La limitation de la durée de conservation est l'un des principes fondateurs du RGPD (article 5 §1 e). Concrètement : vous ne pouvez pas garder des données personnelles indéfiniment. Une fois la finalité atteinte, chaque donnée doit être supprimée, anonymisée ou archivée.
Pour un DPO, la difficulté n'est pas le principe (il est simple) mais son application ligne à ligne, traitement par traitement : quelle durée pour un bulletin de paie, un prospect inactif, une facture, un dossier patient ? Ce guide rassemble les durées de référence 2026 dans un tableau récapitulatif, puis détaille la méthode pour fixer vos propres délais et les tenir dans le temps.
Au programme :
- les durées à retenir en un coup d'oeil, chacune avec sa source ;
- un tableau récapitulatif des durées de conservation par catégorie de données ;
- ce que dit précisément le RGPD et le rôle du responsable de traitement ;
- la méthode pour définir une durée quand aucune n'est imposée ;
- les sanctions récentes de la CNIL et comment les éviter.
Durées de conservation à retenir (RH, clients, comptabilité, santé)
Le RGPD ne fixe aucune durée chiffrée : il impose de ne pas conserver une donnée au-delà de ce que sa finalité exige (article 5 §1 e). Les durées concrètes viennent du code du travail, du code de commerce, du code de la santé publique et des référentiels de la CNIL. Les huit à connaître :
- Bulletins de paie : 5 ans (article L3243-4 du code du travail).
- Dossier du salarié : 5 ans après la fin du contrat (prescription de l'action en discrimination, article L1134-5 du code du travail), à croiser avec le référentiel CNIL « gestion des ressources humaines » publié le 2 avril 2026.
- Candidats non retenus : 2 ans maximum après le dernier contact (guide CNIL du recrutement, 2023).
- Prospects : 3 ans à compter du dernier contact émanant du prospect (référentiel CNIL « gestion des activités commerciales », délibération n° 2021-131 du 23 septembre 2021).
- Clients après la fin de la relation : jusqu'à 5 ans en archivage intermédiaire (article L110-4 du code de commerce).
- Pièces comptables et factures : 10 ans (article L123-22 du code de commerce).
- Dossier patient : 20 ans à compter du dernier séjour ou de la dernière consultation externe (article R1112-7 du code de la santé publique).
- Images de vidéoprotection : 1 mois maximum (article L252-5 du code de la sécurité intérieure).
Le détail par catégorie, avec la distinction base active / archivage intermédiaire, suit dans le tableau récapitulatif.
Tableau récapitulatif des durées de conservation (2026)
Les durées ci-dessous combinent trois sources : les durées légales (code de commerce, code du travail, code de la santé publique), les référentiels sectoriels de la CNIL et les délais de prescription applicables. Elles distinguent la base active (donnée utilisée au quotidien) de l'archivage intermédiaire (donnée conservée pour un motif légal ou un contentieux potentiel). Vérifiez toujours la pertinence de chaque durée au regard de votre finalité réelle.
Données RH et paie
- Bulletin de paie (double employeur) : 5 ans (article L3243-4 du code du travail).
- Registre unique du personnel : 5 ans à compter du départ du salarié (article R1221-26 du code du travail).
- Dossier du salarié et contrat de travail : 5 ans après la fin du contrat (prescription de l'action en discrimination, article L1134-5 du code du travail ; référentiel CNIL « gestion des ressources humaines » du 2 avril 2026).
- Documents relatifs aux charges sociales : 3 ans (article L244-3 du code de la sécurité sociale).
- Décomptes du temps de travail et horaires : 1 an (article D3171-16 du code du travail).
- Candidatures non retenues : 2 ans maximum après le dernier contact, sauf consentement du candidat pour une CVthèque (guide CNIL du recrutement, 2023).
Données clients, prospects et marketing
- Données clients en base active : durée de la relation contractuelle.
- Données clients après la fin de la relation : archivage intermédiaire jusqu'à 5 ans (prescription commerciale, article L110-4 du code de commerce).
- Prospects (prospection commerciale) : 3 ans à compter du dernier contact émanant du prospect (référentiel CNIL « gestion des activités commerciales », délibération n° 2021-131 du 23 septembre 2021). L'ouverture d'un e-mail ne compte pas comme un contact.
- Données de carte bancaire : supprimées après la transaction, conservées jusqu'à 13 mois à titre de preuve en cas de contestation (15 mois pour les cartes à débit différé), délai de contestation de l'article L133-24 du code monétaire et financier repris par le même référentiel CNIL.
- Justificatifs de la relation client (bons de commande, factures) : 10 ans au titre de l'obligation comptable (article L123-22 du code de commerce).
Données comptables, fiscales et contractuelles
- Livres et registres comptables, pièces justificatives : 10 ans (article L123-22 du code de commerce).
- Pièces justificatives fiscales : 6 ans (article L102 B du livre des procédures fiscales), portés à 10 ans par l'article 36 de la loi n° 2026-534 du 25 juin 2026 relative à la lutte contre les fraudes sociales et fiscales, pour les pièces dont le délai de conservation expire après le 1er janvier 2027.
- Contrats conclus par voie électronique (à partir de 120 euros) : 10 ans à compter de la livraison (articles L213-1 et D213-1 du code de la consommation).
- Contrats d'acquisition ou de cession de biens immobiliers et fonciers : 30 ans (prescription des actions réelles immobilières, article 2227 du code civil).
Données de santé et secteur médico-social
- Dossier patient en établissement de santé : 20 ans à compter du dernier passage, 10 ans à compter du décès (article R1112-7 du code de la santé publique).
- Dossier d'un patient mineur : au moins jusqu'à son 28e anniversaire (article R1112-7 du code de la santé publique).
- Dossier médical en santé au travail : 40 ans à compter de la dernière visite, dans la limite de 10 ans après le décès, prorogés pour certaines expositions (agents chimiques dangereux, amiante, rayonnements ionisants) (décret n° 2022-1434 du 15 novembre 2022, articles R4624-45-3 et suivants du code du travail).
- Secteur social et médico-social : durées fixées par le référentiel CNIL dédié.
Vidéosurveillance, badges et contrôle d'accès
- Images de vidéosurveillance : 1 mois maximum, sauf procédure judiciaire en cours (article L252-5 du code de la sécurité intérieure pour les lieux ouverts au public ; même plafond recommandé par la CNIL sur les lieux de travail).
- Données de badge et de contrôle d'accès : 3 mois pour les données de déplacement, 5 ans si elles servent au suivi du temps de travail (CNIL, fiche « L'accès aux locaux et le contrôle des horaires », 2018).
- Journaux de connexion (logs) : 6 mois à 1 an (recommandation CNIL relative à la journalisation, délibération n° 2021-122 du 14 octobre 2021).
- Géolocalisation des véhicules : 2 mois ; 1 an pour optimiser les tournées ou prouver une intervention ; 5 ans pour le suivi du temps de travail (CNIL, fiche « La géolocalisation des véhicules des salariés »).
Ces durées évoluent : la CNIL met à jour ses référentiels et publie une page de synthèse sur les durées de conservation des données. Pour rattacher chaque durée au bon traitement et prouver vos choix en cas de contrôle, vous pouvez demander une démo de Leto.
Ce que dit le RGPD sur la durée de conservation
L'article 5 e) du RGPD : le principe de limitation
L'article 5 §1 e) du RGPD pose deux règles :
- la durée de conservation ne doit pas excéder celle nécessaire au regard des finalités pour lesquelles les données sont traitées ;
- les données peuvent être conservées plus longtemps si elles sont traitées exclusivement à des fins archivistiques d'intérêt public, de recherche scientifique ou historique, ou à des fins statistiques, sous réserve de garanties appropriées pour les droits des personnes.
Le RGPD fixe donc le principe mais reste silencieux sur les durées concrètes : c'est au responsable de traitement de les déterminer, au cas par cas.
Le rôle central du responsable de traitement
Il appartient au responsable de traitement de fixer chaque durée en fonction de deux critères : les finalités pour lesquelles les données ont été collectées (recrutement, gestion de la clientèle, sécurité des biens et des personnes...) et les exigences légales et réglementaires qui s'imposent à lui.
En pratique, cela oblige l'organisation à mettre en place des procédures de suppression ou d'anonymisation qui se déclenchent une fois la durée écoulée. Au titre de l'accountability (article 5 §2), le responsable de traitement doit pouvoir démontrer, à tout instant, que chaque durée est justifiée : c'est précisément ce que la CNIL vérifie lors d'un contrôle.
Comment définir une durée de conservation quand aucune n'est fixée
S'appuyer sur les obligations légales
Premier réflexe : vérifier s'il existe une durée légale. Dans ce cas, vous n'avez pas le choix, vous devez conserver la donnée pendant cette durée. Quelques exemples : contrats conclus par voie électronique à partir de 120 euros (10 ans), données comptables (10 ans), bulletins de paie (5 ans), contrats immobiliers et fonciers (30 ans). L'État met à disposition un simulateur des durées de conservation légales.
Utiliser les référentiels de la CNIL
Quand aucune durée légale ne s'applique, la CNIL publie des référentiels sectoriels qui fournissent, par activité, des durées en base active et en archivage intermédiaire. On en trouve notamment sur :
- la gestion des ressources humaines ;
- la gestion commerciale (prospection, fidélisation, fin de relation client) ;
- le domaine de la santé (hors recherche) ;
- le secteur social et médico-social ;
- la gestion locative et les informations bancaires en vente à distance.
Ces référentiels sont des recommandations : il revient au responsable de traitement de vérifier leur pertinence pour sa situation. Employeur ? Retrouvez les durées propres aux données de vos salariés dans notre guide Employeurs : quel est le sort des données personnelles de votre salarié ?
La méthode cas par cas
Si aucune source ne précise la durée, elle doit être déterminée traitement par traitement :
- identifier l'objectif poursuivi par le traitement de la donnée ;
- recenser les besoins réels des métiers en interne ;
- vérifier les paramétrages disponibles dans les outils métier pour gérer ces durées ;
- fixer une durée réaliste, ou à défaut des critères objectifs permettant de la calculer.
Gardez en tête que chaque délai choisi doit pouvoir être justifié : la charge de la preuve pèse sur le responsable de traitement.
Le point de départ du délai (durées glissantes)
Attention au point de départ. La CNIL précise que la durée, ou son point de départ, peut être « glissante ». Pour la prospection commerciale, les données d'un prospect peuvent être conservées jusqu'au retrait de son consentement ou 3 ans à compter de son dernier contact actif (une demande de documentation compte, la simple ouverture d'un e-mail non). Le point de départ recule à chaque nouveau contact. À l'issue des 3 ans, l'organisation peut recontacter le prospect pour confirmer son intérêt ; sans réponse claire, les données doivent être effacées ou archivées.
Mettre en place le principe de conservation limitée
Le cycle de vie de la donnée : base active et archivage intermédiaire
Une donnée personnelle traverse deux grandes phases. En base active, elle est utilisée au quotidien par les services concernés (commercial, marketing, comptabilité, RH...). En archivage intermédiaire, elle n'est plus utile à sa finalité initiale mais reste nécessaire pour un motif administratif ou juridique (gestion d'un litige, obligation comptable de 10 ans par exemple) : elle doit alors n'être accessible qu'aux personnes qui en ont besoin. Une troisième phase, plus rare, concerne l'archivage définitif à des fins d'intérêt public. Pour approfondir, consultez notre guide Qu'est-ce que le cycle de vie de la donnée ?
Supprimer, anonymiser ou archiver
À l'issue de la base active ou de l'archivage intermédiaire, les données doivent être supprimées, en interne comme chez les sous-traitants (le responsable de traitement reste garant de leurs traitements). Une demande d'effacement peut aussi intervenir avant l'échéance : son articulation avec les durées légales est détaillée dans notre guide sur les droits des personnes. L'anonymisation est une alternative, à condition qu'elle rende l'identification irréversible : une fois réellement anonymisées, les données sortent du champ du RGPD. C'est aussi là qu'un audit régulier des sous-traitants prend son sens : Hari, l'IA de Leto, aide à cartographier qui détient quelles données et à vérifier que les durées sont bien répercutées en aval.
Documenter dans le registre des traitements
Chaque durée doit être documentée : finalité, base légale, destinataires et durée de conservation. L'outil central est le registre des activités de traitement (article 30 du RGPD). La durée doit aussi figurer dans l'information remise aux personnes au moment de la collecte (article 13 §2 a du RGPD). Lorsqu'un traitement présente un risque élevé pour les personnes, la durée de conservation est également un point examiné dans l'analyse d'impact (AIPD). Rassemblez enfin toutes les références utiles (textes, guides CNIL, procédures internes) qui corroborent vos choix de durées.
Sanctions et exemples récents de la CNIL
Ce que la CNIL contrôle
Lors de ses contrôles, la CNIL vérifie systématiquement les durées de conservation. Les manquements les plus fréquents : absence de politique de conservation, durées excessivement longues, ou absence de mécanisme automatisé pour l'effacement des données. Les sanctions financières peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
Exemples de sanctions récentes
Doctissimo (délibération SAN-2023-006 du 11 mai 2023) : 380 000 euros d'amende, en partie pour avoir conservé les données d'utilisateurs inactifs depuis plus de 3 ans, sans durée de conservation définie.
GIE Infogreffe (2022) : 250 000 euros d'amende. La société avait fixé une conservation de 36 mois après la dernière commande, mais la CNIL a constaté que les données de 25 % des utilisateurs étaient conservées au-delà de ce délai.
Amazon France Logistique (décembre 2023) : 32 millions d'euros d'amende. La sanction visait notamment un système de surveillance des employés jugé excessif, dont la conservation de données collectées par les scanners au-delà du nécessaire.
Conclusion
Pour installer une gestion des durées de conservation qui tient dans le temps, trois chantiers prioritaires :
- Évaluer : cartographier les données collectées et les exigences légales attachées, puis prioriser les traitements à fort enjeu selon votre secteur.
- Automatiser la purge : outiller la suppression ou l'anonymisation à l'échéance, plutôt que de la traiter à la main.
- Faire de la veille : les référentiels CNIL évoluent, vos durées aussi.
C'est exactement le terrain de Leto : tenir le registre à jour, associer une durée à chaque traitement et suivre les échéances. Pour voir comment cela s'applique à vos traitements, demandez une démo.
Questions fréquemment posées
Combien de temps peut-on conserver des données personnelles selon le RGPD ?
Le RGPD ne fixe pas de durée universelle : la conservation doit être limitée à ce qui est strictement nécessaire à la finalité du traitement (article 5 §1 e). Trois sources encadrent chaque durée : les obligations légales (code de commerce, code du travail), les référentiels sectoriels de la CNIL et les délais de prescription applicables.
Quelle est la durée de conservation des données RH et de paie ?
Le double du bulletin de paie se conserve 5 ans (article L3243-4 du code du travail), le registre unique du personnel 5 ans après le départ du salarié, et les documents liés aux charges sociales 6 ans. Les candidatures non retenues ne se gardent pas plus de 2 ans après le dernier contact, sauf consentement du candidat.
Quelle est la durée de conservation des données clients et prospects ?
Les données d'un prospect se conservent 3 ans à compter de son dernier contact (référentiel CNIL). Les données clients restent en base active pendant la relation contractuelle, puis en archivage intermédiaire jusqu'à 5 ans au titre de la prescription commerciale, voire 10 ans pour les pièces à valeur comptable comme les factures.
Combien de temps conserver les données comptables et les factures ?
Les livres, registres comptables et pièces justificatives se conservent 10 ans (article L123-22 du code de commerce). Les pièces justificatives fiscales se gardent 6 ans (article L102 B du livre des procédures fiscales) et les contrats conclus par voie électronique à partir de 120 euros pendant 10 ans.
Quelle est la durée de conservation des données de santé ?
Le dossier d'un patient en établissement de santé se conserve 20 ans à compter du dernier passage, et 10 ans à compter du décès (article R1112-7 du code de la santé publique). Le dossier d'un patient mineur est conservé jusqu'à son 28e anniversaire. Le dossier médical en santé au travail peut être conservé plusieurs décennies selon l'exposition aux risques.
Le droit à l'effacement prime-t-il sur une durée légale de conservation ?
Non. Lorsqu'une obligation légale impose de conserver une donnée (facturation, paie, comptabilité), le responsable de traitement peut refuser une demande d'effacement pour cette donnée jusqu'à l'expiration du délai légal (article 17 §3 b du RGPD). La donnée doit alors être placée en archivage intermédiaire à accès restreint, puis supprimée à l'échéance.
Que faire des données personnelles arrivées à échéance de conservation ?
À l'expiration de la durée, les données doivent être supprimées définitivement, anonymisées de façon irréversible, ou archivées si une obligation légale l'impose. La suppression doit aussi être répercutée chez les sous-traitants. Conserver des données au-delà de la durée fixée constitue une violation du RGPD passible de sanctions.
Où documenter les durées de conservation dans son organisation ?
Les durées de conservation doivent figurer dans le registre des activités de traitement (article 30 du RGPD) et dans la politique de confidentialité communiquée aux personnes concernées. Associer chaque durée à un traitement, à sa base légale et à ses destinataires est la meilleure façon de prouver sa conformité en cas de contrôle de la CNIL.
