Combien de temps peut-on conserver des données sur ses clients et prospects ?

Les données à caractère personnel des clients et prospects devraient être conservées pendant une durée prédéfinie n’excédant pas trois ans à partir de la date de la dernière activité de la personne.

De manière générale, les données à caractère personne doivent être conservées pendant une durée prédéfinie, en fonction de la finalité poursuivie^[1]. Les données sur les clients et prospects ne sont pas une exception à cette règle.

La CNIL recommande que cette durée ne dépasse pas trois ans. Cette durée est issue de la norme simplifiée NS-056^[2], qui n’est certes plus valable depuis l’entrée en vigueur du RGPD, mais dont les durées de conservation des données restent recommandées aux yeux de la CNIL.

« À titre d’illustration, tant l’ancienne norme simplifiée no 48 relative aux fichiers clients-prospects et à la vente en ligne que le récent projet de référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales recommandent que les données de clients inactifs soient conservées pendant une durée de trois ans à compter du dernier contact avec la société. Si cette durée est indicative et ne s’impose pas en tant que telle aux responsables de traitement, la [CNIL] considère qu’elle constitue une référence permettant d’apprécier une durée appropriée. »

Cette durée de trois ans n’est cependant pas imposée. Une durée plus courte ou plus longue peut être utilisée si les traitements effectués le justifient.

Par ailleurs, pour déterminer le point de départ de cette durée, il est recommandé d’utiliser la date de la dernière activité de la personne, c’est-à-dire la date de la dernière commande de la personne ou la date du dernier message de la personne. L’ouverture d’un e-mail en utilisant des « pixels espions »^[3] n’est pas considérée comme une action volontaire de la personne et ne peut donc pas être utilisée pour conserver les données des clients et prospects^[4].

Enfin, l’utilisation d’une durée de conservation trop longue peut être sanctionnée par l’autorité de contrôle, c’est-à-dire la CNIL pour la France. De nombreuses sociétés ont déjà été sanctionnées, notamment :

• le vendeur en ligne Spartoo, car des données sur ses clients et prospects étaient conservées sans limite de durée, puis pendant cinq ans, durée jugée excessive^[5] ;
• les magasins Carrefour, car les données des clients étaient conservées pendant quatre ans, durée jugée excessive^[6].