Votre entreprise conserve des années d’archives clients, des comptes utilisateurs jamais purgés, des boîtes mails d’anciens salariés toujours actives. Un jour, une personne demande la suppression de ses données et n’obtient aucune réponse. Elle dépose une plainte devant la CNIL. Le contrôle qui suit ne porte plus seulement sur ce refus isolé : les agents examinent vos durées de conservation, votre registre, votre politique de purge et vos mentions d’information. Le 31 janvier 2024, la formation restreinte de la CNIL a prononcé une amende de 100 000 euros contre une société de mise en relation immobilière, notamment pour avoir conservé des millions de lignes de comptes au-delà des durées annoncées, dont 737 563 lignes depuis plus de dix ans. La conservation excessive n’est pas un détail d’hygiène informatique : c’est un manquement autonome au règlement général sur la protection des données, qui déclenche plaintes, mises en demeure, injonctions et sanctions pécuniaires. Cet article explique comment fixer des durées limitées et les tenir, puis ce qui se passe quand la conservation dérape : plainte, contrôle, sanction et recours.
I. Fixer des durées de conservation limitées et les appliquer vraiment
A. La règle : pas un jour de plus que nécessaire, avec trois temps distincts
Le principe est posé par l’article 5, paragraphe 1, point e), du règlement (UE) 2016/679 : les données doivent être conservées sous une forme identifiante pendant une durée qui n’excède pas ce qui est nécessaire au regard des finalités du traitement
Cette règle emporte trois conséquences. D’abord, chaque traitement doit avoir sa propre durée, justifiée par sa finalité : la durée de conservation d’un fichier de prospection ne se confond pas avec celle d’un dossier comptable ou d’un contentieux en cours. Ensuite, la conservation prolongée n’est admise que dans des cas étroitement encadrés, celui d’un traitement ultérieur exclusivement à des fins archivistiques d’intérêt public, de recherche scientifique ou historique, ou statistiques, avec les garanties appropriées. Hors ces hypothèses, garder des données au cas où, ou parce que le stockage ne coûte rien, viole le principe. Enfin, la charge de la preuve pèse sur l’organisme : le paragraphe 2 du même article 5 fait du responsable du traitement le garant du respect de ces principes et lui impose d’être en mesure de le démontrer. En contrôle, il ne suffit pas d’affirmer que les durées sont raisonnables ; il faut les avoir écrites, justifiées et appliquées.
La CNIL décline cette exigence en trois temps que tout organisme doit distinguer dans sa documentation. La conservation en base active couvre la période d’utilisation courante des données, par exemple le temps de la relation contractuelle pour un fichier clients. Vient ensuite, lorsque c’est nécessaire et justifié, l’archivage intermédiaire, avec une séparation stricte d’avec la base active : la CNIL précise que cette séparation peut être physique, par extraction vers une base d’archivage dédiée accessible aux seules personnes habilitées, ou logique, par isolement des données et limitation des habilitations de celles et ceux qui n’ont plus d’intérêt à les traiter. La troisième étape est la suppression ou l’anonymisation : La CNIL souligne que l’archivage intermédiaire et la suppression ne se mettent pas en place systématiquement : leur nécessité s’évalue pour chaque traitement, avec un tri des données à chaque phase. Autrement dit, l’archivage intermédiaire est une exception à justifier traitement par traitement, jamais un prolongement automatique de la base active. Et lorsque la durée est atteinte, les données doivent disparaître sous forme identifiante : effacement ou anonymisation irréversible, pas simple désactivation du compte visible.
La réponse de la CNIL à la question que se posent toutes les entreprises tient en deux phrases, publiées sur son site officiel : si aucun texte légal n’impose une durée de conservation, comme les dix ans des documents comptables, il appartient à l’organisme de fixer lui-même cette durée selon l’utilité de la donnée au regard du but poursuivi, et d’effacer ou d’anonymiser les données une fois cette durée dépassée (faut-il fixer une durée de conservation). Deux enseignements pratiques en découlent. Quand un texte impose une durée, comme les dix ans des documents comptables, l’organisme s’y conforme et doit être capable de citer le texte. Quand aucun texte ne s’impose, l’organisme choisit lui-même, mais ce choix doit être écrit, proportionné à la finalité, et surtout exécuté : une durée affichée dans la politique de confidentialité mais jamais appliquée dans les systèmes aggrave le dossier en contrôle, car elle démontre que l’organisme connaissait la règle et ne l’a pas mise en œuvre.
B. Traduire la règle en durées concrètes, informer et tracer
La première étape consiste à cartographier les traitements et à attribuer à chacun une durée en base active, une éventuelle durée d’archivage intermédiaire et un sort final. Les référentiels de la CNIL fournissent des points de repère précieux, sans dispenser d’un raisonnement propre à chaque organisme. Pour la prospection commerciale, la pratique admise est de trois ans à compter du dernier contact actif pour les prospects, et le temps de la relation contractuelle pour les clients, suivi d’un archivage intermédiaire limité aux données nécessaires à la preuve ou au contentieux. Pour les comptes utilisateurs en ligne, la durée court en principe depuis la dernière activité du compte, souvent deux à trois ans d’inactivité avant suppression ou anonymisation. Pour les ressources humaines, les dossiers de recrutement des candidats non retenus se conservent environ deux ans après le dernier contact, tandis que les dossiers des salariés suivent la durée d’emploi augmentée des délais de prescription applicables aux litiges du travail. Pour la comptabilité, l’article L. 123-22 du code de commerce dispose que « Les documents comptables et les pièces justificatives sont conservés pendant dix ans. » Pour l’archivage à des fins contentieuses, le point de repère est la prescription de droit commun : l’article 2224 du code civil prévoit que « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. » Chaque fois, l’organisme doit identifier le fondement : obligation légale, durée du contrat, prescription d’une action en justice, intérêt légitime documenté. Une durée adossée à la prescription doit préciser laquelle et pourquoi ces données précises sont nécessaires à l’exercice des droits en justice ; une durée adossée à une obligation légale doit citer le texte exact.
La deuxième étape est l’information des personnes. L’article 13 du RGPD impose au responsable du traitement de fournir, au moment où les données sont collectées, la durée de conservation des données ou, lorsque ce n’est pas possible, les critères utilisés pour la déterminer. Une politique de confidentialité qui énumère des bases légales sans les rattacher aux traitements, qui omet les destinataires, le droit de réclamation auprès de la CNIL ou les durées appliquées, expose à un manquement cumulatif : dans la sanction du 31 janvier 2024, la formation restreinte a relevé que la politique de confidentialité de la société omettait le droit d’introduire une réclamation auprès de la CNIL et que les durées de conservation affichées étaient inexactes. L’information doit donc être précise et vraie : indiquer trois ans quand le système en conserve dix, c’est ajouter un manquement à l’information au manquement à la limitation de la conservation.
La troisième étape est la traçabilité interne. L’article 30 du RGPD exige que le registre des activités de traitement comporte, dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données. Le registre n’est donc pas un document de façade : c’est le tableau de bord des purges. Pour chaque catégorie de données, il indique la durée en base active, l’éventuel archivage intermédiaire et l’échéance d’effacement. Sans registre renseigné sur ce point, l’organisme se présente au contrôle sans preuve de sa politique de conservation, et la CNIL l’a déjà sanctionné : dans plusieurs délibérations récentes, l’absence de registre ou un registre incomplet accompagne systématiquement le grief de conservation excessive. Le registre doit aussi refléter la réalité technique : qui purge, à quelle fréquence, avec quel script ou quelle procédure, avec quel contrôle de bonne exécution. Une extraction de base montrant des millions de lignes au-delà des durées affichées, comme dans l’affaire jugée en janvier 2024, parle plus fort que n’importe quelle note interne.
La quatrième étape est l’organisation des purges et la gestion des sous-traitants. Purger suppose d’identifier où dorment les copies : base de production, sauvegardes, journaux, exports, outils d’analyse, messageries, postes locaux, prestataires. Le contrat de sous-traitance doit prévoir le sort des données en fin de contrat et la remontée des demandes d’effacement vers les sous-traitants ultérieurs. Dans la sanction du 31 janvier 2024, la CNIL a également retenu un manquement à l’encadrement des sous-traitants, ce qui illustre la logique des contrôles : la conservation excessive et l’absence de contrat de sous-traitance conforme se cumulent et témoignent d’une gouvernance défaillante. Enfin, les sauvegardes méritent un traitement spécifique : on n’exige pas la réécriture immédiate de chaque sauvegarde, mais une procédure documentée garantissant que les données purgées ne seront pas restaurées en base active et qu’elles disparaîtront au fil du cycle de rotation des sauvegardes.
II. Quand la conservation dérape : plainte, contrôle, sanction et recours
A. Le chemin de la crise : demande d’effacement ignorée, plainte CNIL, contrôle et mise en demeure
Tout commence souvent par l’exercice d’un droit. L’article 17 du RGPD ouvre à toute personne le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, des données la concernant, notamment lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées. Concrètement, l’ancien client dont le contrat est terminé depuis des années, l’utilisateur d’un compte abandonné, le prospect qui n’a jamais répondu : chacun peut exiger l’effacement des données devenues inutiles. Le responsable du traitement doit répondre dans les meilleurs délais, et au plus tard dans le délai d’un mois prévu par le règlement, sauf prolongation motivée. L’absence de réponse, le refus non motivé ou la suppression de façade qui laisse subsister les données dans les systèmes ouvrent la voie à la plainte.
La plainte devant la CNIL est gratuite et se dépose en ligne. La CNIL examine la recevabilité, instruit, et peut orienter le dossier vers un contrôle de l’organisme. Ce contrôle ne se limite jamais à la situation du plaignant : les agents vérifient la politique de conservation dans son ensemble, le registre, les mentions d’information, les contrats de sous-traitance et la sécurité. Les contrôles se déroulent sur place, sur pièces, sur audition ou en ligne, et la CNIL rappelle qu’elle contrôle tout organisme traitant des données de personnes résidant en France dès lors qu’il dispose d’un établissement en France ou que ces personnes sont concernées. L’extraction de base réalisée pendant le contrôle fige la preuve : nombre de comptes, ancienneté des lignes, écart entre durées affichées et durées réelles. Dans l’affaire sanctionnée en janvier 2024, cette extraction a établi que la société conservait 2 394 538 lignes depuis plus de cinq ans et moins de dix ans et 737 563 lignes depuis plus de dix ans pour les comptes d’utilisateurs gratuits, alors même qu’elle annonçait cinq ans à compter de la dernière connexion.
À l’issue du contrôle, la présidente de la CNIL peut adresser une mise en demeure enjoignant à l’organisme de se mettre en conformité dans un délai déterminé. La mise en demeure n’est pas une sanction, mais elle ouvre un compte à rebours : purger les données excessives, corriger l’information, compléter le registre, encadrer les sous-traitants, documenter les procédures. Si l’organisme s’exécute et le démontre, la procédure peut s’éteindre sans sanction publique. À l’inverse, la mise en conformité tardive n’efface pas les manquements déjà constatés : dans l’affaire Futura Internationale, la société avait été mise en demeure en septembre 2018 puis sanctionnée à 500 000 euros, et le Conseil d’État, 1er mars 2021, n° 437808 a rejeté son recours alors même qu’une délibération postérieure avait constaté sa mise en conformité et clôturé la procédure sur ce point. S’il laisse passer le délai ou ne produit que des mesures de façade, la présidente saisit la formation restreinte, qui engage une procédure de sanction contradictoire avec rapporteur, échanges de mémoires, séance et délibération motivée. Les pouvoirs de la CNIL à ce stade découlent de l’article 58 du RGPD, qui permet à chaque autorité de contrôle d’de se faire communiquer toute information utile, de mener des audits, de mettre en demeure, d’ordonner la mise en conformité, de limiter ou d’interdire un traitement et d’infliger des amendes administratives. Le site de la CNIL décrit cette gradation et les garanties du contradictoire devant la formation restreinte.
Face à une mise en demeure portant sur les durées, l’organisme doit agir sur trois fronts en parallèle. D’abord, arrêter l’hémorragie : suspendre toute conservation manifestement excessive, purger les lignes au-delà des durées, corriger les durées affichées si elles sont inexactes. Ensuite, documenter : registre complété, politique de conservation écrite et datée, preuves des purges par extractions avant et après, procédures de purge périodique, avenants aux contrats de sous-traitance. Enfin, répondre dans le délai en joignant les preuves, sans reconnaître plus que ce que les pièces établissent ni contester l’évidence des extractions. La mise en conformité en cours de procédure n’efface pas les manquements passés, mais elle pèse sur la suite : la formation restreinte en tient compte pour calibrer la sanction et décider d’une injonction sous astreinte.
B. La sanction, son montant et sa contestation : ce que disent les décisions récentes
Lorsque la formation restreinte prononce une sanction, elle applique les critères de l’article 83 du RGPD, qui exige des amendes effectives, proportionnées et dissuasives et impose de tenir compte, dans chaque cas, de la nature, de la gravité et de la durée de la violation, du nombre de personnes affectées, du caractère délibéré ou négligent, des mesures d’atténuation, de la coopération, des antécédents et des catégories de données concernées. En droit interne, ces plafonds et critères sont relayés par la loi n° 78-17 du 6 janvier 1978, dont la délibération du 31 janvier 2024 rappelle le mécanisme : amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, portés à 20 millions d’euros et 4 % dans les hypothèses les plus graves, la formation restreinte prenant en compte pour fixer le montant les critères du même article 83. Le montant dépend donc du nombre de personnes affectées, de la durée de la violation, de la nature des données, de la coopération et des mesures correctives prises avant la décision.
La délibération SAN-2024-002 du 31 janvier 2024 fournit un cas d’école. La société conservait les données de ses clients payants pendant dix ans de façon systématique, en invoquant les obligations du code de la consommation. La formation restreinte a écarté cette justification pour une partie des comptes, en retenant que la conservation de ces données clients n’était pas rendue obligatoire par le code de la consommation. Le raisonnement mérite l’attention car beaucoup d’entreprises se retranchent derrière la comptabilité ou la lutte contre la fraude pour tout conserver dix ans. Or les textes visés sont précis : l’article L. 213-1 du code de la consommation dispose que « Lorsque le contrat est conclu par voie électronique et qu’il porte sur une somme égale ou supérieure à un montant fixé par décret, le contractant professionnel assure la conservation de l’écrit qui le constate pendant un délai déterminé par ce même décret », et l’article D. 213-1 du même code précise que « Le montant mentionné à l’article L. 213-1 est fixé à 120 euros. », tandis que l’article D. 213-2 du même code fixe le délai applicable : « Le délai mentionné à l’article L. 213-1 est fixé à dix ans à compter de la conclusion du contrat lorsque la livraison du bien ou l’exécution de la prestation est immédiate. » Seuls les contrats atteignant ce seuil déclenchent l’obligation ; conserver dix ans l’intégralité des comptes, y compris ceux issus de petits contrats d’un ou deux mois très inférieurs au seuil, dépasse ce que la loi impose. La formation restreinte a d’ailleurs vérifié sur échantillon : sur 100 comptes de clients ayant commandé depuis plus de cinq ans, 69 concernaient des commandes d’un montant inférieur à 120 euros. Pour les comptes gratuits, elle a jugé la durée de cinq ans justifiée par le contentieux et la fraude, mais a constaté la violation dans les faits : les données étaient conservées au-delà de cette durée annoncée. Verdict : la formation restreinte a retenu un manquement à l’article 5-1-e) du RGPD, en précisant que la mise en conformité partielle intervenue en cours de procédure n’exonérait pas la société de sa responsabilité pour le passé. L’amende totale de 100 000 euros sanctionne quatre manquements cumulés aux articles 5-1-e), 13, 28 et 32, la conservation excessive pesant au premier rang parmi les principes clés du règlement.
Deux arrêts du Conseil d’État confirment que le juge administratif valide des sanctions assises sur la conservation excessive. Dans l’affaire Ubeeqo, la société conservait par principe les données de ses utilisateurs non professionnels pendant trois ans à compter de la fin de la relation commerciale, y compris les données de géolocalisation des véhicules relevées tous les 500 mètres. Le Conseil d’État, 6 décembre 2023, n° 467368 a jugé que « la formation restreinte de la CNIL a pu légalement estimer que la société Ubeeqo conservait les données de géolocalisation pour une durée excessive au regard des finalités poursuivies et retenir l’existence d’un manquement aux dispositions du e) du 1. de l’article 5 du RGPD », rejetant le recours contre une amende de 175 000 euros rendue publique pendant deux ans. L’enseignement dépasse la géolocalisation : une durée uniforme de trois ans appliquée indistinctement à toutes les données, y compris les plus intrusives, sans tri par finalité, caractérise l’excès. Dans l’affaire Sergic, le Conseil d’État, 4 novembre 2020, n° 433311 a rejeté le recours contre une sanction de 400 000 euros avec publication pendant deux ans, dans un dossier où la CNIL avait constaté, outre un défaut de sécurité persistant, des manquements aux textes alors applicables. Ces deux décisions montrent la méthode du juge : contrôle de la qualification du manquement au regard des finalités réelles, contrôle de la proportionnalité de l’amende au regard des critères légaux, et validation de la publicité de la sanction quand la gravité et le nombre de personnes concernées le justifient.
Contester une sanction suppose de respecter le cadre contentieux. Le recours s’exerce devant le Conseil d’État contre la délibération de la formation restreinte, dans le délai de recours contentieux, avec des moyens ciblés : erreur sur les finalités retenues, sur les durées réellement appliquées, sur le nombre de personnes affectées, sur la prise en compte de la coopération et de la mise en conformité, disproportion du montant ou de la publicité. Les moyens génériques sur la crise du secteur ou l’absence d’avantage financier, déjà soulevés dans l’affaire de janvier 2024, ne suffisent pas face à des extractions chiffrées. Surtout, le contentieux ne dispense pas de purger : l’injonction de mise en conformité assortie d’astreinte continue de courir, et chaque jour de retard alimente le risque financier. L’organisme avisé mène donc les deux actions ensemble : purger, prouver et répondre aux injonctions d’un côté ; contester devant le juge les points réellement discutables de l’autre. Pour un éclairage opérationnel sur la conduite à tenir dès la réception du contrôle et de la mise en demeure, le guide consacré à la réponse au contrôle CNIL et à la contestation de la sanction détaille la chronologie, les pièces à réunir et les erreurs à ne pas commettre.
En pratique, la purge conforme suit une méthode en cinq temps que les organismes contrôlés auraient intérêt à appliquer avant toute plainte. Recenser les traitements et les gisements de copies, y compris sauvegardes et prestataires. Attribuer à chaque catégorie une durée en base active, un éventuel archivage intermédiaire justifié et un sort final, en citant le fondement. Corriger l’information des personnes pour refléter les durées réelles et mentionner le droit de réclamation. Programmer des purges périodiques avec preuve d’exécution et contrôle par échantillon. Inscrire le tout au registre avec les délais d’effacement par catégorie. Les organismes qui appliquent cette méthode transforment le contrôle en exercice de démonstration ; ceux qui conservent tout, partout, pour toujours, offrent à la CNIL des extractions accablantes.
La conservation des données personnelles n’est donc pas une question de confort informatique, mais une obligation de résultat dont la violation se paie en plaintes, en mises en demeure, en injonctions et en amendes publiées. Fixer des durées proportionnées aux finalités, séparer la base active de l’archivage intermédiaire, informer sincèrement les personnes, tracer les délais au registre et purger pour de bon : ces cinq gestes ferment la porte à la plupart des griefs. Et quand le contrôle est déjà là, purger vite, prouver par pièces et répondre dans les délais reste le moyen le plus sûr de limiter la sanction, sans préjudice d’un recours ciblé devant le Conseil d’État sur les points vraiment contestables.
Besoin d’un avis rapide sur votre dossier
Vos bases conservent des données depuis des années et vous venez de recevoir une demande d’effacement, une plainte CNIL ou une mise en demeure sur les durées de conservation. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique comment purger, documenter et répondre dans les délais. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.