Tableau des durées de conservation des données PDF
Mis à jour le 14 octobre 2026.
Réponse rapide Aucune durée unique ne s'applique : l'article 5.1.e du RGPD impose de conserver chaque donnée le temps nécessaire à la finalité poursuivie, puis de l'archiver ou de l'effacer. Le tableau ci-dessous indique, pour chaque catégorie de données personnelles, la durée en base active, l'archivage intermédiaire et le texte qui la fonde. |
Une même donnée personnelle reçoit souvent plusieurs durées : celle de son usage courant, celle de sa valeur probatoire, parfois celle d'une obligation légale d'archivage. Chaque durée publiée ici est adossée au texte qui la fonde.
Que dit l'article 5.1.e du RGPD sur la durée de conservation des données personnelles ?
L'article 5.1.e du RGPD interdit de conserver des données personnelles sous une forme identifiante au-delà du temps nécessaire à la finalité poursuivie : la durée se fixe finalité par finalité, s'inscrit au registre prévu à l'article 30 et s'annonce aux personnes concernées.
Le texte exige que les données soient « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » (règlement (UE) 2016/679, texte consolidé). Une conservation plus longue n'est admise qu'à des fins archivistiques, de recherche ou statistiques, avec les mesures techniques et organisationnelles appropriées : elle ne légitime aucun maintien en base active. Le manquement relève du régime de sanction de l'article 83 du RGPD ; la CNIL l'a retenu dans une décision du 5 juin 2025.
Base active, archivage intermédiaire, archivage définitif : trois stades, trois durées
La CNIL décrit trois phases du cycle de vie — conservation en base active, archivage intermédiaire, archivage définitif — et impose, au stade intermédiaire, une séparation d'avec la base active, l'archivage définitif relevant du Code du patrimoine.
| Archivage intermédiaire : la donnée n'est plus d'usage courant mais reste utile à une obligation légale ou à la preuve. La CNIL impose qu'« une séparation avec la base active doit être opérée », physique (base d'archivage dédiée) ou logique (limitation des habilitations) — fiche CNIL sur les durées de conservation, mise à jour le 2 avril 2026. |
La CNIL décrit trois phases dans le cycle de vie des données — conservation en base active, archivage intermédiaire et archivage définitif —, détaillées dans notre article sur les étapes du stockage des données en entreprise.
Tableau des durées de conservation par catégorie de données et texte qui les fonde
Le tableau croise quatre colonnes constantes — catégorie de données, durée en base active, archivage intermédiaire, texte qui fonde la durée — pour les neuf familles de documents d'entreprise que couvrent nos fiches sectorielles.
Notre règle : aucune durée n'est publiée sans avoir été retrouvée dans un texte, un référentiel ou une délibération nommés et datés.
| Catégorie de données | Durée en base active | Archivage intermédiaire | Texte qui fonde la durée |
|---|---|---|---|
| Prospection commerciale et marketing | Durée de la relation commerciale pour les clients ; trois ans à compter de la collecte ou du dernier contact émanant du prospect non client | Trois ans à compter de la fin de la relation commerciale (achat, expiration de garantie, fin de contrat ou dernier contact) | Référentiel CNIL gestion commerciale, délibération n° 2016-264 du 21 juillet 2016 (NS-048) |
| Commandes et comptes clients (vente en ligne) | Durée strictement nécessaire à la gestion de la relation commerciale | Durée nécessaire à l'établissement de la preuve d'un droit ou d'un contrat, sans excéder cette durée | Code de commerce et Code de la consommation (art. L123-22 du Code de commerce ; art. L213-1 du Code de la consommation) |
| Dossiers du personnel et paie | Durée de la relation de travail, tant que le salarié, le stagiaire ou l'alternant fait partie des effectifs, sauf disposition légale ou réglementaire contraire | Cinq ans pour le double des bulletins de paie | Code du travail et référentiel CNIL gestion du personnel (art. L3243-4, art. L1221-13 et D1221-23 du Code du travail) |
| Pièces comptables et bancaires | Aucun texte ne fixe de durée propre : le temps de l'usage courant, puis passage en archivage intermédiaire | Dix ans pour les pièces, livres et registres comptables ; cinq ans pour les documents bancaires | Code de commerce, art. L123-22 |
| Données soumises au délai de reprise fiscal | Aucun texte ne fixe de durée propre : le temps de l'usage courant, puis passage en archivage intermédiaire | Six ans à compter de la dernière opération inscrite sur les livres ou registres, ou de la date à laquelle les documents ou pièces ont été établis | Livre des procédures fiscales, art. L102 B (conservation) et art. L169 (délai de reprise) |
| Documents sociaux de l'entreprise | Les trois derniers exercices pour les comptes annuels, rapports, feuilles de présence et procès-verbaux à fournir aux actionnaires | Cinq ans pour les statuts et les registres de procès-verbaux, à compter de la radiation du RCS ou du dernier procès-verbal enregistré | Code de commerce, art. L225-117 (liste des documents à l'art. L225-115) |
| Journaux et traces du système d'information | Six mois à compter de la collecte pour les journaux de connexion et le contrôle de l'utilisation d'internet et de la messagerie professionnelle | Aucune durée distincte prévue ; un an pour une connexion Wi-Fi publique, sauf obligation légale de conservation plus longue | Guide de la CNIL « La sécurité des données à caractère personnel » (2024) et fiche CNIL sur le contrôle de l'utilisation d'internet et de la messagerie |
| Mutuelle, assurance, services juridiques | Cinq ans minimum après la fin de la relation contractuelle (documents précontractuels et contractuels) | Deux ans à compter de l'événement qui donne naissance à l'action dérivant du contrat d'assurance ; dix ans en assurance vie lorsque le bénéficiaire est distinct du souscripteur | Code des assurances et Code civil, art. L114-1 et art. 2224 |
| Fichiers d'adhérents et de donateurs | Adhérents : jusqu'à la démission ou la radiation, sauf accord exprès du membre | Aucun pour les adhérents après leur démission ou leur radiation ; au minimum six ans pour les reçus de dons | Service-public.fr, repris dans notre tableau des durées pour les associations |
Comment fixer une durée de conservation quand aucun texte ne l'impose ?
Sans texte applicable, la durée se déduit de la finalité : un point de départ, un terme, un besoin probatoire, puis une inscription au registre, l'article 30.1.f exigeant « dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données ».
- Nommer la finalité : une donnée portée par deux traitements reçoit deux durées.
- Fixer le point de départ : dernier contact, fin de contrat, clôture d'exercice.
- Évaluer le besoin probatoire : il justifie l'archivage intermédiaire.
- Choisir la sortie : effacement sécurisé, ou anonymisation si la réidentification est impossible.
- Inscrire la durée : au registre, avec son fondement et la date de l'arbitrage.
Sur nos missions, cet arbitrage se conduit en ateliers d'une à deux heures par responsable de service : chaque traitement y reçoit sa durée, son archivage intermédiaire et son fondement.
Un référentiel de la CNIL donne des durées types, il ne remplace pas l'analyse par finalité. Une durée légale d'archivage n'autorise jamais le maintien en base active. Et une purge automatisée bute sur les copies : sauvegardes, exports, environnements de test.
Écrire une politique de conservation des données : ce que le document doit contenir
Une politique de conservation ne vaut que si elle nomme, pour chaque finalité, une durée, un responsable de la purge et une preuve de son exécution, l'article 13.2.a imposant d'indiquer aux personnes la durée ou les critères utilisés pour la déterminer.
- Le périmètre : les traitements et les systèmes couverts, sauvegardes et exports compris.
- Les catégories de données : celles du registre, dans les mêmes termes.
- La durée par finalité : base active, archivage intermédiaire, sort final.
- Le responsable de la purge : une personne nommée, une périodicité, un mode opératoire.
- La preuve de l'effacement : des comptes rendus datés, qui ne reconstituent pas les données supprimées.
La même durée s'écrit deux fois : au registre (article 30.1.f) et dans l'information donnée aux personnes (articles 13 et 14). Une politique héritée se vérifie fiche par fiche. Vous pouvez aussi nous confier la construction du registre, traitement par traitement, où chaque durée reçoit son fondement.
Les durées de conservation secteur par secteur : les tableaux PDF à télécharger
Neuf fiches sectorielles déclinent ces durées, chacune sur sa page, où le tableau PDF correspondant se télécharge : prospection, vente en ligne, ressources humaines, comptabilité et banques, fiscalité, documents sociaux, système d'information, assurances, associations.
- Prospection et marketing : combien de temps garder un prospect inactif — voir les durées de la prospection commerciale et du marketing.
- Commerce en ligne : commandes et facturation suivent des régimes distincts — voir la conservation des commandes et des comptes clients en vente en ligne.
- Ressources humaines : la page du secteur propose le référentiel de la CNIL sur les durées applicables aux dossiers du personnel et à la paie.
- Fiscalité : le délai de reprise commande l'archivage — voir les données soumises au délai de reprise fiscal.
- Système d'information : voir combien de temps garder les traces et journaux du système d'information.
- Associations : adhésions, dons et reçus fiscaux — voir les fichiers d'adhérents et de donateurs d'une association.
Les fiches comptabilité et banques, documents sociaux, et mutuelle, assurances et services juridiques complètent la série. Depuis 2020, nous accompagnons des organisations jusqu'à la conformité. Le registre, qui doit mentionner « dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données » selon l'article 30.1.f du RGPD, se tient ensuite dans IZIRO.
Le logiciel RGPD du DPO
Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.
Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.
Qui décide des durées de conservation dans l'organisation : le DPO ou la direction ?
La décision appartient au responsable de traitement, au titre de l'article 24 du RGPD : c'est la direction qui arbitre et qui assume les durées inscrites au registre. Le délégué informe, conseille et contrôle (article 39), il ne fixe pas les durées à la place des métiers. En pratique, chaque responsable de service propose la durée utile à sa finalité, le délégué vérifie la cohérence avec les textes et les référentiels CNIL, la direction valide et date l'arbitrage.
Un litige en cours permet-il de conserver des données au-delà de la durée prévue ?
Oui, mais dans un cadre strict. L'article 17.3.e du RGPD autorise la conservation nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice. Les données concernées basculent alors en archivage intermédiaire : accès restreint aux seules personnes chargées du dossier, périmètre limité aux pièces utiles au litige, et retour à la purge dès l'extinction des voies de recours. Cette prolongation se documente par écrit, avec sa date et son motif, et non par un simple gel de la base.
Comment prouver à la CNIL que les données ont bien été supprimées à l'échéance ?
Par la trace de la purge, pas par la déclaration d'intention. L'article 5.2 du RGPD impose de démontrer la conformité : conservez la procédure de purge, l'identification du responsable de son exécution, la périodicité, et un compte rendu daté de chaque campagne indiquant le traitement concerné et le volume d'enregistrements supprimés ou anonymisés. Ces comptes rendus ne doivent pas reconstituer les données effacées. Pensez aussi aux copies : sauvegardes, exports, tableurs bureautiques et environnements de test.
Anonymiser suffit-il à échapper à la durée de conservation ?
Oui si l'anonymisation est réelle, non si elle n'est qu'une pseudonymisation. Une donnée anonymisée ne permet plus, par aucun moyen raisonnable, de réidentifier une personne : elle sort du champ du RGPD et peut servir à des statistiques sans limite de durée. La pseudonymisation, définie à l'article 4.5, conserve une possibilité de rattachement via une table de correspondance : la donnée reste personnelle et reste soumise à la durée fixée. Testez la réversibilité avant de qualifier un jeu de données d'anonyme.
Que faire quand une personne demande l'effacement avant la fin de la durée prévue ?
Distinguez la base légale de chaque donnée. Si la conservation repose sur une obligation légale — pièces comptables, bulletins de paie, déclarations fiscales — l'article 17.3.b du RGPD fait obstacle à l'effacement : vous répondez en motivant le refus partiel et en précisant l'échéance. Pour le reste, notamment la prospection fondée sur l'intérêt légitime ou le consentement, l'effacement s'exécute et se trace. La réponse écrite distingue donnée par donnée ce qui est supprimé et ce qui est conservé, avec son fondement.
Faut-il faire figurer les durées de conservation dans la politique de confidentialité ?
Oui. L'article 13.2.a du RGPD impose d'indiquer à la personne concernée la durée de conservation ou, lorsqu'elle ne peut être déterminée à l'avance, les critères permettant de la fixer. Une mention « conformément à la réglementation » ne satisfait pas cette exigence. Reprenez les durées finalité par finalité, dans les mêmes termes que votre registre : un écart entre la notice publiée et le registre est le premier décalage relevé lors d'un contrôle documentaire.
Que doit-on exiger d'un prestataire qui héberge ou traite vos données sur la purge ?
Le contrat d'article 28 doit prévoir trois points : l'interdiction pour le sous-traitant de conserver les données au-delà de vos instructions, le sort des données en fin de prestation — suppression ou restitution au choix du responsable de traitement, article 28.3.g — et la suppression des copies existantes, sauvegardes comprises, avec un délai. Demandez par écrit la durée de rétention des sauvegardes et un justificatif de suppression à la clôture du contrat ; sans cela, votre purge interne reste incomplète.
