Duree de conservation des donnees clients : combien de temps les garder selon le RGPD
Publie le 17/09/2026 · Temps de lecture : 10 min
« Combien de temps doit-on garder les donnees d'un client ? » est l'une des questions les plus frequentes des TPE et PME qui se mettent en conformite. La reponse n'est pas un chiffre unique : le RGPD impose un principe, pas un delai universel, et c'est justement ce qui rend l'exercice difficile. Ce guide detaille la regle a appliquer selon la categorie de donnees, les durees imposees par d'autres textes que le RGPD, et la maniere de documenter ces choix pour pouvoir les justifier en cas de controle de la CNIL.
Sommaire
- 1. Le principe RGPD : la limitation de la conservation
- 2. Comment fixer une duree en pratique
- 3. Clients actifs, prospects, clients inactifs
- 4. Les durees imposees par d'autres textes
- 5. Cas particuliers : donnees bancaires et cookies
- 6. Que faire une fois la duree atteinte
- 7. Inscrire les durees dans le registre des traitements
- Questions frequentes
1. Le principe RGPD : la limitation de la conservation
L'article 5.1.e du RGPD pose le principe de « limitation de la conservation » : les donnees personnelles doivent etre conservees « sous une forme permettant l'identification des personnes concernees pendant une duree n'excedant pas celle necessaire au regard des finalites pour lesquelles elles sont traitees ». En clair, la duree n'est jamais fixee dans l'absolu : elle depend directement de ce que vous faites avec la donnee. Une adresse email collectee pour envoyer une newsletter n'a pas la meme duree de vie utile qu'une facture, qui doit etre conservee pour des raisons comptables sans lien avec la relation commerciale elle-meme.
Ce principe s'accompagne d'une obligation d'information : les articles 13.2.a et 14.2.a du RGPD imposent d'indiquer aux personnes, dans la politique de confidentialite, la duree de conservation de leurs donnees ou, a defaut d'une duree fixe, les criteres utilises pour la determiner. Une politique de confidentialite qui reste muette sur ce point, ou qui se contente d'une formule vague comme « nous conservons vos donnees le temps necessaire » sans preciser ce que cela signifie concretement, est incomplete.
2. Comment fixer une duree en pratique
Pour chaque categorie de donnees traitees, la methode consiste a repondre a trois questions dans l'ordre : quelle est la finalite exacte de ce traitement, quand cette finalite cesse d'exister, et existe-t-il un texte (comptable, fiscal, civil) qui impose une duree differente pour tout ou partie de ces memes donnees. Par exemple, les coordonnees d'un client servent a executer le contrat en cours : la finalite « execution du contrat » cesse a la fin de la relation commerciale. Mais les factures issues de ce meme contrat restent soumises a une obligation de conservation comptable independante, qui continue apres la fin du contrat.
Cette methode explique pourquoi deux entreprises tres proches l'une de l'autre peuvent legitimement retenir des durees differentes pour un meme type de donnee : un cabinet de conseil qui doit demontrer l'execution d'une prestation en cas de litige n'a pas les memes contraintes qu'un e-commerce qui vend des produits de consommation courante. L'important n'est pas de recopier la duree d'un concurrent, mais de pouvoir expliquer, pour chaque duree retenue, a quelle finalite ou a quel texte elle correspond.
3. Clients actifs, prospects, clients inactifs
Pour les donnees commerciales courantes, trois situations reviennent systematiquement :
- Client actif : les donnees sont conservees pendant toute la duree de la relation commerciale, c'est-a- dire tant que le client passe commande, utilise le service ou renouvelle son contrat.
- Prospect sans suite : la CNIL recommande, en bonne pratique, une duree maximale de 3 ans a compter du dernier contact utile (demande d'information, clic sur un email, devis demande). Sans nouvelle interaction dans ce delai, les donnees doivent etre supprimees ou l'email doit cesser d'etre sollicite commercialement.
- Client devenu inactif : a la fin de la relation contractuelle, les donnees utiles a la seule prospection (newsletter, relance commerciale) suivent la meme logique que celles d'un prospect : au-dela d'une periode d'inactivite raisonnable, generalement alignee sur cette meme duree de 3 ans, elles doivent etre supprimees ou anonymisees, independamment des pieces comptables qui, elles, restent soumises a leur propre obligation de conservation.
Ces durees concernent les traitements de prospection et de gestion commerciale courante. Elles ne s'appliquent pas aux documents relevant d'une obligation legale distincte, comme les factures, qui sont abordees dans la section suivante.
4. Les durees imposees par d'autres textes
Le RGPD n'est pas le seul texte a fixer des contraintes de conservation. Plusieurs obligations, independantes du RGPD, imposent des durees precises qui s'appliquent en parallele :
- Documents comptables : l'article L123-22 du Code de commerce impose de conserver les documents comptables et les pieces justificatives pendant 10 ans a compter de la cloture de l'exercice.
- Litige potentiel : le delai de prescription civile de droit commun, fixe par l'article 2224 du Code civil, est de 5 ans a compter du jour ou le titulaire d'un droit a connu ou aurait du connaitre les faits lui permettant de l'exercer. C'est ce delai qui justifie de conserver certaines preuves contractuelles au-dela de la fin de la relation commerciale, au cas ou un client contesterait une facturation ou une prestation.
Ces obligations ne justifient pas de garder l'ensemble du dossier client actif indefiniment : elles justifient de conserver precisement les pieces concernees (factures, contrats signes), pendant la duree qu'elles imposent, meme lorsque la relation commerciale et les autres donnees associees ont, elles, atteint leur propre duree de conservation.
5. Cas particuliers : donnees bancaires et cookies
Deux categories de donnees appellent une vigilance particuliere. Les donnees de carte bancaire sont encadrees par la norme de securite PCI DSS, a laquelle adherent les prestataires de paiement : le cryptogramme visuel (le code a 3 chiffres au dos de la carte) ne doit jamais etre conserve apres l'autorisation de la transaction, quel que soit le support. Le numero de carte complet ne peut etre conserve pour faciliter un futur paiement que si le client y consent explicitement et via un dispositif de tokenisation securise fourni par le prestataire de paiement, jamais en clair dans une base de donnees maison.
Pour les cookies et traceurs, la recommandation de la CNIL du 17 septembre 2020 sur les cookies et autres traceurs indique que la duree de vie du traceur lui-meme ne devrait pas exceder 13 mois, et que cette duree ne doit pas etre reconduite automatiquement a chaque nouvelle visite. Ce sujet a ete traite en detail dans notre article sur les erreurs cookies qui exposent a une sanction CNIL, qui reste complementaire de celui-ci.
6. Que faire une fois la duree atteinte
Une fois la duree de conservation atteinte, deux options sont conformes : la suppression definitive des donnees, ou leur anonymisation reelle (impossible a relier a nouveau a une personne identifiee, ce qui exclut un simple masquage partiel reversible). Une troisieme option existe pour les donnees qui pourraient encore servir de preuve en cas de litige : les basculer en archivage intermediaire, dans une base separee, a acces restreint a un service designe (juridique, contentieux), pour une duree correspondant au delai de prescription applicable mentionne plus haut.
Ce qui n'est jamais conforme, c'est de laisser les donnees dans la base de production active, consultable par l'ensemble des equipes (commercial, support, marketing), une fois leur duree de conservation initiale depassee. C'est precisement ce type de situation, ou une donnee ancienne resurgit lors d'un controle ou d'une demande d'exercice de droits, que la CNIL identifie le plus facilement lors d'un audit.
Definissez et suivez vos durees de conservation sans tableur
ConformiteFacile vous aide a documenter chaque duree de conservation dans votre registre des traitements et a garder une preuve exploitable en cas de controle.
Voir les tarifs7. Inscrire les durees dans le registre des traitements
L'article 30 du RGPD impose de tenir un registre des activites de traitement, qui doit mentionner, dans la mesure du possible, les durees de conservation prevues pour chaque categorie de donnees. En pratique, cela signifie que chaque ligne du registre (un traitement = une ligne) doit indiquer non pas une date fixe, mais la regle appliquee : « duree du contrat + 10 ans pour les pieces comptables », ou « 3 ans a compter du dernier contact pour les prospects ». C'est ce document, mis a jour, qui permet de repondre efficacement a une demande de la CNIL sans avoir a reconstituer la logique de conservation dans l'urgence. Notre article sur le registre des traitements pour les TPE et PME detaille la structure complete de ce document.
Questions frequentes
Quelle duree de conservation appliquer a un prospect qui n'a jamais repondu ?
La CNIL recommande, en bonne pratique, de ne pas conserver les donnees d'un prospect au-dela de 3 ans a compter du dernier contact (demande de documentation, clic sur un email, rendez-vous propose sans suite). Passe ce delai sans nouvelle interaction, la finalite commerciale qui justifiait la conservation n'existe plus et les donnees doivent etre supprimees ou reellement anonymisees.
Peut-on garder les donnees d'un client apres la fin du contrat ?
Oui, mais pas indefiniment et pas pour n'importe quelle finalite. A la fin de la relation commerciale, les donnees utiles a la gestion courante (prospection, newsletter) doivent en principe etre supprimees ou basculees en base inactive avec une duree limitee, sauf si un texte impose de les garder plus longtemps : c'est le cas des pieces comptables et des factures, que l'article L123-22 du Code de commerce impose de conserver 10 ans, independamment du sort du compte client dans l'application metier.
Le RGPD fixe-t-il une duree precise pour chaque type de donnee ?
Non. Le RGPD ne fixe pas de tableau de durees a appliquer par defaut : l'article 5.1.e pose un principe, la limitation de la conservation, et laisse a chaque responsable de traitement la charge de determiner et de justifier la duree adaptee a la finalite poursuivie. Les durees precises viennent soit d'autres textes (droit comptable, droit civil, droit fiscal), soit des recommandations sectorielles publiees par la CNIL, qui restent des reperes de bonne pratique et non des obligations legales autonomes.
Faut-il supprimer les donnees des qu'elles atteignent leur duree de conservation, ou peut-on les archiver ?
Les deux options sont possibles. La suppression definitive est la plus simple a justifier. L'archivage intermediaire reste autorise lorsque les donnees peuvent encore etre necessaires en cas de litige : elles sont alors isolees dans une base a acces restreint, consultable seulement par un service designe (juridique, contentieux), pour une duree correspondant au delai de prescription applicable. Ce qui n'est jamais conforme, c'est de laisser les donnees dans la base de production active, accessible a tous, une fois leur duree de conservation initiale depassee.
