Durée de conservation des logs : 6 mois (CNIL)
Mis à jour le 27 octobre 2026.
Réponse rapide La CNIL recommande de conserver les journaux de connexion six mois. Les données de connexion d'un accès Wi-Fi mis à disposition du public relèvent d'une conservation d'un an (articles L. 34-1 et R. 10-13 du code des postes et des communications électroniques). Comptes informatiques et droits d'accès suivent la durée de la relation de travail. |
Six mois pour un journal de connexion : la durée circule partout, rarement avec sa source. Elle vient d'une recommandation de la CNIL, pas du RGPD, qui ne chiffre aucune durée. Cette page ne traite que le système d'information ; les autres catégories figurent dans le tableau général des durées de conservation des données. Aucune durée publiée ici sans sa recommandation ou son texte, nommé et daté.
Combien de temps conserver les journaux de connexion ?
Six mois : c'est la durée que la CNIL retient pour les logs de connexion, et c'est une recommandation, pas un délai légal.
Sa fiche « Le contrôle de l'utilisation d'Internet et de la messagerie électronique » pose que « les logs de connexion ne doivent pas être conservés plus de 6 mois ». La délibération n° 2021-122 du 14 octobre 2021 admet, elle, qu'« une durée maximale de trois ans pourra ainsi être justifiée » dans les cas les plus courants.
Journaux applicatifs ou journaux système : deux traçabilités, une même durée à documenter
Journal applicatif : trace les opérations des utilisateurs habilités dans l'application qui porte le traitement. Journal système (périmétrique) : trace les événements de l'infrastructure — pare-feu, serveurs, annuaire. |
La délibération n° 2021-122 vise les dispositifs liés à l'application qui porte le traitement, « et non à la journalisation périmétrique, qui répond à une logique différente ». Dans les deux cas, la journalisation est elle-même un traitement : elle a sa finalité, sa durée et sa ligne au registre.
Durées de conservation du système d'information : comptes, droits d'accès, journaux, Wi-Fi et messagerie
Comptes et habilitations suivent la relation de travail, les journaux se comptent en mois, le Wi-Fi ouvert au public en année.
| Traitement | Durée en base active | Archivage ou purge | Recommandation ou texte applicable |
|---|---|---|---|
| Comptes informatiques | Durée de la relation de travail | Désactivation au départ, puis suppression | Référentiel CNIL relatif à la gestion des ressources humaines |
| Droits d'accès et habilitations | Durée de l'habilitation, dans la limite du contrat | Retrait à la mobilité ou au départ, revue périodique | Référentiel CNIL relatif à la gestion des ressources humaines |
| Journaux applicatifs | 6 mois à compter de la collecte | Purge ; jusqu'à 3 ans justifiables dans les cas les plus courants | Délibération n° 2021-122 du 14 octobre 2021 (journalisation) |
| Journaux système | 6 mois à compter de la collecte | Purge, hors obligation légale plus longue | Fiche CNIL « Le contrôle de l'utilisation d'Internet et de la messagerie électronique » ; articles 5.1.e et 32 du RGPD |
| Wi-Fi ouvert au public | 1 an à compter de la connexion | Effacement ; identité civile 5 ans après la fin du contrat | Articles L. 34-1 et R. 10-13 du code des postes et des communications électroniques |
| Messagerie professionnelle | 6 mois à compter de l'utilisation | Purge ; extraction gelée en cas de procédure | Guide CNIL « La sécurité des données à caractère personnel » |
Durées vérifiées à la source le 27 octobre 2026. La durée de vie d'un compte au regard du dossier du salarié se règle avec les durées RH : le compte disparaît au départ, le dossier reste en archivage.
Un an de logs, dans quels cas ? Wi-Fi ouvert au public et obligations légales plus longues
Un an : c'est la durée de conservation des données techniques permettant d'identifier la source de la connexion, à compter de la connexion.
- Un an : les données techniques identifiant la source de la connexion ou les équipements terminaux, pour toute personne offrant au public une connexion en ligne, même gratuite (article L. 34-1, II bis, 3° du code des postes et des communications électroniques).
- Cinq ans : l'identité civile de l'utilisateur, à compter de la fin de validité du contrat ou du service.
- Un an sur injonction : certaines données de trafic et de localisation, sur ordre du Premier ministre pour la sauvegarde de la sécurité nationale.
- Catégories précisées : le décret n° 2021-1362 du 20 octobre 2021 énumère les données concernées, adresse IP source comprise.
Ce régime est légal, pas facultatif : un exploitant de hotspot ne conserve ni moins, ni « par précaution » davantage.
Justifier la durée des logs au registre au titre des articles 5.1.e et 32 du RGPD
Quatre mentions suffisent à défendre une durée en contrôle : finalité, durée en base active, sort au terme, référence invoquée.
L'article 5.1.e du RGPD exige des données « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » ; l'article 32 fonde la finalité de sécurité sans fixer aucun chiffre.
| Mention portée au registre | Ce qui la fonde |
|---|---|
| Finalité : sécurité et traçabilité des accès | Article 32 du RGPD ; fiche 16 « Tracer les opérations » du guide CNIL de la sécurité des données personnelles |
| Durée en base active et point de départ | Article 5.1.e du RGPD ; délibération n° 2021-122 du 14 octobre 2021 |
| Sort au terme : purge ou archivage à accès restreint | Fiche CNIL sur les durées de conservation, mise à jour le 2 avril 2026 |
| Mesures protégeant les journaux eux-mêmes | Article 32 du RGPD ; fiche 19 « Gérer les incidents et les violations » |
Chez nos clients, cette durée s'écrit à deux endroits : la charte informatique, qui fait partie de nos livrables, et la fiche de registre du traitement de journalisation. Les mêmes stades valent pour les données de prospection commerciale et leur purge.
Un contrôle ne demande pas un chiffre, il demande un raisonnement : finalité du journal, durée en base active, sort de la trace au terme, référence invoquée. Une purge sans preuve d'exécution ne tient pas. Depuis 2020, SILEXO a accompagné plus de 150 organismes jusqu'à la conformité (chiffre cumulé arrêté à septembre 2026) : arbitrer ces durées relève du travail d'un délégué externe qui conseille la DSI sur ces durées et leur inscription au registre.
Le logiciel RGPD du DPO
Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.
Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.
Faut-il informer les salariés que leurs accès au système d'information sont journalisés ?
Oui. La journalisation est un traitement : les personnes concernées doivent être informées au titre des articles 12 et 13 du RGPD. En pratique, la finalité (sécurité et traçabilité), les catégories de journaux, la durée retenue et les destinataires figurent dans la charte informatique ou la notice d'information remise aux salariés. Lorsque le dispositif permet aussi de contrôler l'activité individuelle, les représentants du personnel sont informés et consultés avant sa mise en service. Une journalisation non annoncée fragilise l'usage ultérieur des journaux.
Peut-on garder des journaux au-delà de la durée prévue en cas d'incident de sécurité ou de litige ?
Oui, mais par exception et sans décaler la durée générale. La pratique consiste à extraire et geler les seuls journaux utiles à l'incident ou à la procédure, dans un espace à accès restreint, avec une date d'extraction, un motif et un responsable identifiés. Cette conservation prend fin avec l'enquête, l'incident ou le contentieux. Ce qui se documente, c'est l'exception : sans trace écrite du motif, la conservation prolongée devient un écart au principe de limitation de l'article 5.1.e du RGPD.
Notre prestataire d'infogérance peut-il fixer lui-même la durée de conservation des logs ?
Non. La durée est fixée par l'organisation responsable du traitement, qui reste tenue par l'article 24 du RGPD. Le prestataire agit sur instructions documentées au titre de l'article 28 : le contrat doit préciser la durée de rétention des journaux, l'interdiction de la prolonger sans accord écrit, la suppression ou la restitution des données en fin de contrat, et la capacité à démontrer la purge. Une rétention « par défaut de l'outil », non choisie et non écrite, ne constitue pas une durée justifiée.
Que faire quand l'application ne permet pas de purger ses journaux à la durée retenue ?
Deux leviers. Côté contractuel : exiger du fournisseur, au titre de l'article 28, une rétention paramétrable et une description écrite du mécanisme de suppression ; l'interroger avant toute reconduction. Côté technique : à défaut de paramétrage natif, planifier une tâche de purge ou de rotation sur les fichiers et les bases concernés, et conserver la preuve de son exécution. Si la purge reste impossible, l'écart est inscrit au plan d'action avec une échéance, plutôt que laissé implicite dans le registre.
Un salarié peut-il exiger l'effacement des journaux qui le concernent ?
Pas automatiquement. L'article 17.3 du RGPD écarte le droit à l'effacement lorsque la conservation est nécessaire au respect d'une obligation légale ou à la constatation, l'exercice ou la défense d'un droit en justice ; la traçabilité des accès, nécessaire à la sécurité du traitement au sens de l'article 32, relève généralement de ce cas. La demande doit malgré tout recevoir une réponse motivée dans le délai de l'article 12.3, et la motivation s'appuie sur la finalité de sécurité inscrite au registre, pas sur un refus de principe.
Les logs de connexion peuvent-ils servir de preuve dans une procédure disciplinaire ?
Seulement si trois conditions sont réunies : la finalité de contrôle a été annoncée aux salariés avant la collecte, le dispositif est proportionné à l'objectif poursuivi, et l'exploitation reste limitée aux journaux utiles aux faits reprochés. Détourner un dispositif présenté comme purement sécuritaire pour surveiller l'activité individuelle expose l'employeur à voir la preuve écartée et à un manquement de loyauté du traitement. Avant toute exploitation, l'organisation vérifie que la finalité inscrite au registre couvre réellement l'usage envisagé.
