RGPD : quelle est la durée de conservation de vos données ?
La limitation de la durée de conservation est l'un des principes fondateurs du RGPD (article 5 §1 e). Concrètement : vous ne pouvez pas garder des données personnelles indéfiniment. Une fois la finalité atteinte, chaque donnée doit être supprimée, anonymisée ou archivée.
Pour un DPO, la difficulté n'est pas le principe (il est simple) mais son application ligne à ligne, traitement par traitement : quelle durée pour un bulletin de paie, un prospect inactif, une facture, un dossier patient ? Ce guide rassemble les durées de référence 2026 dans un tableau récapitulatif, puis détaille la méthode pour fixer vos propres délais et les tenir dans le temps.
Au programme :
- un tableau récapitulatif des durées de conservation par catégorie de données ;
- ce que dit précisément le RGPD et le rôle du responsable de traitement ;
- la méthode pour définir une durée quand aucune n'est imposée ;
- les sanctions récentes de la CNIL et comment les éviter.
Tableau récapitulatif des durées de conservation (2026)
Les durées ci-dessous combinent trois sources : les durées légales (code de commerce, code du travail, code de la santé publique), les référentiels sectoriels de la CNIL et les délais de prescription applicables. Elles distinguent la base active (donnée utilisée au quotidien) de l'archivage intermédiaire (donnée conservée pour un motif légal ou un contentieux potentiel). Vérifiez toujours la pertinence de chaque durée au regard de votre finalité réelle.
Données RH et paie
- Bulletin de paie (double employeur) : 5 ans (article L3243-4 du code du travail).
- Registre unique du personnel : 5 ans à compter du départ du salarié (article R1221-26 du code du travail).
- Dossier du salarié et contrat de travail : 5 ans après la fin du contrat (prescription de l'action en exécution du contrat).
- Documents relatifs aux charges sociales : 6 ans (article L102 B du livre des procédures fiscales).
- Décomptes du temps de travail et horaires : 1 an (article D3171-16 du code du travail).
- Candidatures non retenues : 2 ans maximum après le dernier contact, sauf consentement du candidat pour une CVthèque (recommandation CNIL).
Données clients, prospects et marketing
- Données clients en base active : durée de la relation contractuelle.
- Données clients après la fin de la relation : archivage intermédiaire jusqu'à 5 ans (prescription commerciale, article L110-4 du code de commerce).
- Prospects (prospection commerciale) : 3 ans à compter du dernier contact émanant du prospect (référentiel CNIL).
- Données de carte bancaire : supprimées après la transaction, conservées jusqu'à 13 mois à titre de preuve en cas de contestation (15 mois pour les cartes à débit différé).
- Justificatifs de la relation client (bons de commande, factures) : 10 ans au titre de l'obligation comptable.
Données comptables, fiscales et contractuelles
- Livres et registres comptables, pièces justificatives : 10 ans (article L123-22 du code de commerce).
- Pièces justificatives fiscales : 6 ans (article L102 B du livre des procédures fiscales).
- Contrats conclus par voie électronique (à partir de 120 euros) : 10 ans à compter de la livraison (article L213-1 du code de la consommation).
- Contrats d'acquisition ou de cession de biens immobiliers et fonciers : 30 ans.
Données de santé et secteur médico-social
- Dossier patient en établissement de santé : 20 ans à compter du dernier passage, 10 ans à compter du décès (article R1112-7 du code de la santé publique).
- Dossier d'un patient mineur : jusqu'à son 28e anniversaire.
- Dossier médical en santé au travail : conservation longue liée à l'exposition aux risques professionnels (jusqu'à plusieurs décennies).
- Secteur social et médico-social : durées fixées par le référentiel CNIL dédié.
Vidéosurveillance, badges et contrôle d'accès
- Images de vidéosurveillance : 1 mois maximum, sauf procédure judiciaire en cours (recommandation CNIL).
- Données de badge et de contrôle d'accès : 3 mois.
- Journaux de connexion (logs) : 6 mois (recommandation CNIL).
- Géolocalisation des véhicules : 2 mois pour les données de localisation.
Ces durées évoluent : la CNIL met à jour ses référentiels et publie une page de synthèse sur les durées de conservation des données. Pour rattacher chaque durée au bon traitement et prouver vos choix en cas de contrôle, vous pouvez demander une démo de Leto.
Ce que dit le RGPD sur la durée de conservation
L'article 5 e) du RGPD : le principe de limitation
L'article 5 §1 e) du RGPD pose deux règles :
- la durée de conservation ne doit pas excéder celle nécessaire au regard des finalités pour lesquelles les données sont traitées ;
- les données peuvent être conservées plus longtemps si elles sont traitées exclusivement à des fins archivistiques d'intérêt public, de recherche scientifique ou historique, ou à des fins statistiques, sous réserve de garanties appropriées pour les droits des personnes.
Le RGPD fixe donc le principe mais reste silencieux sur les durées concrètes : c'est au responsable de traitement de les déterminer, au cas par cas.
Le rôle central du responsable de traitement
Il appartient au responsable de traitement de fixer chaque durée en fonction de deux critères : les finalités pour lesquelles les données ont été collectées (recrutement, gestion de la clientèle, sécurité des biens et des personnes...) et les exigences légales et réglementaires qui s'imposent à lui.
En pratique, cela oblige l'organisation à mettre en place des procédures de suppression ou d'anonymisation qui se déclenchent une fois la durée écoulée. Au titre de l'accountability (article 5 §2), le responsable de traitement doit pouvoir démontrer, à tout instant, que chaque durée est justifiée : c'est précisément ce que la CNIL vérifie lors d'un contrôle.
Comment définir une durée de conservation quand aucune n'est fixée
S'appuyer sur les obligations légales
Premier réflexe : vérifier s'il existe une durée légale. Dans ce cas, vous n'avez pas le choix, vous devez conserver la donnée pendant cette durée. Quelques exemples : contrats conclus par voie électronique à partir de 120 euros (10 ans), données comptables (10 ans), bulletins de paie (5 ans), contrats immobiliers et fonciers (30 ans). L'État met à disposition un simulateur des durées de conservation légales.
Utiliser les référentiels de la CNIL
Quand aucune durée légale ne s'applique, la CNIL publie des référentiels sectoriels qui fournissent, par activité, des durées en base active et en archivage intermédiaire. On en trouve notamment sur :
- la gestion des ressources humaines ;
- la gestion commerciale (prospection, fidélisation, fin de relation client) ;
- le domaine de la santé (hors recherche) ;
- le secteur social et médico-social ;
- la gestion locative et les informations bancaires en vente à distance.
Ces référentiels sont des recommandations : il revient au responsable de traitement de vérifier leur pertinence pour sa situation. Employeur ? Retrouvez les durées propres aux données de vos salariés dans notre guide Employeurs : quel est le sort des données personnelles de votre salarié ?
La méthode cas par cas
Si aucune source ne précise la durée, elle doit être déterminée traitement par traitement :
- identifier l'objectif poursuivi par le traitement de la donnée ;
- recenser les besoins réels des métiers en interne ;
- vérifier les paramétrages disponibles dans les outils métier pour gérer ces durées ;
- fixer une durée réaliste, ou à défaut des critères objectifs permettant de la calculer.
Gardez en tête que chaque délai choisi doit pouvoir être justifié : la charge de la preuve pèse sur le responsable de traitement.
Le point de départ du délai (durées glissantes)
Attention au point de départ. La CNIL précise que la durée, ou son point de départ, peut être « glissante ». Pour la prospection commerciale, les données d'un prospect peuvent être conservées jusqu'au retrait de son consentement ou 3 ans à compter de son dernier contact actif (une demande de documentation compte, la simple ouverture d'un e-mail non). Le point de départ recule à chaque nouveau contact. À l'issue des 3 ans, l'organisation peut recontacter le prospect pour confirmer son intérêt ; sans réponse claire, les données doivent être effacées ou archivées.
Mettre en place le principe de conservation limitée
Le cycle de vie de la donnée : base active et archivage intermédiaire
Une donnée personnelle traverse deux grandes phases. En base active, elle est utilisée au quotidien par les services concernés (commercial, marketing, comptabilité, RH...). En archivage intermédiaire, elle n'est plus utile à sa finalité initiale mais reste nécessaire pour un motif administratif ou juridique (gestion d'un litige, obligation comptable de 10 ans par exemple) : elle doit alors n'être accessible qu'aux personnes qui en ont besoin. Une troisième phase, plus rare, concerne l'archivage définitif à des fins d'intérêt public. Pour approfondir, consultez notre guide Qu'est-ce que le cycle de vie de la donnée ?
Supprimer, anonymiser ou archiver
À l'issue de la base active ou de l'archivage intermédiaire, les données doivent être supprimées, en interne comme chez les sous-traitants (le responsable de traitement reste garant de leurs traitements). L'anonymisation est une alternative, à condition qu'elle rende l'identification irréversible : une fois réellement anonymisées, les données sortent du champ du RGPD. C'est aussi là qu'un audit régulier des sous-traitants prend son sens : Hari, l'IA de Leto, aide à cartographier qui détient quelles données et à vérifier que les durées sont bien répercutées en aval.
Documenter dans le registre des traitements
Chaque durée doit être documentée : finalité, base légale, destinataires et durée de conservation. L'outil central est le registre des activités de traitement (article 30 du RGPD). Lorsqu'un traitement présente un risque élevé pour les personnes, la durée de conservation est également un point examiné dans l'analyse d'impact (AIPD). Rassemblez enfin toutes les références utiles (textes, guides CNIL, procédures internes) qui corroborent vos choix de durées.
Sanctions et exemples récents de la CNIL
Ce que la CNIL contrôle
Lors de ses contrôles, la CNIL vérifie systématiquement les durées de conservation. Les manquements les plus fréquents : absence de politique de conservation, durées excessivement longues, ou absence de mécanisme automatisé pour l'effacement des données. Les sanctions financières peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
Exemples de sanctions récentes
Doctissimo (2023) : 280 000 euros d'amende, en partie pour avoir conservé les données d'utilisateurs inactifs depuis plus de 3 ans, sans durée de conservation définie.
GIE Infogreffe (2022) : 250 000 euros d'amende. La société avait fixé une conservation de 36 mois après la dernière commande, mais la CNIL a constaté que les données de 25 % des utilisateurs étaient conservées au-delà de ce délai.
Amazon France Logistique (décembre 2023) : 32 millions d'euros d'amende. La sanction visait notamment un système de surveillance des employés jugé excessif, dont la conservation de données collectées par les scanners au-delà du nécessaire.
Conclusion
Pour installer une gestion des durées de conservation qui tient dans le temps, trois chantiers prioritaires :
- Évaluer : cartographier les données collectées et les exigences légales attachées, puis prioriser les traitements à fort enjeu selon votre secteur.
- Automatiser la purge : outiller la suppression ou l'anonymisation à l'échéance, plutôt que de la traiter à la main.
- Faire de la veille : les référentiels CNIL évoluent, vos durées aussi.
C'est exactement le terrain de Leto : tenir le registre à jour, associer une durée à chaque traitement et suivre les échéances. Pour voir comment cela s'applique à vos traitements, demandez une démo.
Questions fréquemment posées
Combien de temps peut-on conserver des données personnelles selon le RGPD ?
Le RGPD ne fixe pas de durée universelle : la conservation doit être limitée à ce qui est strictement nécessaire à la finalité du traitement (article 5 §1 e). Trois sources encadrent chaque durée : les obligations légales (code de commerce, code du travail), les référentiels sectoriels de la CNIL et les délais de prescription applicables.
Quelle est la durée de conservation des données RH et de paie ?
Le double du bulletin de paie se conserve 5 ans (article L3243-4 du code du travail), le registre unique du personnel 5 ans après le départ du salarié, et les documents liés aux charges sociales 6 ans. Les candidatures non retenues ne se gardent pas plus de 2 ans après le dernier contact, sauf consentement du candidat.
Quelle est la durée de conservation des données clients et prospects ?
Les données d'un prospect se conservent 3 ans à compter de son dernier contact (référentiel CNIL). Les données clients restent en base active pendant la relation contractuelle, puis en archivage intermédiaire jusqu'à 5 ans au titre de la prescription commerciale, voire 10 ans pour les pièces à valeur comptable comme les factures.
Combien de temps conserver les données comptables et les factures ?
Les livres, registres comptables et pièces justificatives se conservent 10 ans (article L123-22 du code de commerce). Les pièces justificatives fiscales se gardent 6 ans (article L102 B du livre des procédures fiscales) et les contrats conclus par voie électronique à partir de 120 euros pendant 10 ans.
Quelle est la durée de conservation des données de santé ?
Le dossier d'un patient en établissement de santé se conserve 20 ans à compter du dernier passage, et 10 ans à compter du décès (article R1112-7 du code de la santé publique). Le dossier d'un patient mineur est conservé jusqu'à son 28e anniversaire. Le dossier médical en santé au travail peut être conservé plusieurs décennies selon l'exposition aux risques.
Le droit à l'effacement prime-t-il sur une durée légale de conservation ?
Non. Lorsqu'une obligation légale impose de conserver une donnée (facturation, paie, comptabilité), le responsable de traitement peut refuser une demande d'effacement pour cette donnée jusqu'à l'expiration du délai légal (article 17 §3 b du RGPD). La donnée doit alors être placée en archivage intermédiaire à accès restreint, puis supprimée à l'échéance.
Que faire des données personnelles arrivées à échéance de conservation ?
À l'expiration de la durée, les données doivent être supprimées définitivement, anonymisées de façon irréversible, ou archivées si une obligation légale l'impose. La suppression doit aussi être répercutée chez les sous-traitants. Conserver des données au-delà de la durée fixée constitue une violation du RGPD passible de sanctions.
Où documenter les durées de conservation dans son organisation ?
Les durées de conservation doivent figurer dans le registre des activités de traitement (article 30 du RGPD) et dans la politique de confidentialité communiquée aux personnes concernées. Associer chaque durée à un traitement, à sa base légale et à ses destinataires est la meilleure façon de prouver sa conformité en cas de contrôle de la CNIL.
