Pourquoi est-ce important ?
Le RGPD est clair : vous ne pouvez pas conserver les donnees personnelles plus longtemps que necessaire pour atteindre la finalite pour laquelle vous les avez collectees. Pourtant, la plupart des entreprises conservent les donnees beaucoup plus longtemps que necessaire, simplement parce que personne n’y pense.
Le risque ? Lors d’un controle de l’autorite de controle, ou lorsqu’un client soumet une demande de suppression, vous devez pouvoir expliquer pourquoi vous detenez encore certaines donnees. “Nous n’y avons jamais pense” n’est pas une reponse valable.
Durees de conservation courantes
| Type de donnees | Base legale | Duree de conservation |
|---|---|---|
| Documents comptables (factures, paiements) | Legislation fiscale | 7 ans |
| Dossiers du personnel | Droit du travail | 5 ans apres fin de contrat |
| Donnees de candidature (refuse) | Interet legitime | Max. 4 semaines (jusqu’a 1 an avec consentement) |
| Donnees clients (relation active) | Execution du contrat | Duree de la relation |
| Donnees clients (apres fin) | Interet legitime | Max. 2 ans |
| Images de videosurveillance | Interet legitime | Max. 1 mois (sauf incident) |
| Analytics web (adresses IP) | Consentement / interet legitime | Max. 26 mois |
| Soumissions formulaire contact | Interet legitime | Max. 2 ans apres dernier contact |
| Abonnes newsletter | Consentement | Jusqu’au retrait du consentement |
Comment elaborer une politique de conservation
Etape 1 : Inventoriez vos traitements
Vous ne pouvez pas definir de durees de conservation si vous ne savez pas quelles donnees vous traitez. Commencez par votre registre des traitements.
Etape 2 : Determinez la duree par traitement
Posez-vous ces questions par activite de traitement :
- Existe-t-il une obligation legale de conservation ? Si oui, elle s’applique
- Sinon, combien de temps ai-je reellement besoin des donnees pour la finalite ?
- Existe-t-il une norme sectorielle que je peux suivre ?
Etape 3 : Documentez vos choix
Enregistrez par activite de traitement :
- Quelle duree de conservation vous appliquez
- Pourquoi (base legale ou justification)
- Ce qui se passe a l’expiration (suppression, anonymisation)
Etape 4 : Implementez et controlez
- Configurez des rappels pour verifier et supprimer les donnees expirees
- Configurez la suppression automatique la ou c’est possible
- Verifiez au moins annuellement si votre politique est encore actuelle
Erreurs courantes
- Tout garder “pour toujours” parce que c’est plus facile. C’est une infraction au RGPD
- Ne pas distinguer entre clients actifs et inactifs
- Oublier les sauvegardes : si vous supprimez des donnees mais qu’elles sont encore dans une sauvegarde, vous n’avez pas fini
- Pas de politique ecrite : si vous ne l’avez pas documente, ca n’existe pas pour l’autorite de controle
GDPRWise vous aide a definir la bonne duree de conservation pour chaque traitement et vous rappelle quand les donnees doivent etre supprimees.