Durées de conservation : « 3 ans » n'est pas une réponse, et supprimer n'est pas la seule option

Demandez à une entreprise combien de temps elle conserve ses données clients, et la réponse arrive souvent sous forme d'un chiffre unique : trois ans, cinq ans, dix ans. C'est déjà mieux que « on ne sait pas », mais la question était mal posée. Une durée de conservation ne se rattache pas à une catégorie de personnes : elle se rattache à une finalité.

La CNIL le formule simplement : une durée de conservation doit être déterminée par le responsable de traitement en fonction de l'objectif ayant conduit à la collecte. Dans certains cas la réglementation la fixe, mais pour de nombreux traitements aucun texte ne le fait — il appartient alors au responsable du fichier de la déterminer en fonction de la finalité du traitement. Autrement dit, le chiffre n'est pas à trouver : il est à justifier.

La conséquence pratique est qu'un même client peut relever de plusieurs durées simultanément. Ses coordonnées de facturation obéissent à une obligation comptable, son historique de navigation à une finalité d'analyse, son inscription à la newsletter à son propre consentement. Une durée unique pour « les clients » écrase ces trois régimes, et se trompe forcément sur au moins deux.

Le cycle de vie a trois phases, pas deux

Voici le point que la plupart des entreprises manquent, et qui explique beaucoup de blocages apparents. La donnée ne passe pas directement de « en base » à « supprimée ». La CNIL décrit trois phases distinctes.

• La base active : la donnée est utilisée pour la finalité qui a justifié sa collecte. Sa durée est celle nécessaire à la réalisation de cet objectif.
• L'archivage intermédiaire : la donnée n'est plus utilisée pour atteindre l'objectif, mais reste conservée pour un intérêt administratif ou une obligation légale — un délai de prescription, par exemple.
• L'archivage définitif : la conservation devient définitive et pérenne, cas rare, essentiellement pour des raisons historiques ou patrimoniales.

L'archivage intermédiaire n'est pas une étiquette : c'est une contrainte technique. La CNIL exige qu'une séparation avec la base active soit opérée, par isolation physique ou logique, avec une limitation des habilitations afin de rendre ces données inaccessibles. Laisser un client « inactif » dans le même CRM que les clients actifs, en changeant simplement un statut, ne constitue pas un archivage intermédiaire.

C'est cette phase qui résout la contradiction apparente entre « supprimer au bout de trois ans » et « conserver dix ans pour la comptabilité » : les deux sont vrais, mais pas au même endroit ni avec les mêmes accès.

Les référentiels CNIL ne sont ni contraignants ni décoratifs

Les référentiels sectoriels publiés par la CNIL sont souvent traités de deux façons également fausses : comme une loi qu'il faudrait appliquer à la lettre, ou comme une suggestion qu'on peut ignorer. Leur statut réel est plus intéressant.

Les durées qu'ils indiquent sont soit obligatoires, lorsqu'elles sont imposées par un texte législatif, soit recommandées au regard de la doctrine de la CNIL. Dans ce second cas, elles constituent un point de repère dont le responsable peut s'éloigner, sous réserve de documenter son choix. Et les appliquer constitue une présomption de conformité.

C'est un arbitrage très concret. Suivre le référentiel vous place dans une position confortable sans effort de justification. Vous en éloigner reste possible, mais transfère sur vous la charge d'expliquer pourquoi votre finalité exigeait autre chose. Ce qui n'est jamais acceptable, c'est de s'en éloigner sans le savoir — c'est-à-dire de ne pas avoir regardé.

Une durée qui n'est pas exécutée n'existe pas

Le décalage le plus fréquent n'est pas entre la loi et le registre, mais entre le registre et la base de données. Une durée écrite dans un tableau, sans mécanisme qui l'applique, décrit une intention. Six mois plus tard, les données sont toujours là, et le registre affirme le contraire — ce qui est une position plus inconfortable que de n'avoir rien écrit du tout.

Automatiser la purge n'est pas un luxe technique, c'est ce qui rend la durée vérifiable. Et la trace de son exécution vaut mieux que la règle elle-même : pouvoir montrer que la purge a tourné, quand, et sur combien d'enregistrements, répond à une question à laquelle un tableau de durées ne répond pas.

Par où reprendre

• Repartez de vos finalités, pas de vos tables : une durée par finalité, jamais une durée par fichier.
• Pour chaque finalité, séparez ce qui relève de la base active de ce qui relève de l'archivage intermédiaire — la deuxième colonne est presque toujours vide alors qu'elle devrait être la plus remplie.
• Vérifiez qu'un référentiel CNIL existe pour votre secteur. S'il en existe un et que vos durées diffèrent, écrivez pourquoi ; c'est exactement ce que la documentation du choix recouvre.
• Pour l'archivage intermédiaire, vérifiez la séparation réelle : qui a encore accès à ces données aujourd'hui, et par quel écran ?
• Vérifiez qu'un mécanisme applique effectivement chaque durée, et gardez la trace de ses exécutions.

Ce chantier a la réputation d'être fastidieux, et il l'est. Il a aussi une propriété rare : c'est le seul dont le résultat se vérifie objectivement. On peut discuter d'une base légale ou de la lisibilité d'une information ; on ne discute pas de la présence d'un enregistrement qui aurait dû disparaître il y a deux ans.