Guide pratique — RGPD et durée de conservation des données
Pas aussi longtemps qu'on veut. Le RGPD impose une conservation limitée dans le temps, différente selon chaque finalité : 3 ans pour les clients et prospects, 13 mois pour les cookies, 10 ans pour les factures. Le principe, les durées de référence de la CNIL, ce qu'il faut mettre en place — et ce que coûte une conservation excessive.
L'article 5.1.e du RGPD impose de conserver les données personnelles « sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire » à la finalité du traitement. Il n'existe pas de durée unique : elle se détermine traitement par traitement, à partir des obligations légales (10 ans pour les pièces comptables) et des recommandations de la CNIL (3 ans pour les clients et prospects, 13 mois pour les cookies, 13 à 15 mois pour les données bancaires de paiement, 6 mois à 1 an pour les journaux de connexion, 1 mois pour la vidéoprotection). Les durées doivent figurer dans la politique de confidentialité et le registre, et être effectivement appliquées par des purges régulières. Une conservation sans limite est un manquement aux principes du RGPD, sanctionnable jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires.
Le RGPD ne dit pas « combien de temps garder » en absolu — il fixe un principe de limitation de la conservation, inscrit à l'article 5.1.e (règlement européen 2016/679) : les données ne peuvent être conservées que pour une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Autrement dit : chaque donnée a une date de fin de vie, et cette date doit être décidée au moment de la collecte, pas après coup.
La logique est celle de la proportionnalité : tant que les données servent l'objectif pour lequel vous les avez collectées (répondre à une demande, gérer une commande, tenir votre comptabilité), vous pouvez les garder. Une fois cet objectif atteint — ou une fois les obligations légales de conservation remplies — elles doivent être supprimées, anonymisées ou archivées dans des conditions très encadrées.
Ce principe n'est pas facultatif et ne dépend pas de la taille de l'entreprise : un artisan qui note les coordonnées de ses clients dans un tableur est tenu aux mêmes règles qu'une multinationale. Et c'est l'un des points que la CNIL contrôle le plus facilement : il suffit de lire votre politique de confidentialité pour voir si les durées y figurent.
C'est le point qui surprend le plus : le RGPD ne contient aucun tableau de durées. La durée se construit, traitement par traitement, en combinant trois sources :
Point de méthode important : les durées se décomptent généralement à partir d'un événement précis — la fin de la relation commerciale, le dernier contact avec le prospect, la fin de l'année comptable — et non de la collecte. C'est ce point de départ qu'il faut documenter, pas seulement le nombre d'années.
Voici les repères applicables aux traitements les plus courants d'une TPE — obligations légales et recommandations CNIL confondues :
| Type de données | Durée de référence | Base |
|---|---|---|
| Prospects (jamais devenus clients) | 3 ans à compter du dernier contact émanant d'eux (ex. dernier clic dans un e-mail de prospection) | Recommandation CNIL — prospection commerciale |
| Clients (fichier de gestion) | 3 ans à compter de la fin de la relation commerciale (ex. dernier achat, dernière commande) | Recommandation CNIL — gestion clients |
| Cookies et traceurs | 13 mois maximum, non renouvelés automatiquement (le consentement, lui, vaut 6 mois) | Loi Informatique et Libertés, art. 82 ; lignes directrices CNIL |
| Factures et documents comptables | 10 ans à compter de la clôture de l'exercice | Code de commerce, art. L123-22 (obligations comptables et fiscales) |
| Données bancaires de paiement (carte) | 13 mois après le débit, ou 15 mois pour un paiement différé (preuve en cas de répudiation) — au-delà, uniquement avec le consentement exprès du client (abonnement, paiement en un clic) | Recommandation CNIL — paiement en ligne |
| Journaux de connexion (logs) | 6 mois à 1 an | Recommandation CNIL — sécurité des systèmes |
| Vidéoprotection (images de caméras) | 1 mois maximum en principe | Code de la sécurité intérieure, art. R251-5 ; doctrine CNIL |
Ces durées s'entendent pour la base active — les données que vous utilisez au quotidien. Passé ce délai, trois issues possibles : suppression définitive, anonymisation (qui fait sortir les données du champ du RGPD), ou archivage intermédiaire quand une obligation ou un délai de prescription le justifie encore — les données sont alors mises à l'écart, sur un support séparé à accès restreint, pour la durée strictement nécessaire.
Références : règlement (UE) 2016/679, article 5.1.e ; Code de commerce, article L123-22 ; Code de la sécurité intérieure, article R251-5 ; site de la CNIL (cnil.fr), fiche « Les durées de conservation ».
La conformité sur ce point tient en trois gestes, tous à la portée d'une TPE :
C'est exactement ce que couvre le kit MonKitLégal : le scan gratuit dresse l'inventaire de ce que votre site collecte (formulaires, traceurs, contenus tiers), puis le kit à 9 € génère une politique de confidentialité qui inclut les durées de conservation — traitement par traitement, calées sur les repères CNIL — ainsi que le registre pré-rempli qui les documente côté interne. Mentions légales, CGU/CGV et bandeau cookies sont inclus dans le même prix.
Conserver des données sans limite — ou au-delà de la durée annoncée — est un manquement aux principes du RGPD (article 5). C'est le niveau de gravité le plus élevé de la classification : l'article 83.5 prévoit une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel (le montant le plus élevé). À titre de comparaison, le défaut de registre relève du niveau inférieur (10 millions d'euros ou 2 %).
Ce manquement est loin d'être théorique : la CNIL l'a déjà sanctionné, y compris pour des durées illimitées ou indéfinies. L'exemple le plus connu est l'amende de 250 000 euros infligée à l'entreprise Spartoo en janvier 2023 : parmi les griefs retenus figuraient la conservation de données de candidats et d'anciens salariés pendant des durées excessives, et celle de données bancaires conservées en entier bien au-delà de ce qui était justifié. Plus récemment encore, la simplification des procédures a permis à la CNIL de sanctionner régulièrement des durées de conservation sans limite, notamment sur les données de prospection.
Pour une TPE, le déroulé réaliste reste gradué : plainte d'un client ou d'un visiteur (la saisine est gratuite), contrôle, rappel à l'ordre ou mise en demeure — parfois publique. Mais c'est un manquement trivial à constater : une politique de confidentialité qui annonce une conservation « illimitée », ou qui ne mentionne aucune durée, suffit à le caractériser, sans même entrer dans vos serveurs. C'est l'une des premières choses qu'un contrôleur lit.
C'est vous, en tant que responsable de traitement. Le RGPD ne fixe pas de durée unique : l'article 5.1.e impose seulement que les données soient conservées pour une durée n'excédant pas celle nécessaire à la finalité du traitement. C'est donc à vous de fixer une durée par traitement, en vous appuyant sur les obligations légales (10 ans pour les pièces comptables, par exemple) et sur les recommandations de la CNIL (3 ans pour les clients et prospects, 13 mois pour les cookies). Contrainte importante : vous devez pouvoir justifier chaque durée, et l'indiquer dans votre politique de confidentialité et votre registre des traitements.
Non. La conservation par précaution, sans finalité définie ni durée fixée, est précisément ce que le RGPD interdit : les données ne peuvent être gardées que le temps nécessaire à l'objectif pour lequel elles ont été collectées. Une durée « illimitée » ou « indéfinie » mentionnée dans une politique de confidentialité est un manquement caractérisé à l'article 5.1.e — la CNIL a déjà sanctionné des entreprises pour cela. Si des données vous sont encore utiles pour des statistiques, la solution est l'anonymisation définitive : une donnée anonymisée n'est plus une donnée personnelle et sort du champ du RGPD.
Trois options : la suppression (effacement de la base active), l'anonymisation (irréversible, qui fait sortir les données du champ du RGPD), ou l'archivage intermédiaire. Ce dernier régime, décrit par la CNIL, permet de conserver des données qui ne sont plus utilisées au quotidien mais doivent rester disponibles — pour une obligation légale ou pour faire valoir un droit en justice pendant un délai de prescription. Les données archivées doivent être mises à l'écart, sur un support séparé avec un accès strictement restreint, pour la durée exacte nécessaire, puis supprimées. L'archivage intermédiaire n'est pas un prétexte pour tout garder : il obéit lui-même à une durée limitée.
À deux endroits obligatoires. D'abord dans la politique de confidentialité : l'article 13.2.a du RGPD impose d'informer chaque personne, au moment de la collecte, de la durée de conservation de ses données — ou, si ce n'est pas possible, des critères utilisés pour la déterminer. Ensuite dans le registre des traitements : l'article 30.1.f exige d'y mentionner les durées prévues pour l'effacement des différentes catégories de données. Le kit MonKitLégal génère une politique de confidentialité qui inclut ces durées, traitement par traitement.
Une conservation excessive est un manquement aux principes du RGPD (article 5), placé au niveau de sanctions le plus élevé par l'article 83.5 : amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel. La CNIL a sanctionné ce manquement à plusieurs reprises : l'entreprise Spartoo a ainsi écopé de 250 000 euros d'amende en janvier 2023, notamment pour avoir conservé des données de candidats, d'anciens salariés et des données bancaires pendant des durées excessives ou indéfinies. Pour une TPE, le scénario réaliste commence par un contrôle à la suite d'une plainte, avec rappel à l'ordre ou mise en demeure — mais la conservation sans limite est un manquement facile à constater, car il suffit de lire la politique de confidentialité.
Le scan gratuit liste ce que votre site collecte en 2 minutes. Le kit à 9 € génère ensuite la politique de confidentialité avec les durées de conservation, traitement par traitement — registre pré-rempli, mentions légales, CGU/CGV et bandeau cookies inclus.
Analyser mon site gratuitement