La durée de conservation est le champ le plus souvent vide des registres de traitement, et l’un des manquements les plus fréquemment relevés en contrôle.
La raison est simple : écrire une durée est facile, la faire appliquer ne l’est pas. Une politique qui annonce trois ans alors qu’aucune purge n’existe est pire qu’une absence de politique — elle documente l’écart.
Le principe : pas de conservation illimitée
Le RGPD pose, à son article 5.1 e), le principe de limitation de la conservation : les données ne peuvent être conservées sous une forme permettant l’identification que pendant la durée nécessaire aux finalités.
Il n’existe pas de durée universelle. Elle se déduit de la finalité, des obligations légales de conservation, et des délais de prescription applicables.
Ce qui est attendu n’est donc pas une durée « correcte » dans l’absolu, mais une durée justifiée et appliquée.
Les trois temps de la donnée
La CNIL structure le raisonnement en trois phases, et cette grille est le meilleur outil pratique du sujet.
La base active. La donnée est utilisée couramment par les services opérationnels. Accès large, disponibilité immédiate.
L’archivage intermédiaire. La donnée n’est plus utilisée au quotidien mais doit être conservée — obligation légale, précontentieux, prescription. Accès restreint à quelques personnes habilitées, base séparée ou stockage distinct.
L’archivage définitif ou la suppression. Soit la donnée relève d’un archivage d’intérêt public, soit elle est supprimée ou anonymisée.
L’erreur la plus fréquente est de sauter la phase intermédiaire : on conserve tout en base active « au cas où », avec les mêmes droits d’accès, pendant dix ans.
Construire les durées
La méthode qui fonctionne consiste à partir du registre des traitements et à traiter chaque finalité séparément.
Pour chacune, trois questions :
- Combien de temps la donnée est-elle utile à la finalité déclarée ?
- Existe-t-il une obligation légale de conservation — comptable, fiscale, sociale ?
- Quel délai de prescription pourrait justifier de conserver une preuve ?
La durée retenue est le maximum des trois, et la justification écrite est ce qui sera demandé en contrôle.
Point important : la troisième question ne justifie pas de tout garder en base active. Elle justifie un archivage intermédiaire à accès restreint.
La purge : là où tout se joue
Une politique sans mécanisme de purge n’est pas appliquée. Et la purge est techniquement plus difficile qu’il n’y paraît.
Les dépendances. Supprimer un client supprime-t-il ses commandes, ses factures, ses échanges ? Certaines doivent être conservées pour des raisons comptables. Une purge naïve casse l’intégrité applicative.
Les copies. La même donnée existe en base, dans un entrepôt d’analyse, dans un fichier d’export, dans une messagerie, dans un outil de gestion de la relation client. Purger la base principale ne purge rien du reste.
Les traitements en cascade. Vos sous-traitants détiennent des copies. La purge doit être répercutée contractuellement — voir les clauses de sous-traitance.
La démarche réaliste : commencer par les traitements à plus fort volume de données personnelles, automatiser la purge sur ceux-là, et documenter le reste avec une échéance.
Le cas des sauvegardes
C’est la question la plus fréquemment posée, et celle où l’on entend le plus d’affirmations fausses.
Une donnée supprimée en base active reste présente dans les sauvegardes jusqu’à leur rotation. Il n’est ni raisonnable ni techniquement praticable d’aller extraire un enregistrement d’un jeu de sauvegarde.
La position généralement admise : les sauvegardes constituent un cycle de vie distinct, dont la durée doit être définie, justifiée et raisonnable. La donnée disparaît naturellement à la rotation, et l’organisation s’engage à ne pas restaurer une sauvegarde pour réintroduire une donnée qui aurait dû être supprimée.
Ce qui est attendu : que la durée de rétention des sauvegardes soit écrite et cohérente, pas illimitée. Une rétention de sept ans « parce que le stockage ne coûte rien » ne se défend pas.
Prouver que la politique est appliquée
C’est ce qui distingue une conformité réelle d’une conformité déclarative. Trois éléments :
- Les traces d’exécution des purges : dates, volumes supprimés, périmètre.
- Un contrôle périodique : vérifier par échantillonnage que les données au-delà de la durée n’existent plus. C’est exactement le type de test qu’un audit interne doit conduire.
- Un suivi des écarts : les traitements où la purge n’est pas encore automatisée, avec échéance et mesure compensatoire.
Un écart tracé et en cours de traitement est infiniment mieux perçu qu’un écart ignoré.
Ce que la conservation excessive coûte
Au-delà de la sanction, trois coûts réels :
La surface de fuite. Les données qui n’existent plus ne peuvent pas être exfiltrées. Une base contenant quinze ans d’historique transforme un incident mineur en violation massive — et la notification porte sur l’ensemble.
Le coût de traitement des demandes. Chaque demande d’accès ou d’effacement suppose de chercher dans tout ce qui existe.
Le coût de stockage et de sauvegarde, qui croît indéfiniment.
L’argument de la réduction de surface est celui qui parle le mieux en interne : la meilleure protection d’une donnée reste de ne pas la détenir.
Les journaux, cas particulier
Les journaux techniques relèvent de la même logique, avec une tension propre : le besoin d’investigation pousse à conserver longtemps, la proportionnalité pousse à limiter.
La pratique courante consiste à retenir une durée de l’ordre de six mois pour les journaux d’accès dans une finalité de sécurité, avec une justification si l’on va au-delà — voir la journalisation des accès à privilèges.
Sources
- RGPD, articles 5.1 e), 17 et 30
- CNIL — les durées de conservation des données
- ISO/IEC 27002:2022, mesures 5.10, 5.33 et 8.10 (suppression des informations)
Aller plus loin
La construction et la mise en œuvre de ces politiques relèvent de nos missions de gouvernance, risques et conformité.