Les données personnelles ne peuvent être conservées que pour une durée limitée qui est fixée soit légalement (ex: lois, décrets, règlements), soit directement par l’autorité française de contrôle, la CNIL, via des recommandations, normes simplifiées, etc.
Il s’agit certainement du chantier le plus périlleux et le plus complexe à mettre en œuvre puisqu’il implique une sensibilisation et une formation en interne des services concernés.
Fort heureusement, de plus en plus de « logiciels métiers », notamment dans le secteur des ressources humaines, commencent enfin à proposer des outils permettant de respecter la durée de conservation des données personnelles de manière automatique.
Néanmoins, non seulement cela n’est pas toujours le cas mais, de plus, de nombreux doutes peuvent subsister au quotidien de manière opérationnelle sur la durée de conservation des données personnelles applicable.
Dans cet article, vous allez pouvoir consulter la durée de conservation des données personnelles qui s’appliquent dans les domaines des Ressources Humaines, de la Prospection Commerciale et du Marketing, de la Comptabilité et des documents sociaux, de la Sécurité et services généraux, et de la Santé.
Avant de consulter les tableaux, il est essentiel de comprendre comment la CNIL structure la conservation des données. Pour chaque traitement, les données personnelles traversent des phases successives. C’est ce que la CNIL appelle le « cycle de vie » de la donnée.
Les données sont accessibles quotidiennement par les services opérationnels qui en ont besoin pour leur mission. C’est la durée nécessaire à l’atteinte de l’objectif initial du traitement : le temps de gérer un recrutement, d’exécuter un contrat, de traiter une prospection.
Les données ne sont plus nécessaires à leur finalité initiale, mais doivent être conservées pour répondre à une obligation légale ou à un intérêt administratif (typiquement, en cas de contentieux ou de contrôle). Cet archivage n’est pas automatique. Il doit être justifié, et implique une séparation physique ou logique avec la base active : les données archivées ne doivent être accessibles qu’aux personnes spécifiquement habilitées.
Données conservées sans limitation de durée pour un intérêt public, historique ou statistique. Cette phase ne concerne pas les entreprises ordinaires.
Bon à savoir : Les durées figurant dans les référentiels CNIL sont soit obligatoires (imposées par un texte législatif ou réglementaire), soit recommandées (point de repère dont vous pouvez vous éloigner sous réserve de documenter votre choix). Appliquer les durées recommandées constitue une présomption de conformité lors d’un contrôle CNIL.
Pour définir la durée de conservation des données personnelles que vous traitez, il est nécessaire de mener une analyse de conformité de vos traitements. Il faut, cependant, noter que la réglementation a prévu une durée de conservation de données à caractère personnel pour quelques traitements. Autrement dit, dans certains cas, la durée de conservation des données personnelles est fixée par des articles. A titre d’exemple, l’article L3243-4 du Code de Travail impose de conserver un bulletin de paie du salarié (considéré ici comme étant une donnée personnelle) pendant 5 ans.
En revanche, pour la majeure partie des traitements de données personnelles, la durée de conservation n’est imposée par aucune réglementation ou texte. C’est au responsable de traitement de définir et de déterminer la durée de conservation des données personnelles qu’il traite et ce, en fonction de la finalité du traitement.
Ayant comme mission l’accompagnement des professionnels dans leur mise en conformité RGPD, la CNIL a mis en place des outils qui permettent de faciliter la définition de la durée de conservation des données personnelles applicable. De plus, le régulateur des données personnelles a prévu un guide pour la facilitation de mise en œuvre de ce principe qui est le respect des durées de conservation.
Ce guide est destiné à répondre à toutes les questions que peuvent se poser les professionnels et ce, que ce soit par rapport au principe de limitation de la durée de traitement des données personnelles, ou par rapport à sa mise en pratique. Il contient également un « référentiel durées de conservation » du point de vue contenu et utilisation.
Ce genre de référentiels de durée de conservation de données a pour principal objectif la facilitation de la recherche de la durée pertinente, qu’un responsable de traitement peut effectuer.
Pour chaque traitement dans un secteur donné, ces référentiels présentent, sous forme d’un tableau, le processus de vie des données à suivre (base active ou archivage intermédiaire). Les durées mentionnées peuvent donc soit être obligatoires ou recommandées. Dans le premier cas, les durées sont imposées par la réglementation, sous forme d’un texte législatif ou réglementaire. En revanche, si celles-ci sont recommandées, les durées constituent un point de repère pour les responsables de traitement.
Bon à savoir : Le gouvernement met également à disposition un simulateur en ligne permettant de trouver la durée minimale légale de conservation d’un document professionnel à partir de mots-clés : service-public.fr/simulateur/calcul/ConserverSesPapiersPro. Cet outil couvre les documents civils
Si aucun référentiel ni aucun texte ne précise la durée applicable à votre traitement, vous devez la définir vous-même. La méthode recommandée :
Conseil Dipeeo : Quelle que soit la durée retenue, vous devez être en mesure de la justifier à tout moment. Un contrôle CNIL portera d’abord sur votre registre des traitements : une durée non documentée est une durée indéfendable. Chez Dipeeo, nos juristes / ex-avocats définissent pour vous ces durées de conservation.
Bon à savoir : La CNIL a publié le 2 avril 2026 un référentiel complet sur les durées de conservation des données RH. Le lendemain, elle a annoncé que le recrutement figure parmi ses thématiques prioritaires de contrôle pour 2026. Si vous utilisez un outil de scoring ou de classement automatique des candidatures, vérifiez que vos durées sont configurées et que vos candidats sont informés de leur droit d’opposition à la décision automatisée (art. 22 RGPD).
| Activités de traitement | Détails du traitement | Durées d’utilisation | Durée de prescription | Références légales |
| Recrutement : candidat retenu | NA | Durée de la procédure jusqu’au résultat, puis réutilisation dans la gestion du personnel | Selon règles applicables à la gestion du personnel | Référentiel CNIL RH, 02/04/2026 |
| Recrutement : candidat non retenu | CVthèque / vivier (avec information et accord du candidat) | 2 ans à compter du dernier contact | 5 ans à compter de la date de pourvoi du poste (fins probatoires anti-discrimination) | Référentiel CNIL RH, 02/04/2026 |
| Absences | NA | Pendant la durée du contrat de travail ou de mission | 5 ans à compter du départ du collaborateur | Référentiel CNIL RH, 02/04/2026 |
| Accidents du travail | NA | Pendant la durée de la gestion de l’accident | 5 ans à compter du départ du collaborateur | Article D4711-3 du Code du travail |
| Annuaire | NA | Durée du contrat de travail ou de prestation de service du personnel mis à disposition | NA | Référentiel CNIL RH, 02/04/2026 |
| Bulletins de paie | Identification du travailleur | Pendant la présence du salarié dans les effectifs | 6 ans glissants après la dernière DSN | Article L102 B du CGI, Article L243-16 du Code de la sécurité sociale, Référentiel CNIL RH, 02/04/2026 |
| Bulletins de paie | Mise à disposition des bulletins (format papier ou électronique) | 1 mois à compter de la transmission au travailleur | 5 ans à compter de la transmission au travailleur. Exception bulletins électroniques : l’employeur doit garantir la disponibilité du bulletin pendant 50 ans ou jusqu’à ce que le travailleur ait atteint l’âge de la retraite augmenté de 6 ans. Pour les actions en paiement des salaires : 3 ans. | Article L3243-4 du Code du travail, Article D3243-8 du Code du travail, Référentiel CNIL RH, 02/04/2026 |
| Charges sociales | URSSAF, retraite, prévoyance, etc. | Pendant le traitement des charges sociales | 6 ans à compter de la date à laquelle les éléments ont été établis ou reçus | Article L243-16 du Code de la sécurité sociale, Référentiel CNIL RH, 02/04/2026 |
| Demandes RGPD | NA | Pendant la durée de la prise en compte de la demande | 5 ans à compter de la réponse à la demande | Article 2224 du Code civil |
| Entretien professionnel | NA | Pendant la durée de la relation de travail | 6 ans | Référentiel CNIL RH, 02/04/2026 |
| Frais | Transports, voyages, etc. | Pendant la durée de traitement du paiement des frais | 5 ans | Article 2224 du Code civil |
| Activités de traitement | Détails du traitement | Durées d’utilisation | Durée de prescription | Références légales |
| Prospection commerciale (B2B et B2C) | Données des prospects | 3 ans à compter du dernier contact actif | NA | Référentiel CNIL activités commerciales |
| Chatbots | NA | 3 ans à compter du dernier contact | NA | Référentiel CNIL activités commerciales |
| Contrat conclu par voie électronique | Pour les contrats de plus de 120 euros uniquement | Pendant toute la durée de la relation commerciale | 10 ans | Article L213-1 et D213-2 du Code de la consommation |
| Contrat conclu par voie papier | NA | Pendant toute la durée de la relation commerciale | 5 ans | Article L110-4 du Code de commerce |
| Cookies | Mesures d’audience | 13 mois maximum à compter de l’installation des cookies sur le terminal | NA | Délibération n°2020-092 du 17/09/2020 de la CNIL |
| CRM (fiches clients) | NA | Pendant la durée de la relation commerciale | 5 ans | Article L110-4 du Code du commerce |
| Cryptogramme des cartes bancaires (CVV2) | NA | Interdiction de conservation de ces données | NA | Article 5 du RGPD et délibération n°03-034 du 19/06/2003 de la CNIL |
| Activités de traitement | Détails du traitement | Durées d’utilisation | Durée de prescription | Références légales |
| Correspondances commerciales | Bons de commande, bons de livraison, etc. | Pendant toute la durée de traitement de la demande | 10 ans à compter de la clôture de l’exercice comptable | Article L123-22 du Code du commerce |
| Facturation des clients | Factures, devis, etc. | Pendant toute la durée de traitement de la demande | 10 ans à compter de la clôture de l’exercice comptable | Article L123-22 du Code du commerce |
| Livres et registres comptables | NA | Pendant toute la durée de traitement de la comptabilité | 10 ans à compter de la clôture du livre ou du registre | Article L123-22 du Code du commerce |
| Documents fiscaux | Déclarations, justificatifs TVA, etc. | Pendant la durée d’utilisation | 6 ans | Article L102 B du Livre des procédures fiscales |
| Activités de traitement | Détails du traitement | Durées d’utilisation | Durée de prescription | Références légales |
| Convocations, feuilles de présence et pouvoirs | NA | 3 ans | NA | Article L235-9 du Code de commerce |
| Ordres et registres de mouvements de titres | NA | 5 ans | NA | Article 2224 du Code civil |
| Procès-verbaux | NA | 5 ans à compter du dernier procès-verbal enregistré | NA | Article 2224 du Code civil |
| Rapport de la Direction | NA | 3 ans | NA | Article L235-9 du Code de commerce |
| Rapport des commissaires aux comptes | NA | 3 ans | NA | Article L235-9 du Code de commerce |
| Statuts | NA | 5 ans à compter de la radiation | NA | Article 2224 du Code civil |
| Activités de traitement | Détails du traitement | Durées d’utilisation | Durée de prescription | Références légales |
| Accès aux locaux | NA | Période d’accès aux locaux | 3 mois à compter de l’accès | Référentiel CNIL RH, 02/04/2026 |
| Appels téléphoniques | NA | 6 mois concernant l’historique des appels | NA | Guide CNIL Travail et vie privée |
| Données de connexion à internet | ex : adresse IP, logs, etc. | 1 an | NA | Décret n°2011-219 du 25 février 2011 |
| Messagerie électronique | NA | 6 mois concernant l’historique de connexion | NA | Guide CNIL Travail et vie privée |
| Relevés téléphoniques | NA | 1 an | NA | Article L34-2 du Code des postes et des communications électroniques |
| Utilisation d’internet | NA | 6 mois concernant l’historique de connexion | NA | Guide CNIL Travail et vie privée |
| Vidéoprotection | NA | Pendant la durée de l’enregistrement et de la visualisation | 1 mois à compter de l’enregistrement | Article L252-3 du Code de la sécurité intérieure |
| Activités de traitement | Détails | Base active | Archivage intermédiaire | Références légales |
| Dossier patient : établissement de santé | Cas général | Durée de la prise en charge opérationnelle + 20 ans à compter du dernier passage pour soin | Évaluation au cas par cas par le responsable de traitement | Article R. 1112-7 du CSP |
| Dossier patient : décès | Si décès moins de 10 ans après le dernier passage | 10 ans à compter de la date du décès | Évaluation au cas par cas | Article R. 1112-7 du CSP |
| Dossier patient : mineur | Si la durée de conservation s’achève avant le 28e anniversaire | Conservation prorogée jusqu’au 28e anniversaire du patient | Évaluation au cas par cas | Article R. 1112-7 du CSP |
| Cabinet médical ou paramédical | Dossier patient | 5 ans à compter de la dernière intervention | 15 ans sur support distinct avec conditions de sécurité équivalentes | Référentiel CNIL Cabinets médicaux et paramédicaux |
| Pharmacie d’officine | Dossier patient | 3 ans à compter de la dernière intervention | 15 ans | Référentiel CNIL santé, 18/06/2020 |
| Pharmacie d’officine | Ordonnancier | NA | 10 ans | Article R. 5125-45 du CSP |
| Pharmacie d’officine | Registre comptable des médicaments stupéfiants | NA | 10 ans à compter de leur dernière mention | Article R. 5132-36 du CSP |
| Laboratoire d’analyse de biologie médicale | Dossier patient | 5 ans à compter de la dernière intervention | 15 ans | Référentiel CNIL santé, 18/06/2020 |
| Dossier médical partagé (DMP) | NA | Durée d’utilisation du dossier par le patient | 10 ans à compter de la clôture du dossier | Article L. 1111-18 du CSP |
| Dossier pharmaceutique : dispensation médicaments | Article R. 1111-20-2-I-2° CSP | 4 mois à compter de la date de saisie | 32 mois | Article R. 1111-20-12 du CSP |
| Activités de traitement | Détails | Base active | Archivage intermédiaire | Références légales |
| Recherche interventionnelle impliquant la personne humaine (RIPH) : conforme MR-001 | Données des personnes se prêtant à la recherche | Jusqu’à la mise sur le marché du produit, ou 2 ans après la dernière publication ; à défaut, jusqu’à la signature du rapport final | Durée conforme à la réglementation en vigueur | MR-001 – Délibération CNIL n°2018-153 du 03/05/2018 |
| Recherche interventionnelle impliquant la personne humaine (RIPH) : conforme MR-001 | Données des professionnels intervenant dans la recherche | 15 ans maximum après la fin de la dernière recherche à laquelle ils ont participé | Durée conforme à la réglementation en vigueur | MR-001 – Délibération CNIL n°2018-153 du 03/05/2018 |
| Recherche non interventionnelle (RIPH) : conforme MR-003 | Données des personnes concernées | 2 ans après la dernière publication ; à défaut, jusqu’à la signature du rapport final | 20 ans maximum | MR-003 – Délibération CNIL n°2018-154 du 03/05/2018 |
| Recherche n’impliquant pas la personne humaine (RNIPH) : conforme MR-004 | Données des personnes concernées | 2 ans après la dernière publication ; à défaut, jusqu’à la signature du rapport final | 20 ans maximum | MR-004 – Délibération CNIL n°2018-155 du 03/05/2018 |
| Études sur données PMSI/RPU : conforme MR-005 | Données des personnes concernées | Durée nécessaire dans la plateforme sécurisée + jusqu’à 2 ans après la dernière publication. Exportation hors plateforme interdite. | NA | MR-005 – Délibération CNIL n°2018-256 du 07/06/2018 |
| Études sur données PMSI (industriels de santé) : conforme MR-006 | Données des personnes concernées | Durée nécessaire dans la solution sécurisée + jusqu’à 2 ans après la dernière publication. Exportation hors solution sécurisée interdite. | NA | MR-006 – Délibération CNIL n°2018-257 du 07/06/2018 |
| Recherche non conforme à une MR | Données des personnes et des professionnels | Durée définie par le responsable de traitement, proportionnée aux finalités de la recherche | Durée conforme à la réglementation en vigueur | Art. 5.1.e RGPD – durée soumise à l’approbation et inscrite dans l’autorisation CNIL |
Le compte de l’utilisateur (hors administrateur) est supprimé après 36 mois d’inactivité totale. L’utilisateur est informé 30 jours, 15 jours puis 5 jours avant la suppression de son compte de l’échéance afin qu’il puisse s’opposer à la suppression.
Le délai repart pour 36 mois à chaque nouvelle connexion à l’application ou à la plateforme.
En cas de litige avec l’utilisateur, le compte doit être conservé pendant toute la durée du litige.
La suppression du compte implique la suppression du compte utilisateur sauf :
L’utilisateur peut demander la suppression de son compte à tout moment.
La suppression du compte implique un archivage du compte pendant un délai de 3 mois durant lequel l’utilisateur peut demander à récupérer son compte.
A l’issue de ce délai de 3 mois, le compte est supprimé automatiquement sauf :
Les logs de connexion (adresse IP, identifiants de session, tokens d’authentification) sont des données techniques soumises au RGPD dès lors qu’ils permettent d’identifier un utilisateur. Leur durée de conservation maximale est de 12 mois, durée au-delà de laquelle ils doivent être supprimés ou anonymisés, sauf demande des autorités dans ce délai.
Connaître les durées est une chose. Les appliquer opérationnellement en est une autre. Voici les trois actions concrètes à mettre en place :
Conseil Dipeeo : La gestion des durées de conservation est l’un des chantiers les plus chronophages de la conformité RGPD, parce qu’elle touche à tous vos outils et à tous vos services. Dipeeo prend en charge votre conformité de A à Z. Nous définissons pour vous les durées de conservation applicables et mettons vous accompagnons dans la mise en place de procédures claires de suppression.
Prendre rendez vous avec Dipeeo – DPO externe déclaré à la CNIL
