Durée de conservation prospection commerciale 3 ans
Mis à jour le 15 octobre 2026.
| Réponse rapide
|
Chaque ligne associe une durée, l'événement qui la déclenche et le texte qui la fonde : aucune durée n'est publiée ici sans sa source nommée et datée.
| Donnée | Durée en base active | Point de départ | Référence CNIL ou texte |
|---|---|---|---|
| Clients, données utilisées pour la prospection | Relation commerciale, puis trois ans | Fin de la relation : achat, expiration de garantie, terme d'un contrat, dernier contact du client | Délibération n° 2016-264 du 21 juillet 2016 (NS-048), art. 5 |
| Prospects non clients | Trois ans | Collecte, ou dernier contact émanant du prospect | Référentiel CNIL gestion des activités commerciales |
| Gestion du droit d'opposition | Trois ans au minimum | Exercice du droit d'opposition | Art. 21.2 et 21.3 du RGPD ; NS-048 |
| Cookies de mesure d'audience | 13 mois, sans prolongation | Dépôt du traceur | Art. 82 de la loi 78-17 ; NS-048 |
| Fréquentation brute avec identifiant | 13 mois, puis suppression ou anonymisation | Collecte | NS-048 |
| Avis clients | 5 ans recommandés au plus | Dépôt de l'avis | Recommandation de la CNIL |
| Jeux-concours et promotions | Durée nécessaire à l'objectif | Lancement de l'opération | Art. 5.1.e du RGPD ; NS-048 |
Cette page ne traite que la prospection et le marketing ; les autres domaines figurent dans le tableau de référence des durées de conservation, tous traitements confondus.
Données clients et prospects non clients : trois ans, mais à partir de quel point de départ ?
Le délai de trois ans est identique pour un client et pour un prospect, mais il ne part pas du même événement : la fin de la relation commerciale d'un côté, le dernier contact émanant du prospect de l'autre.
Fin de la relation commerciale : l'événement qui déclenche le compte à rebours côté client
La délibération n° 2016-264 du 21 juillet 2016 énonce que les données des clients utilisées à des fins de prospection peuvent être conservées « pendant un délai de trois ans à compter de la fin de la relation commerciale » : achat, expiration d'une garantie, terme d'un contrat de prestations, dernier contact émanant du client. Purger la prospection n'efface pas la comptabilité : l'article L123-22 du Code de commerce impose dix ans pour les pièces justificatives, et l'article 2224 du Code civil fixe à cinq ans la prescription des actions personnelles. Les commandes d'un site marchand suivent le même raisonnement.
Durée de conservation des données de prospects non clients : le dernier contact émanant du prospect
Les données d'un prospect non client se conservent trois ans à compter de leur collecte ou du dernier contact émanant de lui. Le point de départ est un acte de la personne, jamais un envoi de l'entreprise.
| Événement | Effet sur le délai de trois ans |
|---|---|
| Clic sur un lien hypertexte dans un courriel | Le délai repart à zéro |
| Demande de documentation, d'essai ou de devis | Le délai repart à zéro |
| Ouverture d'un courriel | Aucun effet : l'ouverture n'est pas un contact |
| Envoi d'une campagne par l'entreprise | Aucun effet : le contact doit émaner du prospect |
La date de purge se calcule donc sur la dernière interaction entrante remontée dans le CRM, pas sur la date d'ouverture, sinon l'échéance est fausse pour toute la base.
Droit d'opposition à la prospection, cookies de mesure d'audience, avis clients et jeux-concours : les durées qui ne suivent pas la règle des trois ans
Quatre familles de données marketing obéissent à un autre compteur : la gestion de l'opposition, les traceurs de mesure d'audience, les avis publiés et les opérations promotionnelles.
L'article 21.2 du RGPD est sans nuance : lorsque la personne s'oppose à la prospection, « les données à caractère personnel ne sont plus traitées à ces fins ». Garder l'adresse en liste d'exclusion est la seule façon de respecter ce refus après la purge du dossier. Cette liste interne ne dispense pas d'interroger la liste d'opposition au démarchage téléphonique : la loi n° 2020-901 du 24 juillet 2020 impose de saisir l'organisme gestionnaire au moins une fois par mois. Les pièces d'identité produites à l'appui d'une opposition relèvent, elles, des durées détaillées pour les mutuelles, assurances et services juridiques.
| Donnée | Ce qui se conserve | Au terme |
|---|---|---|
| Liste d'opposition | Les seules informations nécessaires au refus, l'adresse électronique par exemple | Usage limité à cette fin, trois ans au minimum |
| Cookies de mesure d'audience | Le traceur déposé, 13 mois au plus | Nouveau dépôt : la visite suivante ne prolonge rien |
| Fréquentation brute | Les données liées à un identifiant, 13 mois au plus | Suppression ou anonymisation |
| Avis clients | La contribution publiée, 5 ans au plus | Conservation possible sous forme agrégée |
| Jeux-concours | Les données nécessaires à l'opération | Suppression, sauf obligation légale distincte |
Quand aucun délai forfaitaire n'existe — sondages, tests produit, fidélisation —, l'article 13.2.a du RGPD impose non pas un chiffre au hasard, mais la publication des « critères utilisés pour déterminer cette durée ».
Base active, archivage intermédiaire, anonymisation : ce que devient la donnée une fois le délai de prospection écoulé
Le délai écoulé, la donnée quitte la base active : elle bascule en archivage intermédiaire si une obligation légale ou un contentieux le justifie, sinon elle est supprimée ou anonymisée.
- Base active : la donnée sert à la sollicitation commerciale ; c'est le seul stade où une campagne peut être adressée.
- Archivage intermédiaire : plus d'usage courant, mais une utilité probatoire ou légale, sur support séparé ou avec habilitations restreintes — chaque obligation apporte son propre délai et son propre point de départ, à l'image de celui qui s'applique aux données soumises au délai de reprise fiscal.
- Anonymisation : la réidentification devient impossible et la donnée sort du champ du RGPD.
Les dossiers du personnel appliquent les mêmes stades : une durée légale d'archivage n'autorise jamais le maintien en base active.
Purge des données du CRM : qui la déclenche, à quelle fréquence, et comment en garder la trace
La purge relève du métier, pas du délégué : la conformité reste celle de l'organisation au titre de l'article 24 du RGPD, le délégué informant, conseillant et contrôlant au titre de l'article 39.
Sur nos missions, les durées se décident finalité par finalité pendant les ateliers d'inventaire conduits service par service, puis s'inscrivent dans la fiche de registre de chaque traitement — l'article 30.1.f exige d'y porter « les délais prévus pour l'effacement des différentes catégories de données ». Quand le CRM est hébergé par un prestataire, l'effacement en fin de contrat et la preuve de l'opération s'exigent par écrit au titre de l'article 28. Le plus sûr reste de cadrer ces purges dans un inventaire des traitements.
Prouver l'exécution des purges : journaux d'exécution, dates et inscription au registre des traitements
Une durée écrite au registre sans purge exécutée ne prouve rien. Trois pièces se présentent à un contrôle :
- Le registre des traitements : la durée de chaque finalité et son point de départ.
- Une procédure écrite : qui purge, quoi, selon quelle règle de calcul et à quelle périodicité.
- La trace d'exécution : journal de la tâche automatique, compte rendu de campagne, paramétrage daté de l'outil.
La purge bute sur les copies : exports, sauvegardes, environnements de test et outils d'emailing. Ces traces ont leurs propres durées, détaillées pour les journaux du système d'information.
Chaque durée se documente finalité par finalité, l'article 5.1.e du RGPD n'autorisant la conservation que pendant la durée nécessaire aux finalités poursuivies ; pour les opérations de fidélisation, la délibération CNIL n° 2016-264 du 21 juillet 2016 (NS-048) retient une durée limitée à ce qui est nécessaire à la réalisation de l'objectif. Depuis 2020, SILEXO a accompagné plus de 150 organismes jusqu'à la conformité (chiffre cumulé arrêté à septembre 2026), entreprises comme associations soumises à leurs propres règles d'archivage.
Le logiciel RGPD du DPO
Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.
Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.
L'ouverture d'un e-mail suffit-elle à faire repartir le délai, ou faut-il un clic ?
L'ouverture d'un courriel n'est pas un contact : elle ne fait pas repartir le délai. Un clic sur un lien hypertexte dans le message, une demande de documentation, un appel ou une réponse écrite émanant de la personne constituent en revanche un contact qui remet le compteur à zéro. Conséquence pratique : votre outil d'emailing doit remonter dans le CRM la date du dernier clic ou de la dernière interaction entrante, pas la date d'ouverture, sinon la date de purge calculée sera fausse.
Que devient la donnée une fois le délai de prospection écoulé ?
Elle sort de la base active : plus aucune sollicitation commerciale n'est possible à partir d'elle. Deux issues seulement. Soit une obligation légale ou un contentieux justifie de la garder, et elle bascule en archivage intermédiaire, sur un support ou avec des accès distincts, réservés aux personnes qui en ont besoin à ce titre. Soit rien ne la justifie, et elle est supprimée ou anonymisée ; une fois réellement anonymisée, elle peut nourrir des statistiques sans relever du RGPD. L'archivage a son propre point de départ.
Comment prouver à la CNIL que les purges sont réellement exécutées ?
Une durée écrite dans le registre ne prouve rien par elle-même. Il faut trois éléments : la durée et son point de départ consignés au registre des traitements, une procédure écrite qui désigne qui purge, quoi et selon quelle règle de calcul, et une trace d'exécution datée — journal de la tâche automatique, compte rendu de campagne de purge, capture du paramétrage du CRM. Un contrôle par sondage sur quelques fiches anciennes complète utilement le dossier et révèle les enregistrements oubliés hors du CRM principal.
Qui, dans l'entreprise, déclenche la purge du CRM et à quelle fréquence ?
La responsabilité reste celle de l'organisation (article 24 du RGPD) : la purge est décidée et exécutée côté métier, par la direction commerciale ou marketing avec l'administrateur du CRM. Le délégué informe, conseille et contrôle au titre de l'article 39, il ne décide pas à la place de la direction. Notre méthode consiste à automatiser une règle de purge calculée sur la date de dernier contact plutôt qu'à programmer une opération manuelle annuelle, puis à faire vérifier son exécution par un contrôle périodique documenté.
Les durées diffèrent-elles entre prospection B2B et B2C ?
Le référentiel de la CNIL ne prévoit aucune durée propre aux professionnels. Prospect : trois ans à compter de la collecte ou du dernier contact venant de lui, un clic dans un courriel par exemple. Client : la durée de la relation commerciale, puis trois ans. Les deux contextes diffèrent sur le consentement : par courriel, un particulier doit avoir accepté la prospection, tandis qu’un professionnel peut être sollicité sur la base de l’intérêt légitime, si le message concerne sa profession.
