Blog

Durées de conservation des données : comment les fixer sans se tromper

5 septembre 2026 — 6 min de lecture

« On garde tout, on ne sait jamais » est la réponse la plus fréquente quand on demande à une PME sa durée de conservation des données — et c'est précisément ce que le RGPD interdit. Une durée précise, justifiée, et appliquée est attendue pour chaque catégorie de données.

Le principe : une durée liée à la finalité

Une donnée personnelle ne peut être conservée que le temps nécessaire à l'objectif qui a justifié sa collecte. Une fois cet objectif atteint ou devenu obsolète, la donnée doit être supprimée ou anonymisée — sauf si un texte impose expressément une durée de conservation plus longue (obligations comptables, fiscales, prescriptions légales). Ce principe s'applique catégorie de données par catégorie de données, pas de façon globale à l'organisme.

Trois phases, pas une seule durée

La CNIL distingue en réalité trois temps, ce qui explique une partie de la confusion :

• La durée active — le temps où la donnée sert au traitement courant (par exemple, un dossier client tant que la relation commerciale est active).
• L'archivage intermédiaire — un accès restreint, pour un usage précis et limité, typiquement pour faire face à une obligation légale ou un contentieux potentiel (les délais de prescription applicables donnent ici la durée à retenir).
• La suppression ou l'anonymisation définitive — la donnée n'a plus aucune utilité identifiée et doit disparaître, ou être rendue non-identifiante si elle a un intérêt statistique.

Des repères concrets pour une PME

Quelques ordres de grandeur couramment retenus, à adapter à votre situation réelle :

• Candidatures non retenues — en général jusqu'à 2 ans après le dernier contact avec le candidat, sauf accord de sa part pour une CVthèque plus longue.
• Prospects sans interaction — habituellement jusqu'à 3 ans après le dernier contact, avant suppression ou nouvelle sollicitation du consentement.
• Documents comptables et factures — 10 ans, une durée fixée par le code de commerce, indépendante du RGPD.
• Logs de connexion et journaux techniques — de l'ordre de 6 mois à 1 an, suffisant pour les besoins de sécurité sans devenir une base de surveillance permanente.
• Dossiers salariés — pendant toute la durée du contrat, puis des durées variables après le départ selon le document (bulletins de paie, contrats, procédures disciplinaires), régies par le droit du travail plus que par le RGPD.

Ces repères ne dispensent pas d'une analyse propre à chaque traitement : une PME du secteur médical ou financier a souvent des obligations sectorielles plus longues à respecter en parallèle.

Fixer la durée ne suffit pas — il faut l'appliquer

L'erreur la plus fréquente n'est pas l'absence de durée définie sur le papier, mais l'absence de mécanisme pour la faire respecter dans la durée : personne ne va supprimer manuellement, tous les mois, les CV vieux de plus de deux ans dans une boîte mail partagée. C'est précisément pourquoi la durée de conservation doit être un champ actif de votre registre des traitements, et non une mention théorique jamais vérifiée.