Comment fixer et appliquer les durées de conservation sur les données personnelles

2 déc. 2021

6 min de lecture

Dernière mise à jour : 6 oct.

photo d'un carnet avec les durées de conservation rgpd

" Ne supprime rien dans le CRM" ... "conserve tous tes e-mails" ... "le dossier des documents scannés, on ne le vide jamais" .... "au cas où"

Dans le quotidien professionnel d'une PME, d'une association ou d'une collectivité, ces réflexes semblent relever de la prudence élémentaire. En matière de conformité numérique, ils représentent un risque juridique.

L'avènement du cloud et les capacités de stockage virtuellement illimitées ont ancré une mauvaise habitude : tout archiver sans discernement. Pourtant, conserver des données sans échéance ni objectif précis expose l'organisation à un double risque : financier face aux autorités de contrôle, et technique face aux cybermenaces.

Ce que dit la loi : l'absence de barème unique et la règle du trio

Contrairement à une idée reçue, le RGPD ne propose pas de tableau de durée de conservation des données personnelles.

Article 5, paragraphe 1, e) du RGPD (Principe de limitation de la conservation) :Les données à caractère personnel doivent être « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ».

Pour déterminer la durée de conservation vous devez vous prononcer sur trois critères indissociables :

La finalité : Pourquoi traitez-vous cette donnée ? Quel est votre objectif? (ex. gérer une commande, gérer la paie, assurer la prospection).
La base légale : Quel fondement juridique autorise ce traitement selon l'article 6 du RGPD ? (contrat, obligation légale, intérêt légitime, consentement, mission d'intérêt public).
La durée : Quel délai strict est nécessaire pour atteindre cette finalité ou respecter les prescriptions légales (par exemple, 6 ans pour les documents comptables et factures selon l'article L. 102 B du Livre des procédures fiscales) ?

par exemple : la finalité est la gestion de la commande d'un client ; la base légale est la validation de vos CGV (execution d'un contrat) et la durée est de 3ans après la livraison de la dernière commande.

Si vous changez de finalité, vous devez changer les deux autres critères.

Par exemple si vous avez un contentieux avec un client, la finalité du traitement de données devient "gestion d'un contentieux commercial", la base légale est votre interêt légitime et la durée est de 3 ans après la résolution du contentieux

Dès qu'apparaît l'argument « au cas où », la finalité disparaît. Sans finalité précise et légitime, le traitement devient illégal au regard du RGPD.

Les risques réels de la conservation excessive

Garder des données obsolètes n'est jamais anodin :

Le risque réglementaire direct : Les manquements liés aux principes fondamentaux (finalité, minimisation, durée de conservation excessive) représentent plus de 80 % des sanctions pécuniaires prononcées par la CNIL et les autorités européennes de protection des données.
La surface d'attaque cyber : Stocker des données inutiles constitue une faute de sécurité (Article 32 du RGPD). En cas de compromission de votre réseau (ransomware, exfiltration), les dossiers non purgés deviennent des armes exploitables par les attaquants pour exercer un chantage ou nuire à vos clients.
La convergence avec la Directive NIS2 : NIS2 impose aux organisations de maîtriser leurs actifs informationnels et de cartographier précisément leurs flux. Réduire le volume des données dormantes diminue mécaniquement l'ampleur et l'impact potentiel d'un incident de sécurité majeur.
L'exigence de l'AI Act : L'intelligence artificielle exige des jeux de données d'entraînement et d'inférence exempts de biais et strictement nécessaires. Utiliser des bases non purgées pour alimenter des modèles internes viole frontalement les principes de minimisation et de gouvernance requis par le règlement européen sur l'IA.

Méthode pratique : structurer le cycle de vie de la donnée en 4 étapes

Pour une PME ou une structure associative, la mise en œuvre doit rester concrète et opérationnelle :

schéma des étapes à suivre pour calculer les durées de conservation en conformité avec le RGPD

1. Formaliser le trio durée - finalité - base légale

Identifiez votre objectif de traiter ces données personnelles, le cadre légal et le délai pendant laquelle la donnée restera utile pour servir cette finalité.

Exemple concret : Pour un fichier clients, la finalité est l'exécution contractuelle pendant toute la durée des achats. Dès lors que le client n'achète plus, l'intérêt légitime de l'entreprise peut justifier une phase de relance commerciale pendant 3 ans. Si après ce délai le contact ne répond à aucune sollicitation, l'intérêt légitime s'éteint : le traitement doit cesser.

2. Fixer l'événement déclencheur

Le point de départ d'une durée de conservation n'est pas la date de collecte de la donnée, mais la cessation de la relation active.

Le compte à rebours s'enclenche à des moments clés : la date de démission ou de licenciement d'un collaborateur, la dernière commande d'un client, le dernier clic mesuré sur une newsletter, ou le rejet de la candidature d'un postulant.

3. Organiser la bascule entre base active et archives intermédiaires

La gestion temporelle distingue deux environnements d'accès :

Base active : Outils du quotidien (ERP, CRM, messagerie) accessibles immédiatement aux équipes opérationnelles.
Archivage intermédiaire : Données qui ne servent plus au quotidien mais dont la conservation est requise pour répondre à une obligation légale ou préserver une preuve en cas de litige. L'accès doit être restreint aux seules personnes habilitées (direction financière, RH, juriste) et isolé des utilisateurs habituels.

4. Automatiser le terme : purge définitive ou anonymisation

À l'échéance des délais légaux de prescription, la donnée personnelle doit sortir des systèmes. Deux options sont possibles :

Suppression irréversible : Effacement des enregistrements dans les logiciels et prise en compte dans le cycle d'écrasement des sauvegardes.
Anonymisation robuste : Rupture définitive de tout lien permettant d'identifier une personne physique, rendant la donnée exploitable uniquement à des fins statistiques sans contrainte RGPD.

Les zones grises à ne pas oublier

La gouvernance des données ne s'arrête pas aux logiciels métiers déclarés. Dans les faits, les failles se concentrent sur des usages décentralisés :

Les extractions locales non contrôlées : Les fichiers .xlsx ou .csv exportés du CRM et conservés sur les disques durs des postes des commerciaux.
Les boîtes e-mails individuelles : La conservation non supervisée de messages contenant des pièces jointes confidentielles vieilles de dix ans.
Les scanners et disques réseau partagés : Les répertoires de numérisation ouverts à l'ensemble du personnel, où s'accumulent sans contrôle des pièces d'identité ou relevés bancaires.
La gestion des données par vos sous-traitants : L'alignement contractuel des sous-traitants techniques (hébergeurs cloud, éditeurs d'outils marketing, prestataires RH). Vos contrats de sous-traitance doivent expressément stipuler l'obligation pour le prestataire d'effacer ou de restituer les données au terme de la prestation, conformément à l'article 28 du RGPD.

Pourquoi faire appel au cabinet xDPO ?

La conformité n'a de sens que si elle renforce la solidité opérationnelle de votre organisation sans alourdir vos processus métier.

Le cabinet xDPO privilégie une approche pragmatique, transparente et résolument humaine de la gouvernance des données.

Faire appel à xDPO, c'est bénéficier d'un accompagnement sur mesure reposant sur trois piliers majeurs :

Approche agile et par les risques : Nous classons les risques par ordre de criticité afin de traiter en priorité les vulnérabilités majeures de votre système d'information. Vous obtenez ainsi des résultats rapides, concrets et mesurables.
Indépendance et plateforme DPO Link incluse : Aucun abonnement logiciel imposé, aucun coût caché ni frais de licence tierce. Dans le cadre de nos prestations, nous mettons à votre disposition DPO Link, notre plateforme collaborative exclusive. Cet outil métier dédié centralise vos registres, vos preuves de conformité et votre plan d'action en temps réel, garantissant une synergie parfaite avec votre consultant sans surcoût.
Expertise senior : Vous êtes accompagné directement par des consultants expérimentés qui maîtrisent les enjeux stratégiques des dirigeants et DSI pour concilier sécurité, cadre réglementaire et réalités économiques.

Besoin de sécuriser votre patrimoine informationnel et de piloter votre conformité en toute sérénité ? Contactez les experts du cabinet xDPO pour réaliser votre audit, structurer votre feuille de route ou confier votre gouvernance à un DPO externalisé.

Les internautes ont aussi consulté :

Ressources utiles de la CNIL:

Guide pratique : la gestion des durées de conservation (CNIL) : https://www.cnil.fr/sites/default/files/atoms/files/guide_durees_de_conservation.pdf

Article : les durées de conservation des données : https://www.cnil.fr/fr/les-durees-de-conservation-des-donnees

Guide pratique : les durées de conservation : Elaboré en partenariat avec le Service interministériel des archives de France (SIAF) https://www.cnil.fr/sites/default/files/atoms/files/guide_durees_de_conservation.pdf