ConformitéMis à jour le 8 septembre 20266 min de lecture

Combien de temps faut-il conserver les données de ses clients, prospects et candidats ?

Facture, fiche prospect, candidature spontanée : chaque donnée a une durée de vie. Savoir quand effacer évite de conserver des fichiers inutiles et rend votre registre crédible. Comment fixer et appliquer vos durées de conservation.

Par Julien Jimenez

Fondateur de MLJ, RGPDKit

Il n'existe pas de durée unique : chaque traitement a la sienne, déduite de sa finalité et des obligations applicables à votre activité. Les données de facturation suivent les règles comptables, les prospects se conservent tant que la relation reste plausible, les candidatures non retenues se suppriment rapidement. Fixez la durée, écrivez-la dans le registre, puis appliquez-la.

Dirigeant triant ses dossiers clients et archivant des documents dans le bureau d'une petite entreprise — Illustration générée pour RGPDKit

Une donnée personnelle ne se garde pas indéfiniment. Le RGPD demande de fixer, pour chaque traitement, une durée de conservation cohérente avec la raison pour laquelle la donnée a été collectée. Une facture, une fiche prospect et une candidature spontanée n'ont pas la même durée de vie, et tout conserver par défaut revient à prendre un risque inutile.

Pourquoi une durée est attendue pour chaque traitement

Conserver sans limite, c'est augmenter la quantité de données exposées en cas d'incident et rendre impossible toute réponse claire à une demande d'accès. La durée ne tombe pas du ciel : elle se déduit de la finalité poursuivie et des obligations qui s'imposent à votre activité, notamment comptables et sociales.

Les trois temps d'une donnée

la base active : la donnée sert à l'activité courante et reste accessible aux personnes qui en ont besoin ;
l'archivage intermédiaire : la donnée n'est plus utile au quotidien mais doit être gardée pour une raison précise, avec un accès restreint ;
la suppression ou l'anonymisation, une fois la raison de conservation épuisée.

Une durée par finalité, pas par fichier

Un même contact peut relever de plusieurs durées : la relation commerciale, la comptabilité, la lettre d'information. Raisonnez traitement par traitement, comme dans votre registre, plutôt que dossier par dossier.

Fixer des durées que vous pourrez défendre

Pour chaque traitement, posez-vous trois questions : à quoi sert la donnée, à partir de quand elle ne sert plus, et une obligation impose-t-elle de la garder au-delà. Écrivez la réponse en clair, par exemple à compter de la fin de la relation contractuelle ou du dernier contact. Une durée exprimée par un point de départ et un délai vaut mieux qu'une date figée dans un tableur.

Passer de la durée écrite au tri réel

reprendre chaque ligne du registre et vérifier qu'une durée y figure ;
identifier l'outil qui contient réellement les données concernées ;
prévoir un rendez-vous périodique de purge, par exemple à chaque clôture ;
supprimer ou anonymiser, sans oublier les exports et les copies de travail ;
noter la date du dernier tri, pour pouvoir montrer que la règle est appliquée.

Le décalage se voit tout de suite

Annoncer une durée dans sa politique de confidentialité et retrouver des fichiers de dix ans dans sa messagerie est un écart facile à constater. Mieux vaut une durée réaliste, réellement appliquée, qu'une durée courte affichée pour faire bonne impression.

Le lien avec le reste de votre conformité

Les durées se déclarent dans votre registre des traitements, puis dans vos documents publics. Elles conditionnent aussi votre capacité à traiter une demande d'effacement, et le temps que ce chantier représente se chiffre avec l'estimateur de temps.

Simulateur de bannière cookies

Mesure d'audience, publicité, vidéos intégrées, boutons de partage, chat tiers : le simulateur dit si une bannière de consentement s'impose et combien de visites vos statistiques perdront.

Ouvrir l'outil gratuit

Questions fréquentes

Que faire des candidatures spontanées reçues par email ?

Elles se conservent le temps d'étudier la candidature, puis se suppriment, sauf si la personne accepte d'être recontactée plus tard pour un autre poste. Dans ce cas, informez-la de la durée retenue et tenez cette promesse.

Faut-il aussi supprimer les données dans les sauvegardes ?

Les sauvegardes obéissent à leur propre cycle : elles se remplacent au fil des rotations, ce qui fait disparaître la donnée sans intervention manuelle. L'important est de ne pas restaurer une donnée supprimée et de documenter cette logique.

Une durée doit-elle figurer dans la politique de confidentialité ?

Oui, le visiteur doit savoir combien de temps vous gardez ses données. Indiquez une durée par finalité, exprimée par un point de départ et un délai, plutôt qu'une formule vague comme la durée nécessaire, qui n'informe personne.

Des durées écrites, puis appliquées

RGPDKit vous propose une durée de conservation pour chaque traitement et la reporte dans vos documents.

Demander un accès Voir comment ça marche

Recevez nos conseils

Le RGPD expliqué simplement pour les TPE et les indépendants. Chaque nouvel article de RGPDKit vous parvient directement par email.

Un email de temps en temps, jamais de publicité, désinscription en un clic. Voir notre politique de confidentialité.