Durée de conservation des données personnelles

Définition

La durée de conservation des données personnelles est la période pendant laquelle un responsable de traitement conserve des données sous une forme permettant l'identification des personnes concernées, encadrée par le principe de limitation de la conservation posé à l'article 5 du RGPD, selon lequel les données ne peuvent être gardées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées. La détermination de cette durée doit reposer sur une justification concrète tenant compte de la finalité poursuivie, des obligations légales de conservation applicables au secteur d'activité, comme les délais fiscaux ou comptables, et des délais de prescription pertinents en cas de contentieux potentiel. Passé ce délai, les données doivent être supprimées ou anonymisées de manière irréversible, sauf archivage intermédiaire justifié pour des finalités précises, comme la recherche scientifique ou historique, soumis alors à des garanties spécifiques. La CNIL recommande fréquemment de distinguer plusieurs bases de données au cycle de vie différencié : une base active pour les traitements courants, une base intermédiaire à accès restreint pour les besoins probatoires, puis un archivage définitif ou une suppression. L'absence de durée de conservation définie, ou une conservation manifestement excessive au regard de la finalité déclarée, constitue l'un des manquements les plus fréquemment relevés lors des contrôles menés par les autorités de protection des données en Europe.