Pourquoi est-ce important ?
Le RGPD est clair : vous ne pouvez pas conserver les données personnelles plus longtemps que nécessaire pour atteindre la finalité pour laquelle vous les avez collectées. Pourtant, la plupart des entreprises conservent les données beaucoup plus longtemps que nécessaire, simplement parce que personne n’y pense.
Le risque ? Lors d’un contrôle de l’autorité de contrôle, ou lorsqu’un client soumet une demande de suppression, vous devez pouvoir expliquer pourquoi vous détenez encore certaines données. “Nous n’y avons jamais pensé” n’est pas une réponse valable.
Durées de conservation courantes
| Type de données | Base légale | Durée de conservation |
|---|---|---|
| Documents comptables (factures, paiements) | Législation fiscale | 7 ans |
| Dossiers du personnel | Droit du travail | 5 ans après fin de contrat |
| Données de candidature (refusé) | Intérêt légitime | Max. 4 semaines (jusqu’à 1 an avec consentement) |
| Données clients (relation active) | Exécution du contrat | Durée de la relation |
| Données clients (après fin) | Intérêt légitime | Max. 2 ans |
| Images de vidéosurveillance | Intérêt légitime | Max. 1 mois (sauf incident) |
| Analytics web (adresses IP) | Consentement / intérêt légitime | Max. 26 mois |
| Soumissions formulaire contact | Intérêt légitime | Max. 2 ans après dernier contact |
| Abonnés newsletter | Consentement | Jusqu’au retrait du consentement |
Comment élaborer une politique de conservation
Étape 1 : Inventoriez vos traitements
Vous ne pouvez pas définir de durées de conservation si vous ne savez pas quelles données vous traitez. Commencez par votre registre des traitements.
Étape 2 : Déterminez la durée par traitement
Posez-vous ces questions par activité de traitement :
- Existe-t-il une obligation légale de conservation ? Si oui, elle s’applique
- Sinon, combien de temps ai-je réellement besoin des données pour la finalité ?
- Existe-t-il une norme sectorielle que je peux suivre ?
Étape 3 : Documentez vos choix
Enregistrez par activité de traitement :
- Quelle durée de conservation vous appliquez
- Pourquoi (base légale ou justification)
- Ce qui se passe à l’expiration (suppression, anonymisation)
Étape 4 : Implémentez et contrôlez
- Configurez des rappels pour vérifier et supprimer les données expirées
- Configurez la suppression automatique là où c’est possible
- Vérifiez au moins annuellement si votre politique est encore actuelle
Erreurs courantes
- Tout garder “pour toujours” parce que c’est plus facile. C’est une infraction au RGPD
- Ne pas distinguer entre clients actifs et inactifs
- Oublier les sauvegardes : si vous supprimez des données mais qu’elles sont encore dans une sauvegarde, vous n’avez pas fini
- Pas de politique écrite : si vous ne l’avez pas documenté, ça n’existe pas pour l’autorité de contrôle
GDPRWise vous aide à définir la bonne durée de conservation pour chaque traitement et vous rappelle quand les données doivent être supprimées.