, sans archivage intermédiaire.

Pourquoi la confusion entre suppression et archivage coûte cher

Une idée reçue très répandue assimile archivage et suppression. Pour beaucoup d’équipes, « archiver » signifie « ne plus utiliser » et, implicitement, « on pourra supprimer plus tard ». Pour la CNIL et pour le RGPD, ces deux notions sont radicalement distinctes et leur confusion produit des conséquences concrètes et documentées.

Une donnée sortie de la base active n’est pas une donnée supprimée. Elle reste une donnée personnelle, soumise à l’intégralité des obligations du RGPD : mesures de sécurité adaptées, accès strictement restreint, droits des personnes maintenus, mentions d’information cohérentes avec sa conservation. La seule différence par rapport à la base active est que son accès est limité et que son usage est circonscrit à une finalité précise et documentée. Si ces conditions ne sont pas effectivement réunies, l’archivage n’est pas conforme : c’est simplement une base active que personne n’utilise plus au quotidien, mais qui continue d’exposer l’organisation à des risques de sécurité et de non-conformité.

Inversement, considérer qu’une donnée archivée doit être supprimée immédiatement parce qu’elle n’est plus utilisée au quotidien est une erreur symétrique et tout aussi dangereuse. Une facture conservée en archivage intermédiaire pour satisfaire à l’obligation légale comptable a parfaitement le droit d’exister pendant la durée prévue par le texte applicable. L’article 17 du RGPD, qui consacre le droit à l’effacement, prévoit explicitement que ce droit ne s’applique pas lorsque la conservation est nécessaire pour respecter une obligation légale ou pour la constatation, l’exercice ou la défense de droits en justice. Une suppression précipitée, motivée par une interprétation trop littérale du principe de minimisation, peut donc priver l’organisation de pièces indispensables à sa défense ou à sa conformité fiscale.

La confusion entre suppression et archivage coûte cher pour deux raisons pratiques majeures. D’abord, elle crée des situations où des données se trouvent dans des zones grises : ni vraiment supprimées, ni vraiment archivées dans les conditions requises par le RGPD. Ces zones grises sont exactement ce que les inspecteurs de la CNIL cherchent lors des contrôles on-site. Ensuite, elle conduit à des politiques de conservation incohérentes entre ce qui est déclaré dans la politique de confidentialité et ce qui existe réellement dans les systèmes. Ce décalage entre la politique déclarée et la réalité technique est un manquement caractérisé, indépendamment de la bonne foi de l’organisation.

La règle pratique est simple : toute donnée qui sort de la base active doit avoir un sort documenté. Soit elle est supprimée de manière sécurisée, soit elle entre en archivage intermédiaire avec un accès restreint effectif, une justification précise et une durée déterminée. Il n’existe pas de troisième voie conforme au RGPD.

Les quatre sources d’une durée

Fixer une durée de conservation n’est pas un acte arbitraire ni une simple convention interne. Il existe quatre sources hiérarchisées à consulter pour chaque traitement. La durée retenue est celle qui découle de la source la plus contraignante applicable au document ou à la catégorie de données concernée. Si une obligation légale fixe une durée minimale, elle prime sur tout autre raisonnement. Si plusieurs sources s’appliquent avec des durées différentes, c’est la plus longue et la plus contraignante qui s’impose, toujours dans la limite du principe de nécessité posé par l’article 5 du RGPD.

L’obligation légale de conservation

Certains textes législatifs ou réglementaires imposent une durée minimale de conservation pour des catégories précises de documents. Ces durées ne sont pas négociables : le responsable de traitement ne peut pas décider de conserver moins longtemps que ce que la loi impose, sous peine d’être en infraction avec le texte sectoriel, indépendamment de toute considération tirée du RGPD. Le Code de commerce, le Livre des procédures fiscales, le Code du travail, le Code de la santé publique et de nombreux autres textes sectoriels comportent des dispositions de ce type. La première étape de toute analyse de durée consiste à rechercher si un texte impose une obligation pour les données concernées, dans le domaine d’activité de l’organisation.

Le délai de prescription applicable

En l’absence d’obligation légale explicite, ou en complément d’une telle obligation, les délais de prescription constituent une source essentielle pour justifier la conservation de données à des fins de preuve. Conserver des documents pendant la durée pendant laquelle un litige reste possible est une démarche légitime et reconnue. Il ne s’agit pas de « garder au cas où » sans base juridique : il s’agit d’une finalité identifiée, la défense des droits de l’organisation en cas de contentieux, avec une durée précisément calée sur le délai pendant lequel cette finalité reste pertinente. Ce raisonnement doit être documenté explicitement dans le registre des traitements. Des délais de prescription spéciaux existent dans de nombreux domaines du droit : en cas de doute sur le délai applicable à une situation précise, une vérification auprès d’un juriste ou dans le texte applicable est indispensable avant de le retenir dans une politique.

La finalité du traitement

Pour les traitements qui ne sont couverts ni par une obligation légale ni par un délai de prescription identifiable, la finalité gouverne. Le responsable de traitement doit se demander : combien de temps la conservation de cette donnée est-elle réellement nécessaire pour atteindre l’objectif déclaré ? Cette question exige un raisonnement concret, pas une réponse abstraite. Une donnée collectée pour gérer une demande de contact ponctuelle n’a pas la même durée de vie utile qu’une donnée collectée pour exécuter un contrat pluriannuel complexe. La durée retenue doit être proportionnée à la finalité : ni trop courte au point de rendre le traitement impossible à accomplir, ni trop longue au point de dépasser ce qui est nécessaire pour atteindre l’objectif déclaré. Ce raisonnement, inscrit dans le registre, constitue la justification documentaire que la CNIL attend lors d’un contrôle.

La recommandation sectorielle

La CNIL publie des référentiels sectoriels qui, pour les traitements les plus courants, proposent des durées indicatives en base active et en archivage intermédiaire. Ces référentiels couvrent notamment la gestion des ressources humaines, la gestion commerciale, la gestion locative, le secteur de la santé et d’autres domaines d’activité fréquents. Ces durées ne sont pas opposables au sens strict : le responsable de traitement peut s’en écarter, mais doit alors justifier son choix par écrit de manière détaillée. En pratique, s’appuyer sur un référentiel de la CNIL est la démarche la plus solide pour documenter une durée en l’absence de texte légal explicite, parce qu’elle démontre que l’organisation n’a pas fixé ses règles de manière aléatoire mais en se référant à l’autorité de contrôle compétente. Ces référentiels doivent être consultés à leur source, sur le site officiel de la CNIL, et vérifiés dans leur dernière version avant d’être intégrés à une politique de conservation.

La méthode en cinq étapes pour fixer une durée

Voici une méthode structurée pour déterminer et justifier la durée de conservation de chaque traitement. Elle s’applique traitement par traitement, jamais à l’ensemble de la base de données, et chaque étape doit laisser une trace documentée dans le registre des traitements prévu par l’article 30 du RGPD.

• Étape 1 : Identifier la donnée et sa finalité précise. La question à se poser : pour quoi exactement cette donnée a-t-elle été collectée, et qui en a besoin au quotidien dans l’organisation ? Une donnée peut avoir plusieurs finalités distinctes, qui génèrent des durées différentes. Il est impératif de les traiter séparément et de ne pas chercher à les regrouper sous une durée commune qui serait trop longue pour certaines et trop courte pour d’autres.
• Étape 2 : Rechercher une obligation légale de conservation. La question à se poser : existe-t-il un texte législatif ou réglementaire qui impose une durée minimale de conservation pour ce type de document dans ce secteur d’activité ? Si oui, cette durée s’impose. Elle correspond le plus souvent à une phase d’archivage intermédiaire, pas nécessairement à la durée de la base active.
• Étape 3 : Identifier le délai de prescription applicable. La question à se poser : pendant combien de temps une action en justice liée à ce traitement peut-elle être intentée ? Si la conservation à des fins probatoires est justifiée, le délai de prescription applicable délimite la durée de l’archivage intermédiaire pour cet usage précis.
• Étape 4 : Consulter les référentiels et recommandations publiés par la CNIL. La question à se poser : la CNIL a-t-elle publié un référentiel sectoriel ou une recommandation couvrant ce traitement ? Si oui, quelles sont les durées indicatives proposées et sont-elles applicables à la situation précise de l’organisation ? Ces durées constituent un point de référence à vérifier à la source et dans leur version la plus récente, jamais à recopier depuis une source secondaire.
• Étape 5 : Formaliser la règle dans la politique de conservation et dans le registre des traitements. La question à se poser : la durée retenue est-elle clairement formulée avec son point de départ objectif, sa justification textuelle et le sort final de la donnée à l’échéance ? La durée doit figurer dans le registre des traitements et dans la politique de conservation accessible aux équipes opérationnelles.

Cette méthode doit être appliquée à chaque catégorie de traitement distincte, et non à l’ensemble de la base de données. Appliquer une durée unique à toutes les données d’une organisation est l’erreur la plus fréquente et la plus difficile à défendre lors d’un contrôle, parce qu’elle démontre précisément que l’organisation n’a pas conduit l’analyse requise traitement par traitement.

Les trois durées de référence

Parmi toutes les durées qui peuvent s’appliquer à la conservation des données d’une organisation, trois sont fixées par des textes dont les chiffres sont certains, stables et directement vérifiables dans les textes officiels. Elles constituent des références solides sur lesquelles s’appuyer. Pour toutes les autres durées, la méthode décrite ci-dessus s’applique et les chiffres doivent être vérifiés à la source avant d’être intégrés à une politique de conservation.

Six ans : les pièces soumises au droit de contrôle fiscal

L’article L102 B du Livre des procédures fiscales impose une durée de conservation de six ans pour les livres, registres, documents ou pièces sur lesquels s’exercent les droits de communication, d’enquête et de contrôle de l’administration fiscale. Le point de départ de ce délai est la date de la dernière opération ou la date d’établissement du document. Sont concernés, à titre d’illustration, les livres de comptabilité, les relevés bancaires, les pièces justificatives d’opérations fiscales, les déclarations et tous les documents susceptibles d’être demandés lors d’un contrôle ou d’un redressement fiscal. Cette durée de six ans constitue la durée minimale pendant laquelle ces pièces doivent être conservées en archivage intermédiaire, à accès restreint, après leur sortie de la base active. Elle coexiste avec d’autres obligations de conservation de durée différente : lorsque plusieurs obligations s’appliquent à un même document, c’est la plus longue qui prévaut.

Dix ans : les documents comptables et pièces justificatives

L’article L123-22 du Code de commerce impose une durée de conservation de dix ans pour les documents comptables et les pièces justificatives. Cela couvre les livres de compte, les journaux, les grands livres, les balances, les bilans, les comptes de résultat, les annexes, et l’ensemble des pièces justificatives qui servent à établir ou à vérifier les comptes : factures d’achat et de vente, bons de commande, bons de livraison, relevés bancaires associés à des opérations comptables. Le point de départ est la clôture de l’exercice comptable auquel se rapportent les documents. Cette durée de dix ans correspond à une phase d’archivage intermédiaire : les documents ne sont plus utiles à la gestion courante, mais restent conservés pour répondre à des obligations légales et à d’éventuels contrôles. Cette obligation concerne la quasi-totalité des entités qui tiennent une comptabilité, qu’il s’agisse de sociétés commerciales, d’associations ou de toute autre structure soumise aux obligations comptables prévues par le Code de commerce.

Cinq ans : le délai de prescription de droit commun comme repère probatoire

L’article 2224 du Code civil fixe à cinq ans le délai de droit commun de prescription des actions personnelles ou mobilières. Ce délai commence à courir à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. Ce texte ne fixe pas une obligation directe de conservation de données personnelles : il définit pendant combien de temps une action en justice peut être engagée en droit commun. Son importance en matière de conservation des données est indirecte mais fondamentale. Conserver des documents à des fins de preuve pendant cinq ans à compter de la naissance du droit litigieux est une démarche légitime et défendable, qui permet à l’organisation de faire valoir ses droits ou de se défendre si un litige survient dans ce délai. Ce délai de cinq ans sert donc de repère pour justifier la conservation en archivage intermédiaire d’un grand nombre de documents contractuels, de correspondances commerciales et de tout élément susceptible d’être mobilisé dans le cadre d’un contentieux civil ou commercial de droit commun. Des délais de prescription spéciaux, plus courts ou plus longs, existent dans de nombreux domaines spécifiques du droit : en cas de doute sur le délai applicable à une situation précise, une vérification préalable dans le texte applicable ou auprès d’un juriste est indispensable.

Comment traiter les durées que vous ne connaissez pas

En dehors des trois durées de référence présentées ci-dessus, de nombreuses catégories de données font l’objet de durées qui varient selon le secteur d’activité, la finalité précise du traitement et les recommandations applicables. Ces durées doivent impérativement être vérifiées à la source, avant d’être inscrites dans toute politique de conservation. Recopier un chiffre trouvé sur un article de blog ou un forum sans vérifier sa source exacte, sa date de mise à jour et son applicabilité à la situation précise de l’organisation est le pire réflexe possible, et il est très répandu.

Pourquoi ce réflexe est-il si risqué ? Parce que les référentiels de la CNIL évoluent. Les recommandations sectorielles sont révisées, parfois profondément, sans qu’un article de blog ou une ressource secondaire ne soit nécessairement actualisé en conséquence. Une durée présentée comme correcte à une date donnée peut ne plus l’être si la CNIL a publié un nouveau référentiel entre-temps. De même, une durée applicable dans un secteur particulier peut ne pas s’appliquer dans un autre, même si la catégorie de données semble similaire en apparence. Inscrire dans une politique une durée dont la source n’a pas été vérifiée directement expose l’organisation à un risque concret lors d’un contrôle, d’autant que la charge de la preuve pèse sur le responsable de traitement.

La démarche correcte est la suivante. Pour chaque catégorie de données dont vous cherchez à fixer la durée, commencez par rechercher si un texte légal ou réglementaire la couvre explicitement. Si oui, vérifiez ce texte directement dans sa version en vigueur sur Légifrance et notez la référence exacte. Si aucun texte légal ne s’applique directement, consultez les référentiels publiés par la CNIL sur son site officiel, dans leur dernière version disponible. Si aucun référentiel sectoriel ne couvre votre situation, appliquez la méthode en cinq étapes décrite plus haut et documentez votre raisonnement par écrit dans le registre des traitements. En cas de doute sérieux, notamment pour des données sensibles ou des traitements à fort enjeu, consulter un délégué à la protection des données ou un juriste spécialisé est la solution la plus sûre.

Pour les durées relatives aux données de prospection commerciale, aux données de candidature, aux cookies et traceurs, aux données de connexion et journaux techniques, aux documents sociaux tels que les bulletins de salaire ou les registres du personnel, et aux données de santé : ces durées varient et doivent être vérifiées à la source avant d’être inscrites dans une politique de conservation. Les référentiels publiés par la CNIL constituent le premier point de consultation pour les traitements courants, et les textes sectoriels applicables à votre domaine d’activité constituent le second. Toute durée inscrite dans une politique doit pouvoir être rattachée à l’un ou l’autre de ces fondements.

Formuler une règle plutôt qu’une date

L’erreur de formulation la plus fréquente dans les politiques de conservation consiste à écrire une date figée plutôt qu’une règle articulée autour d’un événement déclencheur. Une date est un point fixe dans le calendrier : elle ne prend pas en compte le fait que chaque traitement commence à un moment différent pour chaque personne concernée. Une règle, au contraire, est un mécanisme qui se déclenche par rapport à un événement objectif et traçable, et qui s’applique de manière uniforme à tous les enregistrements d’une même catégorie, quelle que soit leur date d’entrée dans la base.

Le point de départ du décompte est l’erreur la plus fréquente dans la pratique opérationnelle. Écrire « nous conservons vos données pendant dix ans » sans préciser à partir de quel événement ce délai court rend la règle inapplicable en pratique. Dix ans à partir de quoi ? De la collecte ? De la clôture de l’exercice comptable ? De la fin du contrat ? De la dernière opération enregistrée ? Selon la réponse retenue, la durée effective de conservation peut varier de plusieurs années pour un même type de document. Une politique floue sur le point de départ produit des durées incohérentes d’un dossier à l’autre et indéfendables lors d’un contrôle.

Pour être applicable techniquement, le point de départ de chaque règle doit correspondre à un événement objectif, daté et traçable dans le système d’information : clôture de l’exercice comptable, date de fin de contrat enregistrée dans le système, date du dernier contact émanant de la personne concernée, date de départ du salarié, date de la dernière opération. Un point de départ indéterminé ou non enregistré dans les systèmes rend la règle inapplicable en pratique. Si votre système d’information ne permet pas de tracer l’événement déclencheur, c’est un problème technique à résoudre avant de formaliser la politique, pas après.

La politique de conservation

La politique de conservation est le document interne qui formalise l’ensemble des règles de conservation applicables au sein d’une organisation. Elle est complémentaire du registre des traitements : le registre recense les traitements et leurs caractéristiques, la politique de conservation détaille les règles de durée et de cycle de vie de manière opérationnelle. Elle est également distincte de la politique de confidentialité communiquée aux personnes concernées, même si les informations relatives aux durées de conservation doivent être cohérentes entre ces deux documents.

Un document de politique de conservation bien structuré doit comporter les éléments suivants :

• Un objet et un périmètre clairement définis : à quels traitements, à quelles catégories de données et à quels systèmes la politique s’applique-t-elle, et quelle est sa date d’entrée en vigueur ?
• Les définitions opérationnelles des termes utilisés : base active, archivage intermédiaire, archivage définitif, suppression sécurisée, anonymisation, pseudonymisation.
• Les sources utilisées pour fixer les durées : textes légaux, référentiels de la CNIL, délais de prescription, analyse de finalité documentée.
• Un tableau ou une liste des catégories de données avec, pour chacune, la durée en base active, la durée en archivage intermédiaire le cas échéant, le motif de l’archivage intermédiaire, le point de départ du décompte et le sort final à l’échéance.
• Les règles d’accès en archivage intermédiaire : qui peut accéder, sous quelle condition, avec quelle traçabilité des consultations.
• Les procédures de purge : comment les suppressions sont déclenchées, par qui, à quelle fréquence, et comment elles sont tracées.
• Les règles applicables aux sauvegardes et aux systèmes gérés par des sous-traitants, avec la manière dont les durées leur sont imposées contractuellement.
• La procédure de mise à jour de la politique elle-même : fréquence de revue, responsable désigné, critères déclenchant une révision anticipée (nouveau référentiel de la CNIL, modification législative, nouveau traitement significatif).

La politique de conservation doit être validée par la direction de l’organisation, avec l’implication du délégué à la protection des données lorsqu’il en existe un. Cette validation formalise l’engagement de la direction à respecter les règles fixées et à allouer les ressources nécessaires à leur application effective. Un document signé et bien rédigé, mais jamais mis en oeuvre techniquement et jamais communiqué aux équipes concernées, n’a aucune valeur face à la CNIL : c’est l’application effective et tracée qui compte, pas la qualité rédactionnelle du document.

La mise en oeuvre technique

Fixer des règles de conservation dans un document est une condition nécessaire mais insuffisante. La conformité réelle s’évalue à l’application technique de ces règles dans les systèmes d’information. Trois opérations techniques structurent la fin de vie des données : la purge, l’anonymisation et la pseudonymisation. Ces termes sont souvent confondus dans la pratique, et cette confusion a des conséquences directes sur la conformité effective.

La purge désigne la suppression définitive et irréversible d’une donnée dans tous les systèmes où elle est stockée. Une purge correctement exécutée ne laisse aucune copie accessible : ni dans la base principale, ni dans les journaux de transaction, ni dans les exports ou fichiers de travail, ni dans les sauvegardes. C’est l’opération la plus radicale, mais aussi la plus nette du point de vue de la conformité : une donnée purgée ne peut plus être accidentellement accessible, ne peut plus faire l’objet d’une violation de données et ne peut plus être réclamée à tort dans le cadre d’une demande d’accès.

L’anonymisation est un processus qui transforme les données de manière à rendre toute ré-identification impossible, même en croisant les données avec des sources externes et même en mobilisant des moyens techniques avancés. Une donnée réellement anonymisée sort du champ d’application du RGPD et peut être conservée sans contrainte de durée, par exemple à des fins statistiques ou d’analyse de tendances. Mais l’anonymisation véritable est bien plus exigeante qu’on ne le croit généralement. Supprimer le nom et le prénom d’un enregistrement ne suffit pas si d’autres données permettent d’identifier la personne par recoupement : date de naissance combinée à une adresse, identifiant interne lié à une autre base, ou combinaison de caractéristiques suffisamment rares pour être uniques. Les régulateurs européens ont défini trois critères cumulatifs pour qualifier une anonymisation véritable : l’individualisation (impossibilité d’isoler un individu dans un ensemble de données), la corrélation (impossibilité de relier des enregistrements distincts concernant le même individu) et l’inférence (impossibilité de déduire une information sur un individu à partir d’autres données). Si un seul de ces trois critères n’est pas satisfait, la donnée n’est pas anonymisée au sens du RGPD, même si elle a été partiellement masquée ou transformée.

La pseudonymisation remplace les identifiants directs d’une personne par un identifiant arbitraire, un code ou un numéro. La ré-identification reste possible si l’on dispose de la table de correspondance qui relie le pseudonyme à l’identité réelle. Une donnée pseudonymisée reste une donnée personnelle pleinement soumise au RGPD. La pseudonymisation est une mesure de sécurité utile et reconnue, notamment pour réduire les risques en cas de violation de données, mais elle ne constitue pas une alternative valable à la suppression ou à l’anonymisation véritable en fin de cycle de vie. Présenter une pseudonymisation comme une anonymisation auprès de la CNIL est une erreur caractérisée qui peut aggraver les conséquences d’un contrôle.

Le cas des sauvegardes est le point aveugle le plus fréquent des politiques de conservation. Une organisation peut appliquer scrupuleusement ses règles de purge sur sa base de production tout en laissant les mêmes données intactes dans ses sauvegardes, pendant des durées bien supérieures aux délais fixés dans la politique. Les sauvegardes sont des données : elles contiennent des données personnelles et sont soumises aux mêmes obligations que les bases actives. Une politique de conservation doit prévoir explicitement et concrètement comment les données arrivées à échéance sont traitées dans les sauvegardes. Plusieurs approches sont possibles : aligner la durée de rétention des sauvegardes sur la durée maximale de conservation autorisée pour les données qu’elles contiennent, mettre en place un processus de restauration partielle et de suppression ciblée des données échues, ou documenter et justifier l’écart entre la durée de rétention des sauvegardes et les durées fixées pour les catégories de données concernées. L’absence de règle explicite sur les sauvegardes est un risque direct et documenté.

La preuve de la purge

Une purge non tracée équivaut à une purge non faite. Cette affirmation peut paraître sévère, mais elle traduit une réalité pratique vérifiable : lors d’un contrôle, la CNIL ne prend pas pour argent comptant la déclaration d’une organisation selon laquelle elle supprime ses données à l’échéance prévue. Elle cherche la preuve que cette suppression a effectivement eu lieu, dans les systèmes et les sauvegardes. En l’absence de trace, elle considère que la suppression n’est pas démontrée, ce qui peut constituer un manquement caractérisé indépendamment de la bonne volonté de l’organisation.

Documenter les opérations de purge suppose de mettre en place un mécanisme de traçabilité des suppressions adapté à la maturité technique de l’organisation. Ce mécanisme peut prendre plusieurs formes : journalisation automatique des opérations de suppression dans les systèmes d’information, avec horodatage et identifiant de la catégorie concernée ; production de rapports de purge périodiques indiquant les catégories de données supprimées, les volumes traités et les dates d’exécution ; certificats de destruction émis par les prestataires qui gèrent le stockage ou l’hébergement, couvrant à la fois les données de production et les sauvegardes. L’essentiel est que ces traces soient conservées dans un format accessible, structuré et intelligible pour un contrôleur externe.

Cette traçabilité sert également à répondre aux demandes d’effacement formulées par les personnes concernées au titre de l’article 17 du RGPD. Lorsqu’une personne demande la suppression de ses données, l’organisation doit être en mesure de confirmer que la suppression a bien été effectuée dans les délais requis et d’en apporter la preuve si la personne le conteste ou si la CNIL engage un contrôle sur ce fondement. Sans journalisation, cette réponse reste une déclaration sans fondement probatoire.

Il est recommandé de distinguer dans les journaux de purge les différentes catégories d’opérations : transfert de la base active vers l’archivage intermédiaire, suppression en archivage intermédiaire à l’échéance, suppression directe en base active, et anonymisation. Chaque opération doit être horodatée, associée à la catégorie de données concernée et à la règle de conservation qui l’a déclenchée. Ce niveau de détail permet de détecter des anomalies de manière proactive : des données qui n’ont pas été purgées à l’échéance prévue, des catégories oubliées dans les processus automatisés, ou des sauvegardes qui n’ont pas fait l’objet du traitement prévu dans la politique.

Tableau de synthèse par grande catégorie de document

Les erreurs fréquentes

Les contrôles et les retours d’expérience font apparaître des patterns récurrents. Les erreurs suivantes sont observées dans des organisations de toutes tailles et de tous secteurs. Les identifier est la première étape pour les éviter et pour construire une politique réellement opérationnelle.

• Durée unique appliquée à toute la base. Définir une seule durée de conservation pour l’ensemble des données d’une organisation, quelle que soit leur finalité ou leur nature juridique, est l’erreur de simplification la plus courante. Elle produit inévitablement soit une conservation excessive pour les données à courte durée de vie utile, soit une conservation insuffisante pour les données soumises à des obligations légales ou à des délais de prescription longs. Chaque catégorie de traitement doit faire l’objet d’une analyse séparée avec une règle propre.
• Données de prospection jamais purgées. Les bases de contacts destinées à la prospection commerciale s’accumulent indéfiniment dans beaucoup d’organisations, par crainte de perdre des opportunités commerciales futures. Conserver des données de personnes qui n’ont plus eu de contact actif avec l’organisation depuis une durée dépassant ce qu’autorisent les référentiels de la CNIL est un manquement documenté et régulièrement relevé. La durée applicable doit être vérifiée dans le référentiel CNIL dédié, et une procédure de purge régulière et tracée doit être mise en place.
• Purge de la base active sans traitement des sauvegardes. L’organisation supprime scrupuleusement les données de sa base de production à l’échéance prévue, mais ses sauvegardes continuent de contenir ces mêmes données pendant des mois ou des années supplémentaires. Les sauvegardes sont des données au sens du RGPD. Elles sont soumises aux mêmes obligations. La politique de conservation doit couvrir explicitement le traitement des sauvegardes et des archives informatiques de toute nature.
• Pseudonymisation présentée comme une anonymisation. Une organisation considère que remplacer les noms et prénoms par des codes dans une base de données constitue une anonymisation complète, l’autorisant à conserver les données indéfiniment. Si la table de correspondance entre les codes et les identités réelles est conservée quelque part dans les systèmes, la ré-identification reste techniquement possible : la donnée est pseudonymisée, pas anonymisée. Le RGPD continue de s’appliquer pleinement.
• Aucune trace des suppressions effectuées. L’organisation affirme appliquer ses règles de purge, mais ne dispose d’aucun journal, rapport ou registre permettant de le démontrer à un tiers. Sans preuve documentée, la purge n’existe pas aux yeux des contrôleurs. La traçabilité des opérations de suppression est une obligation pratique indissociable de toute politique de conservation sérieuse.
• Durée recopiée sans vérifier sa source et son applicabilité. La politique de conservation mentionne des durées trouvées sur un article de blog ou un modèle générique téléchargé sur internet, sans que leur source exacte ait été vérifiée ni leur applicabilité à la situation précise de l’organisation. Ces durées peuvent être obsolètes, approximatives ou issues d’un référentiel sectoriel qui ne correspond pas à l’activité réelle de l’organisation.
• Politique écrite mais jamais appliquée. Le document de politique de conservation existe, il est complet et bien rédigé, mais aucun mécanisme technique ne le met concrètement en oeuvre. Les suppressions ne sont pas automatisées ou ne sont pas réalisées en pratique, les archivages ne sont pas tracés, les équipes n’ont pas été formées aux procédures. Une politique déclarative sans application effective est, pour la CNIL, équivalente à l’absence de politique : ce que l’autorité de contrôle vérifie, c’est la réalité des pratiques, pas la qualité des documents.

Une durée ne vaut que si quelqu’un la déclenche

Une règle de conservation, aussi précise et bien rédigée soit-elle, reste entièrement théorique tant qu’aucun mécanisme humain ou technique ne la met en oeuvre. La question n’est pas seulement : quelle durée ai-je fixée ? Elle est aussi : qui est responsable de déclencher la purge, à quelle date, selon quelle procédure et comment cette exécution est-elle tracée dans le temps ? Sans réponse à ces questions, la politique de conservation est un exercice de rédaction, pas un dispositif de conformité.

Désigner un responsable de l’application des durées de conservation est un prérequis non négociable. Ce responsable, qu’il s’agisse du délégué à la protection des données, d’un référent interne ou d’un service dédié, doit disposer d’une vue d’ensemble sur l’intégralité des traitements, leurs échéances et l’état des purges réalisées ou planifiées. Il doit aussi piloter la revue périodique des durées, en comparant les règles en vigueur dans la politique aux textes applicables et aux recommandations actualisées de la CNIL. Les référentiels évoluent, les textes légaux peuvent être modifiés, et les traitements de l’organisation changent avec le temps : une politique figée devient obsolète, et une politique obsolète expose l’organisation autant qu’une politique inexistante.

La question de savoir quelles données sont détenues et où elles se trouvent dans les systèmes est, en pratique, un préalable indispensable à l’application de toute règle de conservation. Un responsable de traitement qui ne dispose pas d’une cartographie précise de ses données ne peut pas décider quand les purger, ni vérifier que la purge a bien été réalisée dans tous les systèmes concernés. Djaboo centralise les clients, les contacts, les devis, les factures et les dépenses rattachés à leur dossier. Cette centralisation permet de savoir, à tout moment, quelles données sont détenues et où elles se trouvent, ce qui constitue un point de départ concret pour appliquer les règles de conservation que le responsable de traitement a définies dans sa politique. La définition des durées applicables, la décision de purger ou d’archiver, la mise en oeuvre des mécanismes de suppression et la conformité au RGPD restent entièrement de la responsabilité du responsable de traitement : ce sont des obligations qui lui incombent personnellement et ne peuvent pas être déléguées à un outil.

Questions fréquentes

Quelle est la différence concrète entre une durée en base active et une durée d’archivage intermédiaire ?

La durée en base active est la période pendant laquelle une donnée est utilisée au quotidien par les services opérationnels pour accomplir la finalité qui a justifié sa collecte. La donnée est directement accessible dans les systèmes courants. La durée d’archivage intermédiaire est une phase distincte qui commence lorsque la finalité initiale est éteinte : la donnée n’est plus utile au quotidien, mais doit être conservée pour répondre à une obligation légale précise ou à un intérêt probatoire documenté. Pendant cette phase, l’accès est restreint à des personnes spécifiquement habilitées, et la consultation doit être ponctuelle et motivée. Ces deux durées s’additionnent pour former la durée totale de conservation d’un document : il ne faut donc pas confondre la durée totale avec la durée en base active, qui n’en est que la première partie.

Le RGPD fixe-t-il des durées de conservation précises pour chaque catégorie de données ?

Non. L’article 5 du RGPD pose uniquement le principe de limitation de la conservation : les données doivent être conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Le RGPD ne fixe aucune durée chiffrée pour telle ou telle catégorie de données. Ce sont les textes sectoriels (Code de commerce, Livre des procédures fiscales, Code du travail, Code de la santé publique, et d’autres textes selon le secteur d’activité), les délais de prescription civils et commerciaux, et les référentiels publiés par la CNIL qui fournissent les durées applicables dans des situations précises. C’est au responsable de traitement de les identifier, de les adapter à sa situation et de les documenter dans son registre des traitements pour chacun de ses traitements.

Peut-on conserver des données au-delà de la durée initialement fixée si elles paraissent toujours utiles ?

L’utilité subjective perçue par l’organisation ne suffit pas à justifier une conservation prolongée au-delà des durées fixées. Ce qui justifie légitimement une durée de conservation, c’est une finalité précise associée à une base légale valable, une obligation légale explicite, ou un délai de prescription documenté. Conserver des données parce qu’elles « pourraient servir un jour » sans finalité concrète identifiable est précisément ce que la CNIL qualifie de conservation excessive. Une conservation prolongée n’est légitime que si elle répond à l’une de ces trois justifications, documentée dans le registre. Toute autre raison doit être examinée avec prudence : si la finalité nouvelle est légitime, elle doit être formalisée avec sa propre base légale et sa propre durée, pas greffée implicitement sur une conservation dont la durée initiale est épuisée.

Comment gérer une même donnée qui sert plusieurs finalités avec des durées différentes ?

Une donnée peut légitimement être utilisée pour plusieurs finalités distinctes, chacune ayant sa propre durée de conservation et sa propre base légale. Dans ce cas, la donnée reste en base active tant qu’au moins une finalité active le justifie. Lorsqu’une finalité prend fin, l’organisation doit cesser d’utiliser la donnée pour cette finalité spécifique, même si elle continue de la conserver pour une autre finalité encore active. Ce principe de séparation des finalités signifie concrètement qu’une même donnée peut avoir plusieurs « horloges » qui tournent simultanément, chacune associée à une finalité et à une base légale distinctes. Chaque finalité, sa base légale et sa durée doivent être documentées séparément dans le registre des traitements prévu par l’article 30 du RGPD.

Le droit à l’effacement s’impose-t-il même lorsqu’une obligation légale de conservation existe ?

Non, pas pour les données soumises à une telle obligation. L’article 17 du RGPD, qui consacre le droit à l’effacement, prévoit explicitement une exception lorsque le traitement est nécessaire pour respecter une obligation légale ou pour la constatation, l’exercice ou la défense de droits en justice. En pratique, lorsqu’une personne demande l’effacement de ses données et que certaines de ces données font l’objet d’une obligation légale de conservation, par exemple des factures soumises à l’obligation de dix ans prévue par l’article L123-22 du Code de commerce, l’organisation peut opposer ce motif pour maintenir ces données précises en archivage intermédiaire jusqu’à l’expiration de l’obligation. Elle doit en revanche supprimer sans délai les données pour lesquelles aucune obligation légale ou intérêt probatoire ne subsiste. Elle doit aussi informer la personne du motif du refus partiel, de manière claire et précise.

Comment documenter une durée de conservation lorsqu’aucun texte ne la fixe et qu’aucun référentiel CNIL ne la couvre ?

En l’absence de texte légal ou réglementaire explicite et de référentiel de la CNIL applicable, le responsable de traitement doit conduire une analyse interne et en documenter le résultat par écrit dans le registre des traitements. Cette analyse doit répondre à plusieurs questions : quelle est la finalité précise du traitement concerné, combien de temps cette finalité reste-t-elle pertinente, existe-t-il un risque de contentieux justifiant une conservation à des fins probatoires et pour quelle durée, et quelle durée est proportionnée à ces éléments ? Le raisonnement complet, avec les sources consultées et les conclusions retenues, doit être inscrit dans le registre. C’est ce raisonnement documenté qui constitue la preuve que la durée n’a pas été fixée arbitrairement. La CNIL attend que le responsable de traitement puisse expliquer et justifier chaque durée retenue, traitement par traitement, lors d’un contrôle.

Qu’est-ce qui distingue concrètement une anonymisation véritable d’une pseudonymisation ?

L’anonymisation véritable rend toute ré-identification impossible, même par croisement avec des données externes, même avec des moyens techniques avancés et même par des tiers disposant de ressources importantes. Une donnée réellement anonymisée sort du champ d’application du RGPD et peut être conservée sans contrainte de durée. La pseudonymisation, au contraire, remplace les identifiants directs par un code ou un pseudonyme, mais la ré-identification reste possible si l’on dispose de la table de correspondance ou d’informations complémentaires. La donnée pseudonymisée reste une donnée personnelle pleinement soumise au RGPD. La confusion entre ces deux techniques a des conséquences directes et graves : une organisation qui croit avoir anonymisé ses données en supprimant les noms, alors que d’autres champs permettent d’identifier les personnes par recoupement, se croit à tort sortie du champ du RGPD et ne met pas en place les protections requises. Le test d’une anonymisation véritable repose sur trois critères cumulatifs : impossibilité d’isoler un individu dans un ensemble de données, impossibilité de relier des enregistrements distincts concernant le même individu, et impossibilité de déduire une information sur un individu à partir des données restantes.

Comment les durées de conservation doivent-elles être imposées aux sous-traitants ?

Le responsable de traitement reste pleinement responsable de ses données même lorsqu’elles sont traitées ou stockées par un sous-traitant. Il doit imposer contractuellement les durées de conservation applicables et vérifier que le sous-traitant les respecte en pratique. Cela suppose d’inclure dans le contrat de sous-traitance des clauses précises sur les durées de conservation, les modalités de suppression ou de restitution des données à l’issue de la prestation, les obligations de traçabilité des opérations de purge effectuées par le sous-traitant, et les conditions dans lesquelles un audit de vérification peut être réalisé. Sans clause contractuelle sur les durées de conservation, le responsable de traitement ne peut pas démontrer qu’il contrôle effectivement la vie de ses données chez ses prestataires, ce qui constitue un risque direct en cas de contrôle de la CNIL.

Les personnes concernées doivent-elles être informées des durées de conservation applicables à leurs données ?

Oui, et cette obligation est directement liée au principe de transparence. L’article 13 du RGPD, applicable lorsque les données sont collectées directement auprès des personnes, impose d’informer les personnes de la durée de conservation prévue ou, lorsque cette durée ne peut pas être précisée à l’avance, des critères utilisés pour la déterminer. Cette information doit figurer dans la politique de confidentialité de l’organisation et dans les formulaires de collecte concernés. Des mentions vagues telles que « nous conservons vos données aussi longtemps que nécessaire » ne sont pas conformes : elles ne renseignent pas utilement les personnes sur la durée effective de conservation de leurs données. Les durées ou les critères retenus doivent être suffisamment précis pour que les personnes puissent comprendre combien de temps leurs données seront conservées et sur quelle base.