Durée de conservation des données e-commerce
Mis à jour le 27 octobre 2026.
Réponse rapide Un site de vente en ligne conserve les données de commande le temps de la relation commerciale, le numéro de carte bancaire 13 mois après la date de débit (15 mois en débit différé, délibération CNIL n° 2018-303 du 6 septembre 2018), les données de prospection 3 ans après le dernier contact, et les avis clients publiés 5 ans au plus. |
Aucune durée ne se lit sans son point de départ : l'article 5.1.e du RGPD n'autorise la conservation que « pendant une durée n'excédant pas celle nécessaire au regard des finalités », et chaque finalité d'une boutique a son événement déclencheur. Pour les traitements hors vente en ligne, le tableau de référence des durées de conservation, tous secteurs prend le relais. Notre règle : aucune durée sans son texte, nommé et daté.
Combien de temps conserver les données d'un client après sa commande ?
Le temps de la relation commerciale en base active, puis dix ans d'archivage pour les pièces comptables (code de commerce, article L123-22) et cinq ans au titre de la prescription civile (code civil, article 2224).
| Donnée ou document | Durée en base active | Point de départ du délai | Texte ou recommandation applicable |
|---|---|---|---|
| Compte client actif | Durée de la relation commerciale | Dernière commande ou dernier contact | RGPD, art. 5.1.e ; référentiel CNIL n° 2021-131 du 23/09/2021 |
| Compte inactif | Délai fixé par le site, après avertissement de l'utilisateur | Dernière connexion | Délibération CNIL n° 2016-264 du 21/07/2016 (NS-048) |
| Commande, facture, pièce justificative | Archivage de dix ans | Non précisé par le texte : l’article L123-22 du Code de commerce fixe dix ans sans indiquer de point de départ | Code de commerce, art. L123-22 |
| Preuve d'un droit ou d'un contrat | Cinq ans en archivage intermédiaire | Jour où le titulaire a connu les faits | Code civil, art. 2224 |
| Pièce d'identité reçue en droit d'accès | Un an | Réception de la demande | Code de procédure pénale, art. 9 ; NS-048 |
| Prospection | Trois ans | Fin de la relation commerciale (client) ; dernier contact émanant du prospect | Référentiel CNIL n° 2021-131 du 23/09/2021 |
Durées vérifiées au 27 octobre 2026. La copie d'une pièce d'identité reste l'exception, jugée disproportionnée par les lignes directrices EDPB 01/2022 quand la personne est déjà authentifiée. Voir aussi les règles propres à la prospection commerciale et au délai de trois ans.
Base active, archivage intermédiaire, suppression : ce que recouvre chaque étape et le compte client inactif
Base active : la durée nécessaire à la finalité qui a justifié la collecte. Archivage intermédiaire : dossiers clos présentant encore un intérêt administratif ou couverts par une obligation légale, consultables par des personnes habilitées, séparément de la base active. |
Ces stades structurent le cycle de vie décrit par la CNIL (fiche du 2 avril 2026) : dix ans d'obligation comptable n'autorisent pas à laisser la commande dans la base de travail du service client. Le compte inactif suit la même logique : délai fixé, avertissement, suppression.
Quelle durée pour le numéro de carte bancaire : 13 mois après le débit, 15 mois en débit différé ?
Treize mois suivant la date de débit, quinze mois en débit différé : la délibération CNIL n° 2018-303 du 6 septembre 2018 aligne cette durée sur l'article L. 133-24 du code monétaire et financier.
| Donnée | Durée | Point de départ | Texte applicable |
|---|---|---|---|
| Numéro et date d'expiration (transaction) | Temps du paiement effectif, augmenté du délai de rétractation | Commande | Délibération CNIL n° 2018-303 du 06/09/2018 |
| Numéro et date de validité (preuve) | 13 mois ; 15 mois en débit différé | Date de débit | Code monétaire et financier, art. L. 133-24 ; délibération n° 2018-303 |
| Cryptogramme visuel | Supprimé après la transaction | Paiement effectif | Délibération CNIL n° 2016-264 (NS-048) |
| Carte enregistrée avec le consentement | Jusqu'à la date d'expiration de la carte | Enregistrement du moyen de paiement | Délibération CNIL n° 2016-264 (NS-048) |
Durées vérifiées au 27 octobre 2026. Ces données sont versées en archives intermédiaires et utilisées uniquement en cas de contestation de la transaction : la durée probatoire pèse sur le marchand, pas sur son prestataire de paiement.
Combien de temps garder un avis client publié sur la boutique ?
La durée de publication d’un avis client se limite à ce qui est nécessaire au regard de la finalité poursuivie, conformément à l’article 5.1.e du RGPD.
- Durée : la durée nécessaire au regard de la finalité de publication, selon l'article 5.1.e du RGPD.
- Point de départ : aucun texte ne le fixe ; le site le choisit (en pratique, la date de publication de l'avis), l'inscrit au registre et l'annonce dans sa politique de confidentialité.
- Au terme : suppression, ou conservation sous une forme ne permettant plus l'identification de l'auteur, au sens de l'article 5.1.e du RGPD.
« Le temps nécessaire » n'est pas une durée : arbitrer le point de départ et inscrire la durée au registre
Le point de départ d'un délai est un acte de la personne, jamais un envoi de l'entreprise.
- Nommer la finalité : une adresse portée par deux traitements reçoit deux durées.
- Fixer le déclencheur : fin de la relation commerciale pour un client, dernier contact émanant du prospect pour un prospect non client (référentiel CNIL n° 2021-131 du 23 septembre 2021).
- Écarter les faux contacts : une campagne envoyée, même ouverte, ne redémarre aucun compteur.
- Inscrire au registre : l'article 30.1.f du RGPD impose d'y porter « les délais prévus pour l'effacement des différentes catégories de données » : faire inventorier les traitements de la boutique et inscrire ces durées au registre.
- Paramétrer la purge : l'article 25 du RGPD, précisé par les lignes directrices EDPB 4/2019, en fait une exigence de conception.
Une durée ne se documente pas sans son événement déclencheur : sans point de départ, l'article 5.1.e du RGPD n'est pas démontrable, et la CNIL retient ce manquement parmi les sanctions publiées par sa formation restreinte. Sur nos missions, l'arbitrage se conduit en ateliers d'inventaire d'une à deux heures par responsable de service, traitement par traitement, chaque durée retenue étant inscrite au registre.
Le logiciel RGPD du DPO
Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.
Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.
Faut-il supprimer les données à l'échéance ou suffit-il de les anonymiser ?
Les deux sont admis, mais ils ne s'équivalent pas. Une anonymisation est irréversible : plus aucune réidentification n'est possible, même par recoupement avec l'historique de commandes, et les données sortent alors du champ du RGPD. Un simple remplacement du nom par un identifiant est une pseudonymisation : les données restent personnelles et restent soumises à la durée. Pour des statistiques de ventes, l'agrégation par mois et par catégorie de produit est la voie sûre ; sinon, il faut effacer.
Un client demande la suppression de son compte : peut-on garder sa facture malgré tout ?
Oui. L'article 17.3.b du RGPD écarte le droit à l'effacement lorsque le traitement est nécessaire au respect d'une obligation légale, ce qui est le cas des pièces comptables. La bonne réponse consiste à fermer le compte et à effacer ce qui relève du confort commercial (préférences, historique de navigation, liste d'envies), puis à basculer la facture en archivage à accès restreint jusqu'au terme légal. Le client doit être informé de ce qui subsiste et pourquoi.
La boutique tourne sur une plateforme opérée par un prestataire : qui est censé déclencher les purges ?
Le commerçant, en tant que responsable de traitement. Le prestataire agit sur instruction documentée au titre de l'article 28.3 du RGPD : les durées retenues doivent figurer au contrat, avec la façon dont la purge s'exécute et le sort des données en fin de prestation (article 28.3.g). Avant de signer ou de renouveler, il faut exiger la preuve que l'outil sait appliquer une purge automatique par finalité, et non une simple désactivation de compte qui laisse tout en base.
Les données purgées restent présentes dans les sauvegardes : est-ce un manquement ?
Non, si la situation est maîtrisée. Les sauvegardes obéissent à leur propre cycle de rotation : les données purgées en base active disparaissent au fur et à mesure de l'écrasement. Ce qui est attendu, c'est que la durée de rétention des sauvegardes soit définie et courte, que leur accès soit restreint, et qu'une restauration ne réinjecte jamais des données effacées sur demande. Cette règle de non-réinjection s'écrit dans la procédure de restauration, pas seulement dans le registre.
Un litige avec un client autorise-t-il à prolonger la conservation de son dossier ?
Oui, de façon encadrée. L'article 17.3.e du RGPD permet de conserver ce qui est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice. En pratique : le dossier bascule en archivage intermédiaire, avec accès limité aux personnes chargées du contentieux, et seules les pièces utiles à ce litige sont maintenues — pas l'ensemble du profil client. La prolongation s'arrête à l'extinction des voies de recours, et ce point de sortie se note dès l'ouverture.
Comment prouver, en cas de contrôle, que les durées annoncées sont réellement appliquées ?
Par la trace de l'exécution, pas par la politique affichée. Trois éléments pèsent : une règle de purge automatisée dans la base ou l'outil e-commerce, avec sa fréquence ; un journal des purges horodaté, conservé sans les données effacées ; et la concordance entre les durées du registre, celles de la politique de confidentialité et celles réellement paramétrées. Une requête de contrôle simple — le plus ancien compte inactif encore en base — révèle immédiatement l'écart.
Les durées doivent-elles figurer dans la politique de confidentialité du site ?
Oui. L'article 13.2.a du RGPD impose d'indiquer la durée de conservation ou, lorsqu'elle ne peut être fixée à l'avance, les critères permettant de la déterminer. Une mention unique du type « durée nécessaire » ne satisfait pas cette obligation : il faut distinguer finalité par finalité — compte client, commande, paiement, prospection, avis. La formulation retenue en ligne doit reprendre exactement les durées inscrites au registre des traitements, sous peine d'incohérence visible dès le premier contrôle.
