Durée de conservation : les enjeux pour la PME
Selon la CNIL, les données personnelles « ne peuvent pas être conservées indéfiniment ». La base active correspond au temps nécessaire pour atteindre l’objectif du traitement. L’archivage intermédiaire concerne les données qui ne servent plus au quotidien mais restent utiles en cas de litige ou pour une obligation légale : leur accès est limité aux personnes habilitées et elles sont séparées de la base active, physiquement ou logiquement. Ces deux dernières phases ne sont pas systématiques.
Trois sources fixent la durée. Certains textes l’imposent : la CNIL cite la conservation des données de facturation pendant 10 ans au titre du code de commerce. Les référentiels de la CNIL en proposent d’autres, obligatoires ou recommandés ; une durée recommandée peut être écartée si ce choix est documenté, et l’appliquer vaut présomption de conformité. À défaut, c’est au responsable du fichier de la déterminer selon la finalité du traitement.
Le référentiel de la CNIL sur la gestion des ressources humaines, publié le 2 avril 2026 et mis à jour le 20 mai 2026, donne des repères précis. Les images de vidéosurveillance se conservent 1 mois à compter de leur captation. Les journaux d’un contrôle d’accès par badge sans biométrie, 3 mois après leur enregistrement, à titre de recommandation. Les mentions du registre unique du personnel sont archivées 5 ans à compter du départ du salarié. Les bulletins de paie sont archivés 5 ans à compter de leur transmission au salarié.
Notre réflexe : une durée et un point de départ par traitement, inscrits au registre des traitements, puis une purge automatique. La CNIL recommande, dans son guide pour les développeurs, de journaliser les effacements pour pouvoir les prouver. Ce travail rejoint la minimisation des données, principe central du RGPD. Cette fiche est une information générale, à compléter par l’avis d’un conseil.
Exemple
Une entreprise de logistique de 120 salariés passe en revue 9 traitements. Elle constate que les images de vidéosurveillance de l’entrepôt sont gardées 6 mois, que les journaux de badges remontent à 4 ans et que 3 traitements n’ont aucune durée fixée. Elle ramène les images à 1 mois, les journaux à 3 mois, fixe une durée et un point de départ pour chaque traitement, et programme une purge mensuelle dont chaque passage est journalisé.
Questions fréquentes
Combien de temps conserver les images de vidéosurveillance ?
Le référentiel RH de la CNIL retient 1 mois à compter de la captation. En cas de procédure disciplinaire ou pénale, les images utiles sont extraites et conservées pour la durée de la procédure.
Combien de temps garder les bulletins de paie ?
Le référentiel RH de la CNIL prévoit notamment un archivage de 5 ans à compter de leur transmission au salarié, en application du code du travail. D’autres durées s’appliquent à la gestion de la paie elle-même.
Que faire si aucun texte ne fixe de durée ?
L’entreprise détermine elle-même une durée selon la finalité, la justifie et la documente. Si une durée chiffrée est impossible, elle peut exprimer un critère, par exemple une durée à compter de la fin de la relation contractuelle.
Que deviennent les données à la fin de la durée de conservation ?
Elles sont supprimées ou anonymisées. Selon la CNIL, des données réellement anonymisées ne relèvent plus de la législation sur la protection des données.
Sources
- Les durées de conservation des données, CNIL — consulté le 16 octobre 2026
- Référentiel relatif aux durées de conservation : gestion des ressources humaines, CNIL — consulté le 16 octobre 2026
- Minimiser les données collectées (guide RGPD du développeur), CNIL — consulté le 16 octobre 2026
- L’anonymisation de données personnelles, CNIL — consulté le 16 octobre 2026
Auteur
Clément Marchal a fondé le Cabinet Flourens. Depuis 2017, dont cinq ans à faire tourner des équipes, notamment dans un environnement régulé par l'AMF, il voit la même chose : l'IA entre dans l'entreprise par les salariés, pas par la direction. Personne ne sait qui l'utilise, sur quelles données, ni ce qu'elle rapporte. Avec Ardoise, le Cabinet Flourens met cet usage en ordre en six semaines : la carte des usages, des règles acceptées, deux automatisations ou agents IA sur vos outils et le dossier qui prouve ce que l'entreprise a fait.
L'histoire du cabinetMode d'Emploi, la lettre
Une méthode par semaine pour reprendre la main sur votre organisation. Désinscription en un clic.