Obligations

Durée de conservation

Délai maximal pendant lequel une entreprise peut légalement conserver des données personnelles avant leur suppression ou anonymisation.

Définition complète

La durée de conservation désigne la période pendant laquelle les données personnelles sont conservées par le responsable de traitement. Selon le principe de « limitation de la conservation » énoncé à l'article 5(1)(e) du RGPD, les données ne doivent pas être conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles ont été collectées. Concrètement, une PME ne peut pas conserver des données « au cas où ». Elle doit définir et documenter des durées précises pour chaque catégorie de données. Ces durées s'appuient généralement sur trois piliers : la durée de la relation contractuelle, les délais de prescription légale (ex: 5 ans pour les actions civiles) et les obligations réglementaires (ex: conservation des documents comptables pendant 10 ans). Une fois le délai expiré, l'entreprise a l'obligation juridique de supprimer définitivement les données ou de les anonymiser de manière irréversible. Dans certains cas, un « archivage intermédiaire » est possible : les données sont alors déplacées vers un système d'accès restreint, uniquement consultables par le service juridique ou comptable pour répondre à un litige éventuel.

Exemple concret en PME

Une PME gérant un fichier client conserve les coordonnées des prospects pendant 3 ans après le dernier contact. Pour les clients actifs, les données sont conservées pendant toute la durée du contrat, puis basculées en archivage intermédiaire pendant 5 ans après la fin de la relation pour répondre aux obligations légales de preuve et aux prescriptions civiles, avant d'être définitivement supprimées.

L'erreur fréquente à éviter

L'erreur classique est de conserver toutes les données indéfiniment par peur d'en manquer. Le stockage illimité est une violation directe du RGPD. L'absence de politique de purge automatisée ou documentée expose l'entreprise à des sanctions de la CNIL et augmente les risques en cas de fuite de données (plus on stocke, plus l'impact d'un piratage est grave).

Termes associés

Registre des traitements AIPD (Analyse d'impact)Violation de données Notification de violation Contrat de sous-traitance (Art. 28)DPA (Data Processing Agreement)

Vérifiez votre conformité RGPD

Scan gratuit de votre site : cookies, mentions légales, sanctions encourues.

Scanner mon site