Le RGPD impose de ne pas garder les données personnelles plus longtemps que nécessaire, sans fixer un délai unique pour tous les cas.
Sans durée écrite par type de donnée, un organisme ne sait pas quand effacer un dossier de candidat ou un fichier de clients. Cet article donne une référence par type de données, puis explique comment l’appliquer.
Ce que recouvre une durée de conservation
La base active et l’archivage intermédiaire
La base active contient les données utilisées au quotidien, pendant le temps nécessaire à l’objectif de la collecte. Les équipes qui en ont besoin y accèdent. Pour la frontière entre GED et archivage, voyez leurs distinctions.
Les dossiers clos passent en archivage intermédiaire si une obligation légale ou un contentieux l’exige. Ces archives doivent être isolées de la base active et consultées seulement par des personnes habilitées, de façon ponctuelle et motivée.
Le point de départ du délai
Pour un client, le délai de trois ans part de la fin de la relation commerciale. Ce peut être un achat, l’expiration d’une garantie, le terme d’un contrat de services ou le dernier contact du client.
Pour un prospect qui n’a jamais acheté, le délai part de la collecte de ses données ou de son dernier contact. Si le prospect répond à nouveau, le délai repart de ce contact.
Tableau de référence des durées par type de données
Le tableau suivant indique la durée de conservation de trois données RH très demandées, ce qui est gardé et ce qui se passe à l’échéance ; pour les pièces comptables, il faut aussi regarder la GED pour les documents comptables.
| Critère | Candidat non retenu | Double du bulletin de paie | Éléments de l’assiette des cotisations |
|---|---|---|---|
| Durée de conservation | Cinq ans à compter du jour où le poste a été pourvu | Cinq ans | Un mois au maximum pendant le calcul, puis six ans à compter de leur établissement ou de leur réception |
| Ce qui est conservé | Les données utiles à la preuve en cas de discrimination | Un double du bulletin de paie | Les éléments nécessaires au calcul des cotisations |
| À l’échéance | Suppression des données | Suppression du double | Suppression des éléments |
Données RH : combien de temps conserver chaque pièce
Candidatures et recrutement
Pour un candidat retenu, le dossier reste jusqu’au résultat du recrutement. Ensuite, seules les données de gestion du personnel sont gardées.
Pour un candidat non retenu, le dossier ne passe pas en gestion du personnel. Pour le garder, il faut le verser dans un vivier.
Dans un vivier, la durée est de deux ans après le dernier contact pour les candidats ayant consenti à la conservation de leur dossier en vue de nouvelles opportunités ; à défaut, la CNIL recommande de ne pas dépasser trois mois après l’aboutissement du recrutement. Seuls les profils utiles y restent, et l’opposition du candidat ou son consentement est respectée, selon le cas.
Bulletins de paie et déclarations sociales
Pour les bulletins électroniques et la déclaration sociale nominative (DSN), voyez les normes d’archivage électronique des documents et retenez ces trois règles :
- Bulletin de paie électronique : garantir sa disponibilité pendant cinquante ans, ou jusqu’à ce que le salarié atteigne l’âge de la retraite augmenté de six ans.
- Bulletin de paie électronique : permettre au salarié de le récupérer à tout moment, dans un format électronique structuré et courant.
- DSN : garder les données nécessaires jusqu’à la réception du certificat de conformité, puis six ans à compter de leur établissement ou de leur réception.
Dossier du salarié après son départ
Le registre unique du personnel se garde pendant la présence du salarié, puis cinq ans après son départ. Cette durée vaut pour le registre seul.
Le reste du dossier RH a son propre délai : pour chaque pièce, il faut vérifier la durée qui lui correspond avant de la sortir de la base active.
Clients et prospects : fin de relation et délai de prescription
Clients et prospection
Pour un client, le délai part de la fin de la relation commerciale. Cette fin peut être une date d’achat, l’expiration d’une garantie, le terme d’un contrat de services ou le dernier contact venant du client.
Les données servant à la prospection se gardent pendant la relation, puis trois ans après sa fin.
Les obligations nées du commerce, comme les factures, se prescrivent par cinq ans, sauf délai spécial plus court. Pour archiver les factures, voir archivage électronique des factures et conformité.
Prospects non clients
Pour un prospect non client, le délai de trois ans part de la collecte ou du dernier contact venant de la personne. Un clic sur un lien du courriel compte comme contact ; une simple ouverture, non.
À l’échéance, il faut écrire au prospect pour savoir s’il veut encore être sollicité. Sans réponse positive et explicite, les données sont supprimées ou archivées selon les règles applicables.
Si une obligation légale ou un litige impose de garder certaines données, l’archive se limite à elles, pour la durée applicable.
Logs de connexion : jusqu’à quelle durée les garder
Les journaux de connexion se gardent jusqu’à un an dans le cas général. Il faut tracer les accès, créations, modifications et suppressions, pour pouvoir suivre les actions sur les données personnelles.
Pour archiver ces journaux dans de bonnes conditions, il faut comprendre le système d’archivage électronique SAE.
Pour dépasser la durée générale, il faut démontrer et documenter :
- le besoin de contrôle interne qui impose de garder les journaux plus longtemps, sans aller au-delà de trois ans
- les délais réels des processus de contrôle
- les procédures d’analyse et d’enquête, écrites à l’avance
- la proportionnalité : la durée reste limitée au but poursuivi
Quelles bases légales justifient chaque durée
La base légale répond à la question : le traitement est-il permis ? La durée répond à une autre question : combien de temps garder la donnée ?
Une donnée peut avoir une base légale valable et devoir être effacée une fois la finalité atteinte.
En RH, l’obligation légale justifie la DSN et le registre unique du personnel. Pour les autres traitements, le contrat, l’intérêt légitime ou une mission d’intérêt public peuvent convenir selon le contexte.
Dans la relation de travail, le consentement tient rarement : le salarié dépend de son employeur. Il ne vaut que si refuser n’a aucune conséquence pour lui. Pour chaque finalité, il faut consigner les deux.
Mettre en place une politique de conservation vérifiable
Une politique de conservation se vérifie par le registre des traitements, où chaque ligne porte la durée retenue. Sans cette durée écrite, elle ne peut ni être présentée ni contrôlée.
Si aucun texte ne fixe le délai, la durée se fonde sur le besoin réel. Il faut alors indiquer aux personnes concernées la durée ou les critères qui la déterminent.
Pour le cahier des charges GED, il faut consigner :
- la finalité, la base légale et le point de départ du délai ;
- la durée en base active et la durée d’archive ;
- les personnes autorisées à consulter l’archive ;
- la règle de suppression, que la GED lance à la date prévue.
Chaque type de donnée a sa durée, qui part d’un événement précis. Cette durée s’écrit dans le registre des traitements, à côté de la base légale, pour pouvoir être contrôlée.
Le prochain pas consiste à lister les traitements et à noter, pour chacun, le point de départ et les deux durées. Commencer par les candidatures.
Foire aux questions
Quelle durée de conservation appliquer aux enregistrements de vidéosurveillance ?
La durée maximale est d’un mois : au-delà, il faut effacer les images. Quelques jours suffisent en règle générale pour faire les vérifications nécessaires.
Cette limite vient du RGPD, qui impose de ne garder les données identifiantes que le temps de la finalité.
Un contentieux en cours permet-il de prolonger la durée de conservation ?
Oui, mais seulement pour les données utiles à la procédure. Ces données sortent du système et passent dans un traitement distinct, qui les garde pendant toute la durée du contentieux.
Le reste ne suit pas la procédure : il n’a pas de raison d’être conservé.
Une conservation au-delà de la durée prévue expose-t-elle à une sanction ?
Oui. Garder des données identifiantes au-delà de la durée prévue contrevient au principe de limitation du RGPD, sauf exception prévue par le texte. Ce manquement peut donner lieu à une sanction de la CNIL, l’autorité chargée du contrôle.
Les durées de ce tableau s’appliquent-elles aux associations et aux collectivités ?
Oui, pour les données RH, si le personnel relève du droit du travail français : une association ou une collectivité qui emploie des salariés sous ce régime est concernée.
Pour les autres cas, il faut adapter les durées aux règles applicables à l’organisme.