Combien de temps peut-on conserver des données à caractère personnel ?

Le RGPD impose que les données à caractère personnel doivent être conservées pendant une durée prédéfinie, en fonction des raisons pour lesquelles elles sont traitées. Cette durée doit être la plus courte possible.

« Les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées »

L’idée est de ne pas conserver inutilement des données à caractère personnel :

« Les données à caractère personnel devraient être adéquates, pertinentes et limitées à ce qui est nécessaire pour les finalités pour lesquelles elles sont traitées. Cela exige, notamment, de garantir que la durée de conservation des données soit limitée au strict minimum. »

La durée de conservation des données n’est pas globale à l’ensemble des données. Chaque donnée, ou catégorie de données, doit avoir une durée de conservation spécifique en fonction des finalités pour lesquelles les données sont traitées. Les données personnelles des clients et prospects doivent, par exemple, être conservées pendant une durée inférieure ou égale à trois ans^[1].

À la fin de la période de conservation définie, les données doivent être supprimées. Elles peuvent aussi être archivées sous certaines conditions bien précises :

« les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) »

La conservation de données sans limite de durée ou pendant une durée inadaptée peut être sanctionnée par l’autorité de contrôle. De nombreuses sociétés ont déjà été sanctionnées pour un tel manquement, notamment :

• les vendeurs en ligne Spartoo^[2] et Brico Privé^[3], car les données de leurs clients et prospects étaient conservées sans limite de durée ;
• les magasins Carrefour, car les données des clients étaient conservées trop longtemps^[4] ;
• l’assureur AG2R LA MONDIALE, car les données des contrats des assurés étaient conservés plus longtemps que la durée imposée par la législation^[5] ;
• la RATP, car les données sur les salariés étaient conservées dans des applications internes trop longtemps^[6] ;
• le spécialiste de la livraison de repas Foodinho, car les données sur ses livreurs étaient conservés pendant une durée commune, indépendamment de leurs finalités^[7].

Par ailleurs, la durée de conservation des données fait partie des informations à communiquer obligatoirement aux personnes. Voir « Quelles informations communiquer lorsque des données à caractère personnel sont traitées ? ».