Fichier clients, CV reçus, bulletins de paie, factures : une entreprise accumule vite des données personnelles. Le RGPD et la loi Informatique et Libertés lui interdisent de les garder indéfiniment. C’est à elle de fixer, pour chaque usage, combien de temps elle les conserve, puis de les archiver ou de les supprimer. La CNIL a mis à jour le 2 avril 2026 sa page de référence sur le sujet. Voici comment raisonner, quelles durées sont imposées par un texte et où trouver les durées recommandées.
Le principe : une durée liée à l’objectif de la collecte
Une donnée personnelle est conservée le temps nécessaire à l’objectif, appelé finalité, pour lequel elle a été collectée. Selon la fiche RGPD du site Entreprendre Service Public, cette durée se fixe au moment où l’on installe le dispositif de collecte, et les données doivent être supprimées une fois l’objectif atteint. La durée retenue, ou les critères qui permettent de la déterminer, figure aussi dans le registre des traitements.
Fixer la durée relève de l’analyse de conformité menée par l’entreprise, en tant que responsable du traitement. Il n’existe donc pas une durée unique : une même donnée utilisée pour deux traitements différents peut suivre deux durées différentes. Son archivage ou sa suppression dans l’un n’empêche pas son usage dans l’autre.
Les trois phases du cycle de vie d’une donnée
La CNIL distingue trois étapes successives :
- La base active. La donnée sert à l’objectif poursuivi et reste facilement accessible aux services qui l’utilisent au quotidien, par exemple le service commercial pour un fichier clients.
- L’archivage intermédiaire. La donnée ne sert plus à l’objectif initial mais reste utile pour un intérêt administratif, comme un éventuel contentieux, ou pour respecter une obligation légale. Elle est alors séparée de la base active, physiquement ou logiquement, et seules des personnes habilitées peuvent la consulter, de façon ponctuelle.
- L’archivage définitif. Certaines informations sont conservées de façon pérenne en raison de leur valeur. Cette étape n’est pas systématique : elle s’évalue traitement par traitement.
À l’issue de la phase pertinente, la donnée est supprimée.
Fixer la durée de chaque traitement, étape par étape
- Cherchez d’abord un texte. Une durée est parfois imposée par la loi. L’employeur doit par exemple conserver un double des bulletins de paie pendant 5 ans (article L3243-4 du Code du travail), et les données de facturation se gardent dix ans en application du Code de commerce.
- Consultez les référentiels de la CNIL. Elle publie des tableaux de durées par type de traitement pour la gestion des ressources humaines, la santé hors recherche, la recherche en santé, le social et le médico-social, ainsi que les cabinets médicaux et paramédicaux.
- À défaut, raisonnez par finalité. Demandez-vous combien de temps la donnée est réellement utile, quelles obligations légales s’appliquent, de quoi vous avez besoin pour vous défendre en cas de litige et dans quel délai un recours est possible, quelles informations doivent être archivées et selon quelles règles elles seront supprimées. La CNIL pose ces mêmes questions sur sa page de référence, et son guide pratique répond aux interrogations les plus courantes.
- Documentez votre choix. Inscrivez la durée dans le registre des traitements et, si vous vous écartez d’une durée recommandée, gardez une trace écrite de votre raisonnement.
- Organisez la purge. Prévoyez qui déplace les données en archive, qui les supprime et à quel rythme.
Durées obligatoires et durées recommandées
Les référentiels de la CNIL distinguent deux catégories. Les durées obligatoires sont fixées par un texte et s’imposent. Les durées recommandées peuvent être écartées, à condition de documenter ce choix. Appliquer les durées des référentiels vaut présomption de conformité. Exemple cité par la CNIL : la candidature d’une personne non retenue peut rester au maximum 2 ans en base active, sauf si le candidat demande l’effacement de ses données.
Ces référentiels ont des limites : ils ne sont pas exhaustifs, ne couvrent que le droit français et doivent être vérifiés au regard de leur date de mise à jour. Le guide pratique de la CNIL sur les durées de conservation a été élaboré avec le Service interministériel des archives de France, pour articuler le RGPD et le Code du patrimoine.
Questions fréquentes
Combien de temps garder le CV d’un candidat non retenu ?
La CNIL indique 2 ans au maximum en base active, sauf demande d’effacement de la part du candidat.
Une durée recommandée par la CNIL est-elle obligatoire ?
Non. Une entreprise peut retenir une autre durée si elle justifie et documente son choix. Suivre la durée recommandée lui offre en revanche une présomption de conformité.
Faut-il tout supprimer dès que le client part ?
Pas forcément. Les données qui ne servent plus à la relation commerciale peuvent passer en archivage intermédiaire si une obligation légale l’exige, comme pour les données de facturation, que le Code de commerce impose de garder dix ans. Elles doivent alors être séparées de la base active et accessibles aux seules personnes habilitées.
Où trouver la bonne durée pour un cas particulier ?
Commencez par les référentiels et le guide pratique publiés par la CNIL. Pour une situation précise ou un secteur non couvert, adressez-vous directement à la CNIL ou à un professionnel du droit.
Sources
- Les durées de conservation des données — CNIL, 2026-04-02
- Obligations en matière de protection des données personnelles (RGPD) — Entreprendre Service Public (DILA), 2024-04-26