Supprimer les données associées à une personne après trois ans d’inactivité peut limiter leur conservation, mais ce délai ne s’applique pas uniformément à tous les fichiers. Il faut distinguer les comptes inactifs, les prospects, les pièces comptables et les informations encore nécessaires à un contrat ou à un contentieux.
Le RGPD impose une durée adaptée à chaque finalité, plutôt qu’un délai unique valable pour toute entreprise. Pour éviter les suppressions injustifiées comme les fichiers oubliés, une organisation doit identifier le point de départ, les exceptions et la méthode de purge.
À retenir : l’effacement des inactifs après trois ans
- Durée définie selon la finalité et la catégorie de données
- Délai de trois ans à justifier selon le contexte
- Obligations légales séparées des usages commerciaux courants
- Purge vérifiée dans les outils, exports et sauvegardes
Comptes inactifs et délai de trois ans : ce que prévoit le RGPD
Une durée déterminée selon l’usage des données
Pour comprendre la règle des trois ans, il faut partir du principe général : les données identifiantes ne doivent pas être conservées plus longtemps que nécessaire. Selon la CNIL, le responsable du traitement doit fixer une durée cohérente avec la finalité poursuivie, et pouvoir expliquer son choix.
Le délai de trois ans constitue un repère fréquent pour certaines données commerciales, notamment celles de prospects après leur dernier contact. Il ne signifie pas que toute personne n’ayant pas ouvert son compte depuis trois ans doit être effacée sans examen. Un client inactif peut, par exemple, rester associé à une facture soumise à une obligation comptable.
Ne pas confondre inactivité et absence de tout contact
La date utile dépend de l’activité réellement pertinente pour le traitement : fin de contrat, dernier échange volontaire ou dernière interaction qualifiante. Selon la CNIL, l’ouverture d’un courriel à elle seule ne suffit pas à caractériser un contact émanant du prospect.
Une entreprise fictive de maintenance peut donc cesser les campagnes destinées à un ancien client tout en conservant sa facture dans un espace comptable restreint. La durée de conservation se décide par usage, pas simplement par personne.
Les principales distinctions à examiner :
- Prospects : dernier contact pertinent et finalité de prospection
- Clients : fin de la relation commerciale et obligations restantes
- Comptabilité : durée imposée aux pièces justificatives concernées
- Opposition commerciale : arrêt des sollicitations et gestion de l’opposition
Définir la durée de conservation sans supprimer les mauvaises données
Séparer base active, archive et suppression
Une fois les usages distingués, l’entreprise peut organiser le cycle de vie des données : accès opérationnel, archivage intermédiaire lorsqu’il est justifié, puis suppression ou anonymisation. Selon la CNIL, l’archivage intermédiaire doit répondre à un besoin identifié et s’accompagner d’un accès limité.
La mention « archive » dans un logiciel ne suffit pas si les équipes commerciales peuvent toujours consulter et réutiliser le dossier. À l’inverse, une obligation légale applicable à une facture ne justifie pas de maintenir toutes les coordonnées du client dans le CRM.
Les étapes d’une politique applicable :
- Cartographier les données, les finalités et les logiciels concernés
- Fixer un point de départ adapté à chaque traitement
- Documenter les obligations, recommandations et exceptions retenues
- Attribuer un responsable à chaque règle de purge
| Catégorie | Repère de gestion | Vérification nécessaire |
|---|---|---|
| Prospection | Repère de trois ans après le dernier contact pertinent | Nature du contact et opposition éventuelle |
| Factures | Conservation selon l’obligation comptable applicable | Pièce concernée et point de départ légal |
| Compte en ligne | Durée définie selon les services et leur finalité | Obligations, contrat et activité réelle |
| Dossier litigieux | Conservation ciblée des pièces nécessaires | Motif, périmètre et fin du contentieux |
Traiter les exceptions au cas par cas
Le droit à l’effacement connaît des limites, notamment lorsqu’une obligation légale impose la conservation ou lorsque certaines données sont nécessaires à la défense de droits en justice. Ces exceptions ne doivent pas bloquer automatiquement la suppression de tout un dossier.
Dans une PME, un litige portant sur une intervention précise peut justifier de préserver les pièces de cette intervention. Il ne justifie pas, à lui seul, de conserver les exports marketing, les historiques inutiles et les autres données commerciales.
Mettre en œuvre la purge automatique et contrôler l’effacement
Appliquer les règles dans tous les outils
Une politique ne protège réellement les personnes que si la suppression des données atteint les fichiers utilisés au quotidien. Il faut examiner le CRM, les exports de campagne, les espaces partagés et les prestataires qui traitent les informations pour l’entreprise.
Une purge automatique réduit les oublis, à condition que ses critères soient corrects. Si le logiciel ne permet pas de distinguer les finalités, mieux vaut restreindre temporairement les usages et planifier une correction plutôt que d’appliquer une durée unique à toute la base.
Lors d’un contrôle, les éléments utiles à conserver sont :
- La règle appliquée et son fondement documenté
- Les catégories de fichiers examinées et les opérations réalisées
- Les exceptions maintenues et leur responsable
- Le contrôle des sauvegardes après une éventuelle restauration
| Zone à contrôler | Action de purge | Preuve utile |
|---|---|---|
| CRM | Supprimer ou restreindre les fiches arrivées à échéance | Rapport d’exécution et règle appliquée |
| Exports | Repérer les copies et retirer les données concernées | Liste des emplacements vérifiés |
| Prestataires | Vérifier les instructions et les opérations prévues | Suivi de la demande de suppression |
| Sauvegardes | Encadrer l’accès et réappliquer les effacements après restauration | Procédure de restauration contrôlée |
Conserver une preuve sans recréer le fichier supprimé
Le registre des traitements peut documenter la finalité, la durée retenue et le mécanisme de purge, tandis qu’un relevé établit les contrôles réalisés. Cette traçabilité soutient la conformité réglementaire sans conserver une copie intégrale des données effacées.
Pour les comptes inactifs, le bon résultat n’est donc pas un nettoyage aveugle après trois ans. C’est une règle compréhensible, appliquée au bon fichier, qui concilie protection des données, obligations légales et suppression effective.
Sources : Règlement (UE) 2016/679, articles 5 et 17 ; CNIL, « Les durées de conservation des données ».
