-
Le RGPD lui-même ne fixe aucune durée précise, seulement le principe de "limitation de la conservation" : garder les données uniquement le temps nécessaire à leur finalité. Ce sont des repères pratiques couramment utilisés et publiés par les autorités de protection des données, pas une obligation légale chiffrée, et ceci ne constitue pas un conseil juridique. Vérifiez auprès d'un DPO ou d'un professionnel du droit pour votre cas précis.
| Catégorie de données | Base légale | Conservation max. |
|---|
Pourquoi la CNIL, pas le texte du RGPD, donne les chiffres qu'on utilise en pratique
Le RGPD fixe le principe de "limitation de la conservation" (article 5.1.e) : garder les données "pendant une durée n'excédant pas celle nécessaire au regard des finalités", mais ne fixe volontairement aucune durée chiffrée dans son texte. En pratique, c'est la CNIL qui publie des repères de référence pour les situations courantes (anciennement via ses normes simplifiées, aujourd'hui via ses fiches pratiques et lignes directrices), et ce sont ces repères, largement suivis par les DPO en France, que reprend cette check-list.
Quelques repères courants publiés par la CNIL
| Catégorie de données | Durée maximale usuelle |
|---|---|
| Données de prospection commerciale | 3 ans après le dernier contact |
| Cookies et traceurs | 13 mois |
| Vidéosurveillance | 1 mois, sauf procédure en cours |
Limites de cet outil
Ces chiffres sont des repères pratiques couramment cités, pas des minimums ou maximums légaux gravés dans le texte du RGPD lui-même, et un secteur spécifique, une loi nationale qui se superpose au RGPD, ou un contentieux en cours peuvent justifier une conservation plus longue dans un dossier documenté. Cet outil ne peut pas évaluer votre finalité de traitement ou votre base légale précise, il ne montre que le repère général.
La seule règle qui s'applique toujours
Quelle que soit la catégorie, la durée de conservation doit être rattachée à une finalité documentée, réexaminée périodiquement, et les données personnelles doivent être supprimées ou anonymisées une fois cette finalité atteinte, plutôt que conservées indéfiniment par défaut.