TL;DR
L'art. 5, § 1, e) RGPD impose une conservation limitée. La CNIL décline ce principe en trois phases : base active (le temps d'atteindre la finalité), archivage intermédiaire (dossier clos mais intérêt administratif ou obligation légale — avec séparation physique ou logique obligatoire) et archivage définitif (traitements à des fins archivistiques dans l'intérêt public). Les référentiels sectoriels donnent des durées, obligatoires quand un texte les impose, recommandées sinon : appliquer les durées recommandées vaut présomption de conformité, s'en écarter est possible à condition de documenter le choix.
Une donnée, trois vies
La base active est la durée nécessaire à la réalisation de la finalité qui a justifié la collecte. Les données y sont accessibles dans l'environnement de travail immédiat des services opérationnels : le service RH pour un recrutement, le service commercial pour un client. La CNIL donne l'exemple du candidat non retenu, dont les données sont conservées deux ans au maximum sauf demande d'effacement.
L'archivage intermédiaire commence quand le dossier est clos. Les données ne servent plus à atteindre l'objectif fixé, mais gardent un intérêt administratif — la gestion d'un éventuel contentieux — ou répondent à une obligation légale : les données de facturation se conservent dix ans au titre du Code de commerce, même si la personne n'est plus cliente. Elles ne peuvent alors être consultées que de manière ponctuelle et motivée, par des personnes spécifiquement habilitées.
L'archivage définitif ne concerne que les traitements mis en œuvre à des fins archivistiques dans l'intérêt public. Contrairement à la base active, les deux dernières phases ne sont pas systématiques : leur nécessité s'évalue traitement par traitement, et pour chacune un tri doit être opéré entre les données.
La phrase que tout le monde saute
« Si l'archivage intermédiaire est nécessaire et justifié, une séparation avec la base active doit être opérée. » Cette séparation est physique — extraction des données vers une base d'archivage dédiée, accessible aux seules personnes habilitées — ou logique : les données restent en place mais sont isolées par une limitation des habilitations qui les rend inaccessibles à ceux qui n'ont plus d'intérêt à les traiter. Un registre qui déclare dix ans de conservation alors que les données restent dans le CRM, visibles de toute l'équipe commerciale, ne décrit pas un archivage intermédiaire : il décrit dix ans de base active, ce qui est autre chose et rarement justifiable.
- Une même donnée peut relever de deux traitements distincts et de deux durées différentes : l'archivage ou la suppression dans l'un n'interdit pas de continuer à l'utiliser dans l'autre.
- Quand un texte fixe la durée, elle s'impose — l'art. L3243-4 du Code du travail oblige l'employeur à conserver un double du bulletin de paie pendant cinq ans.
- Les référentiels de la CNIL couvrent la santé hors recherche, la recherche en santé, le secteur social et médico-social, et la gestion des ressources humaines. Ils ne listent que les traitements les plus fréquents : un traitement absent du référentiel n'est pas un traitement sans durée.
- Les dispositions recensées dans les référentiels ne concernent que le droit national : une société établie dans plusieurs États doit vérifier les autres législations applicables.
« Durées légales » n'est pas une durée de conservation
C'est la mention la plus fréquente dans les registres, et elle ne dit rien : ni quelle phase, ni quel texte, ni quel point de départ. Une durée de conservation exploitable tient en trois éléments — la phase concernée, le nombre d'années ou de mois, et la référence qui la fonde, texte ou doctrine. Sans le troisième, personne ne peut vérifier le premier, et un registre invérifiable ne protège pas celui qui le produit : il documente son approximation.
Le guide pratique de la CNIL a été élaboré avec le service interministériel des archives de France, précisément parce que le RGPD et le Code du patrimoine ne disent pas la même chose et qu'une structure publique doit tenir les deux. Pour les traitements sans durée fixée par un texte, le guide propose une grille d'analyse à partir de la finalité — c'est le cas de la majorité des traitements, et c'est le travail que le référentiel ne fait pas à votre place.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
