Principe de minimisation et de limitation
Le RGPD établit que les données personnelles doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire.
Cette durée doit être déterminée en fonction des finalités pour lesquelles les données sont traitées, en tenant compte des obligations légales et des intérêts légitimes de l'entreprise.
Au-delà de cette durée, les données doivent être supprimées, anonymisées ou archivées selon des modalités spécifiques.
Durées selon les finalités de traitement
Pour la prospection commerciale, la durée maximale est généralement de 3 ans à compter du dernier contact ou de la fin de la relation commerciale.
Les données de gestion client peuvent être conservées pendant la durée de la relation commerciale puis archivées selon les obligations comptables et fiscales.
Les données RH suivent des règles spécifiques : candidatures non retenues conservées 2 ans maximum, dossiers salariés conservés selon les obligations sociales.
- Prospection : 3 ans après dernier contact
- Gestion client : durée de la relation + obligations légales
- Candidatures : 2 ans maximum
- Cookies : selon leur finalité (13 mois maximum pour la plupart)
Obligations légales et durées imposées
Certaines données doivent être conservées pour respecter des obligations légales spécifiques : comptabilité, fiscalité, droit social.
Les factures et pièces comptables doivent être conservées 10 ans, les bulletins de paie 5 ans, les contrats commerciaux selon leur nature et les litiges potentiels.
Ces obligations légales constituent une base légale distincte du consentement et permettent la conservation au-delà des durées commerciales habituelles.
Archivage intermédiaire et définitif
L'archivage intermédiaire permet de conserver des données avec un accès restreint pour des besoins administratifs ou juridiques spécifiques.
L'archivage définitif concerne les données ayant une valeur historique ou probatoire, avec des mesures de sécurité renforcées et un accès très limité.
Ces phases d'archivage doivent être distinguées de la conservation active et faire l'objet de politiques et de mesures techniques spécifiques.
- Base active : accès courant pour l'activité
- Archivage intermédiaire : accès restreint et justifié
- Archivage définitif : valeur historique ou probatoire
- Suppression définitive : fin du cycle de vie
Mise en œuvre technique et organisationnelle
Mettez en place des processus de purge automatique dans vos systèmes d'information pour respecter les durées définies.
Documentez précisément vos durées de conservation dans un tableau de gestion ou une politique interne régulièrement mise à jour.
Formez vos équipes aux règles de conservation et mettez en place des procédures de contrôle régulier de l'application de ces durées.
Cas particuliers et exceptions
En cas de litige ou de procédure judiciaire, les données pertinentes peuvent être conservées au-delà des durées habituelles le temps de la résolution.
Les données anonymisées ne sont plus soumises au RGPD et peuvent être conservées sans limitation de durée si l'anonymisation est irréversible.
Certaines activités spécifiques (santé, recherche, archives publiques) bénéficient de régimes particuliers qu'il convient de vérifier avec un spécialiste.
Contrôle et documentation de la conformité
Tenez un registre précis des durées de conservation appliquées pour chaque type de données et chaque finalité de traitement.
Mettez en place des indicateurs de suivi : nombre de suppressions automatiques, durée moyenne de conservation, respect des échéances fixées.
Préparez des procédures de réponse aux demandes de suppression des personnes concernées et aux contrôles des autorités.
Révisez régulièrement vos durées de conservation en fonction de l'évolution de votre activité, de la réglementation et des bonnes pratiques sectorielles.
Conclusion
La gestion des durées de conservation nécessite une approche méthodique et des outils adaptés. Une documentation précise et des processus automatisés facilitent la conformité au quotidien. Mettre mon site en conformité ou demandez un devis.