Durée de conservation des données personnelles

Pendant combien de temps le responsable du traitement peut-il conserver les données ?

Le plus souvent, il reviendra aux organismes qui traitent des données personnelles de définir au cas par cas la durée de conservation appropriée aux finalités poursuivies, dans le respect des droits et libertés des personnes. Dans d’autres cas, les autorités de contrôle ont pu fournir des instructions ou des éléments permettant de fixer la durée de conservation des données. Puisque les données doivent être conservées le temps d’accomplir l’objectif fixé (via les finalités) du traitement, la durée de conservation (archives courantes) doit être fixée en fonction de cet objectif.

Point de départ du délai de conservation des données

Ni le RGPD ni la loi Informatique et libertés ne donnent d’indications quant au point de départ du délai de conservation. Cependant, l’analyse des délibérations de la CNIL permet de trouver des indices permettant de le déterminer.

Ainsi, dans les cas où la personne concernée entretient une relation commerciale suivie avec le responsable du traitement, la CNIL estime que la durée de conservation commence à courir à compter de la fin de la relation entre le responsable du traitement et la personne concernée ( CNIL, délib., 23 sept. 2021, n^o 2021-130 ).

Quant aux données relatives à un prospect non client, le point de départ de la durée de conservation court, selon la CNIL, à partir de la collecte des données ou du dernier contact émanant du prospect ( Délib. CNIL n^o 2021-131, 23 sept. 2021 ). Sur ce point, la CNIL considère, que « la simple ouverture d'un courriel ne devrait pas être considérée comme un contact émanant du prospect ».

Détermination de la durée de conservation des données

C’est au responsable du traitement que revient la mission de déterminer cette durée de conservation. Pour cela, il doit mener une réflexion visant à déterminer pendant combien de temps la conservation des données à caractère personnel qu’il a collectées est raisonnablement nécessaire pour réaliser l’objectif fixé, à savoir accomplir les finalités poursuivies. Le sous-traitant, quant à lui, ne peut pas traiter les données pour une durée allant au-delà de celle fixée par le responsable du traitement et indiquée dans le contrat le liant à ce responsable du traitement.

La CNIL a ainsi été amenée à sanctionner la société SERGIC d’une amende de 400 000 euros pour avoir conservé en base active l’ensemble des documents transmis par les candidats n’ayant pas accédé à la location au-delà de la durée nécessaire à l’attribution des logements ( CNIL, délib., 28 mai 2019, SAN-2019-005 ). Le recours de SERGIC en annulation de cette délibération a été rejeté par le Conseil d’État qui a estimé que les manquements auraient pu être prévenus « par des mesures d’archivage » ( CE, 4 nov. 2020, n^o 433311 ). En septembre 2022, la CNIL a infligé une amende de 250 000 euros à Infogreffe notamment pour manquements à l’obligation de conserver les données pour une durée proportionnée à la finalité du traitement. Elle a constaté que les données de nombreux membres et abonnés avaient été conservées au-delà des 36 mois à compter de la dernière commande, prévus par la Charte de confidentialité du site web www.infogreffe.fr ( CNIL, délib., 8 sept. 2022, SAN-2022-018 ).

la CJUE a précisé que les données à caractère personnel, notamment les données biométriques et génétiques, traitées par les autorités de police à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites, ne pouvaient pas être conservées jusqu’au décès de la personne concernée. Une telle conservation est jugée excessive et non nécessaire au regard des finalités pour lesquelles les données ont été traitées, la personne condamnée qui a été réhabilitée ayant le droit à l’effacement de ses données ( CJUE, 30 janv. 2024, aff. C-118/22, NG c/ Direktor na Glavna direktsia « Natsionalna politsia » pri Ministerstvo na vatreshnite raboti - Sofia, ).

Les durées fixées par les dispositions législatives ou réglementaires

Il existe des cas où des dispositions législatives ou réglementaires fixent des durées de conservation des données anticipant la mission confiée au responsable du traitement.

Par exemple, la conservation des données par les opérateurs de communication électronique est fondée sur l’article L. 34-1 du code des postes et des communications électroniques.

De même, plusieurs dispositions du code du travail précisent les durées de conservation relatives à certaines données :

• l’article R. 1221-26 du code du travail fixe un délai de conservation de 5 ans pour le registre du personnel ;
• l’article L. 3243-4 du code du travail fixe un délai de conservation de 5 ans des bulletins de paie et des reçus de solde de tout compte ;
• l’article D. 3171-16 du code du travail fixe un délai de conservation de 3 ans pour les documents relatifs à la comptabilisation des jours de travail des salariés au forfait ainsi qu’un délai, cette fois, d’un an pour les comptabilisations des horaires de travail de chaque employé ;
• l’article D. 4711-3 du code du travail fixe un délai de conservation de 5 ans pour les documents relatifs aux registres de sécurité, de contrôle et de vérification.

Par ailleurs, l’article L. 244-3 du code de la sécurité sociale prévoit un délai de conservation de 3 ans pour les documents relatifs aux charges sociales.

Enfin, d’autres dispositions fixent également des durées de conservation en fonction de la nature de données en cause. C’est le cas par exemple de l’article L. 123-22 du code de commerce qui impose une durée de conservation de 10 ans pour les documents comptables et les pièces justificatives pour la tenue des comptes bancaires clients.

Les durées fixées ou recommandées par la CNIL

Les responsables de traitement pourront utilement se reporter à certaines délibérations de la CNIL, qui mentionnent des durées de conservation des données pour certains traitements particuliers.

C’est par exemple le cas de la recommandation du 17 septembre 2020 relative aux cookies et autres traceurs, où la CNIL recommande que la durée de vie des traceurs de mesure d’audience soit limitée à une durée permettant une comparaison pertinente des audiences dans le temps, comme c’est le cas d’une durée de treize mois, et qu’elle ne soit pas prorogée automatiquement lors des nouvelles visites. Les informations collectées par l'intermédiaire de ces traceurs devraient être conservées pour une durée maximale de vingt-cinq mois ( CNIL, délib., 17 sept. 2020, n^o 2020-092 ).

Par ailleurs, un certain nombre de normes simplifiées énonçant des durées de conservation ont été adoptées par la CNIL sous le régime antérieur à l’entrée en application du RGPD. Elles n’ont plus de valeur juridique, mais les responsables de traitement peuvent s’en inspirer dans l’attente de production de référentiels RGPD. C ’est le cas :

• de la norme simplifiée NS-056 applicable aux fichiers des clients-prospects des assureurs ( Délib. CNIL n^o 2013-213, 11 juill. 2013 ) :

  • le principe est celui de la conservation le temps nécessaire à la gestion de la relation commerciale ;
  • les données des clients utilisées à des fins de prospection commerciale peuvent être conservées pendant un délai de 3 ans à compter de la fin de la relation commerciale ;
  • les données relatives à un prospect non-client peuvent être conservées pendant un délai de 3 ans à compter de leur collecte par le responsable du traitement ou à partir du dernier contact émanant du prospect ;
  • concernant la gestion des listes d’opposition à recevoir de la prospection : la durée de conservation est de 3 ans au minimum à compter de l’exercice du droit d’opposition ;
• de la norme simplifiée NS-047 applicable à la gestion de la téléphonie sur le lieu de travail ( Délib. CNIL n^o 2005-019, 3 févr. 2005 ) : conservation des données pendant un an courant à la date de l’exigibilité des sommes dues en paiement des prestations des services de téléphonie.

Conservation des données bancaires dans le cadre d’une vente à distance

La CNIL a adopté une recommandation ( Délib. CNIL n^o 2018-303, 6 sept. 2018 ) sur les données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance. Après avoir rappelé que les données bancaires sont des données à caractère hautement personnel appelant la réalisation d’une AIPD compte tenu de la gravité des impacts pour les personnes concernées que leur violation pourrait engendrer, la Commission recommande les durées de conservation suivantes :

En tout état de cause, ces données doivent être conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. De plus, la conservation du cryptogramme après la réalisation de la première transaction est interdite, dans tous les cas de figure, y compris pour les abonnements nécessitant différents paiements.

Enfin, la CNIL recommande que, lorsque les données relatives à la carte de paiement sont conservées afin de faciliter la réalisation ultérieure de transactions, les accès ou utilisations de ces données doivent faire l’objet de mesures de traçabilité spécifiques permettant de détecter a posteriori tout accès ou utilisation illégitime des données et de l’imputer à la personne responsable.

Conservation des données RH

La durée de conservation des données, sous une forme permettant l’identification des personnes concernées, doit être fixée au regard de la finalité de cette conservation, et en amont du traitement. Deux durées distinctes peuvent être prévues pour la base active d’une part, et l’archivage intermédiaire (avec accès restreint) d’autre part.

Dans sa délibération du 21 novembre 2019, la CNIL a adopté un référentiel relatif aux traitements de données mis en œuvre à des fins de gestion du personnel. Elle y propose, à titre indicatif, les durées de conservation suivantes ( Délib. CNIL n^o 2019-160, 21 nov. 2019 : JO, 15 avr.) :

Conservation des données dans le secteur de la santé

La CNIL a adopté deux référentiels le 18 juin 2020 :

• un référentiel relatif aux durées de conservation des données à caractère personnel traitées à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ( Délib. CNIL n^o 2020-077, 18 juin 2020 : JO, 28 juill.)  ;

• un référentiel relatif aux durées de conservation des données à caractère personnel traitées dans le secteur de la santé pour les activités suivantes ( Délib. CNIL n^o 2020-076, 18 juin 2020 : JO, 28 juill.) :

  • la prise en charge des patients par les établissements de santé ;
  • la gestion des cabinets médicaux et paramédicaux ;
  • la gestion d’une pharmacie d’officine ;
  • les activités de traitements des laboratoires d’analyse médicale ;
  • l’activité des opticiens lunetiers ;
  • la télétransmission des feuilles de soin ;
  • le dossier pharmaceutique ;
  • le dossier médical partagé (DMP) ;
  • le dépistage organisé du cancer du sein, du cancer colorectal et du cancer du col de l’utérus ;
  • les vigilances sanitaires.

Conservation des données dans le cadre de la gestion locative

La CNIL a adopté un référentiel relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de la gestion locative, dans lequel elle préconise des durées de conservation des données au regard des finalités du traitement concerné ( CNIL, délib., n^o 2021-057, 6 mai 2021 ) :

• pour les données collectées préalablement à une candidature à la location traitées à des fins de prospection (données d’identification, coordonnées, critères de recherche), est considérée comme adéquate une durée de conservation de 3 ans à compter du dernier contact des personnes concernées avec l’organisme ;
• pour les données collectées au stade de l’appréciation de la solvabilité des candidats à la location, la durée de conservation de 3 mois en base active est en principe adéquate ;

• pour les données relatives au candidat à la location retenu : la durée contractuelle et jusqu’à la clôture des comptes du locataire en base active est en principe adéquate, puis en archivage intermédiaire pendant une durée ne pouvant en principe excéder :

  • 3 ans en cas de gestion directe ;
  • 5 ans en cas de gestion déléguée ou semi-déléguée.

• pour les données du locataire collectées depuis la conclusion du bail jusqu’à sa résiliation : la durée contractuelle jusqu’à la clôture des comptes du locataire est en principe une durée de conservation en base active adéquate. A l’issue de cette période, les données peuvent être archivées, en archivage intermédiaire, selon les durées suivantes :

  • 3 ans dans le cadre d’une gestion directe ou semi-déléguée (temps de la prescription en matière de contrat de bail) (selon la répartition des tâches entre le mandataire et le mandant) ;
  • 5 ans dans le cadre d’une gestion déléguée ou semi-déléguée (temps de la prescription commerciale) (selon la répartition des tâches entre le mandataire et le mandant).
• les données collectées dans le cadre de la résiliation du contrat justifiant la fin de solidarité ou la réduction du préavis ne peuvent par principe faire l’objet d’une conservation et peuvent uniquement être consultées par l’organisme, sauf à justifier d’un besoin particulier.

Conservation des données dans le cadre de la gestion des activités commerciales

Dans sa délibération du 23 septembre 2021, la CNIL a adopté un référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales. Elle y propose, à titre indicatif, les durées de conservation suivantes ( Délib. CNIL no 2021-131, 23 sept. 2021 ) :

Conservation des données d ans le cadre de la gestion des impayés dans une transaction commerciale

Dans sa délibération du 23 septembre 2021, la CNIL a adopté un référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des impayés dans une transaction commerciale ( CNIL, délib., 23 sept. 2021, n^o 2021-130 ). Elle y propose des durées de conservations. Si l’organisme choisit de conserver les données pour une durée plus longue que celle proposée par le référentiel, il devra s’assurer que cette durée n’excède pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées :

• en cas de régularisation de l’impayé, les informations relatives à la personne concernée devraient être effacées du fichier recensant les personnes en situation d’impayé dans les 48 heures suivant le constat de la régularisation par l’organisme ou à partir du moment où l’impayé a été effectivement soldé ;
• en cas de non-régularisation, les informations peuvent être conservées dans le fichier recensant les personnes en situation d’impayés et les excluant de ce fait du bénéfice d’une prestation, dans la limite de 5 ans à compter de la survenance de l’impayé.

En tout état de cause, elles peuvent être archivées si l’organisme en a l’obligation légale (par exemple, pour répondre à des obligations comptables ou fiscales) ou si l’organisme souhaite se constituer une preuve en cas de contentieux et dans la limite du délai de prescription applicable.

Obligation d’informer les personnes sur la durée de conservation de leurs données

La loi n^o 2016-1321 pour une République numérique du 7 octobre 2016 a renforcé l’obligation d’information incombant au responsable de traitement ( L. n^o 78-17, 6 janv. 1978, art. 48). En effet, ce dernier est désormais tenu d’informer les personnes concernées de la durée pendant laquelle leurs données seront conservées et traitées. Cette obligation a également été reprises aux articles 13, § 2, a) et 14, § 2, a) du RGPD. Le règlement précise que lorsqu’il n’est pas possible d’indiquer précisément pendant combien de temps les données seront conservées, le responsable du traitement devra alors communiquer aux personnes concernées les critères utilisés pour déterminer cette durée.

Dérogations prévues pour certains types de traitements particuliers

L’article 5, § 1, e) du RGPD et l’article 4 de la loi Informatique et libertés prévoient une hypothèse dans laquelle les données à caractère personnel peuvent être conservées pour des durées plus longues que celles nécessaires au regard de la finalité initiale. Il s’agit des traitements à des fins archivistiques dans l’intérêt public, à des fins de recherches scientifiques ou historiques ou à des fins statistiques. Le choix des données conservées à des fins archivistiques dans l’intérêt public est opéré dans les conditions prévues à l’article L. 213-3 du code du patrimoine.

Cette possibilité est soumise à la condition que soient mises en œuvre des mesures techniques et organisationnelles appropriées afin de garantir les droits et les libertés de la personne concernée (RGPD, art. 89 ).

Actions à mettre en œuvre à l’expiration du délai de conservation des données

Les données devant être collectées et traitées le temps de la réalisation des finalités poursuivies par le responsable du traitement, ce dernier devra, une fois son objectif atteint, procéder à l’effacement des données, à leur archivage ou recourir à un procédé d’anonymisation.

Effacement des données

Si le responsable du traitement décide de supprimer les données une fois la durée de conservation expirée, il devra alors s’assurer que les données ont été effectivement effacées. Il devra donc veiller à ce qu’aucune copie des données ne subsiste au sein de son organisation et auprès de ses éventuels sous-traitants.

Archivage des données

Dans certains cas, le responsable du traitement ne pourra pas supprimer directement les données une fois les finalités du traitement atteintes. Cela peut être le cas lorsqu’il lui est nécessaire de conserver les données le temps de l’écoulement du délai de prescription à des fins de preuves. Dans de telles situations, le responsable du traitement pourra recourir à la technique de l’archivage. La CNIL distingue les archives intermédiaires des archives définitives.

S’agissant des archives intermédiaires, le responsable du traitement est libre de choisir le mode d’archivage le plus adapté à ces besoins. Ainsi, le responsable du traitement peut tout d’abord choisir de conserver les données dans une base d’archive spécifique, distincte de la base active, pour laquelle l’accès est limité aux seules personnes disposant d’un intérêt à pouvoir consulter les données en raison de leur fonction. Il peut aussi choisir de continuer à conserver les données dans la base active. Dans ce cas, il devra procéder à un isolement des données afin de les rendre inaccessibles aux personnes n’ayant plus d’intérêt à les traiter.

En cas d’archivage définitif, c’est l’intérêt public qui peut justifier que les données ne fassent l’objet d’aucune destruction. Ces archives sont gérées par les services d’archives territorialement compétents.

Anonymisation des données

Une fois la durée de conservation expirée, le responsable du traitement peut, au lieu d’effacer les données, procéder à leur anonymisation. Dans de tels cas, les procédés mis en place devront respecter les règles applicables en la matière et donc rendre impossible la réidentification des personnes.

L’anonymisation est une technique qui vise, en effet, à briser le lien entre des données et une personne physique de façon irréversible, afin d’empêcher toute identification d’un individu. C’est une opération complexe, car de nombreux types de données peuvent conduire à l’identification des personnes ; au cours des dernières années, les travaux sur la réidentification ont démontré qu’en reliant des données supposées anonymes à des informations extérieures un « attaquant » pouvait réussir à réidentifier ces informations.

A l’heure actuelle, les principales recommandations existantes en matière d’appréciation des techniques d’anonymisation proviennent principalement du groupe de travail de l’article 29 sur la protection des données ( Avis du G29 n^o 5/2014, 10 avr. 2014 ), endossé par le CEPD. Celles-ci préconisent d’apprécier l’anonymisation par l’usage de solutions techniques résistant exhaustivement à trois critères :

• l’individualisation, à savoir l’impossibilité d’isoler un individu dans un ensemble de données ;
• la corrélation, à savoir l’impossibilité de relier entre eux des ensembles de données distincts concernant un même individu ;
• l’inférence, à savoir l’impossibilité de déduire de l’information sur un individu.

Une solution qui résisterait cumulativement à ces trois risques offrirait alors une protection fiable contre les tentatives de réidentification pouvant être raisonnablement mises en œuvre par le responsable du traitement des données ou par des tiers.