Effacer un compte après trois ans d’inactivité peut limiter la conservation des données personnelles, mais ce délai ne s’applique pas automatiquement à tous les fichiers. Le RGPD demande une durée adaptée à chaque finalité, et non une règle unique valable pour toute entreprise.
Une facture, un compte en ligne et une fiche de prospection ne répondent pas aux mêmes besoins. Pour organiser une purge juste et vérifiable, il faut distinguer les usages, les obligations légales et les exceptions.
A retenir :
- Durée de conservation déterminée selon la finalité des données
- Repère de trois ans à justifier selon le contexte
- Obligations légales distinctes des usages commerciaux courants
- Purge contrôlée dans les logiciels, exports et sauvegardes
Effacement après trois ans d’inactivité : comprendre la règle
Cette distinction entre les données commence par la finalité : chaque information doit rester conservée uniquement pendant la période nécessaire à son usage. Selon la CNIL, le responsable du traitement doit déterminer cette durée et pouvoir expliquer son choix.
Le délai de trois ans, un repère plutôt qu’une règle générale
Pour certaines données de prospection, trois ans après le dernier contact pertinent constitue un repère courant. Selon la CNIL, ce repère ne signifie pas que toute personne sans connexion doit être effacée automatiquement à cette échéance.
Une ouverture de courriel ne suffit pas, à elle seule, à établir un contact venant du prospect. Il faut examiner les interactions réelles et la finalité précise avant de lancer la suppression.
Les critères utiles pour déterminer le point de départ :
- Dernier échange volontaire et pertinent pour la prospection
- Fin de contrat ou de relation commerciale active
- Nature de la pièce et obligation légale applicable
- Opposition exprimée aux sollicitations commerciales
Des données différentes selon les catégories
Une entreprise fictive de maintenance peut cesser ses campagnes auprès d’un ancien client tout en gardant une facture requise pour sa comptabilité. La durée de conservation se décide donc par usage, même lorsque plusieurs fichiers concernent la même personne.
Catégorie
Repère de gestion
Vérification nécessaire
Prospection
Trois ans après un contact pertinent, selon le contexte
Nature du contact et opposition
Factures
Durée imposée par les règles comptables applicables
Pièce concernée et point de départ légal
Compte en ligne
Durée liée au service et à sa finalité
Contrat, activité réelle et obligations
Dossier litigieux
Conservation ciblée des pièces nécessaires
Motif, périmètre et fin du contentieux
Durée de conservation : organiser l’archivage et les exceptions
Une fois les catégories clarifiées, l’entreprise peut séparer l’utilisation courante de l’archivage intermédiaire et de l’effacement. Cette organisation protège les données tout en maintenant les pièces nécessaires à une obligation ou à un litige.
Limiter l’accès pendant l’archivage intermédiaire
Selon la CNIL, l’archivage intermédiaire doit correspondre à un besoin identifié et s’accompagner d’un accès restreint. Appeler un dossier « archive » ne suffit pas si les équipes commerciales peuvent encore le consulter et réutiliser ses données.
Pour bâtir une politique applicable, les responsables doivent préciser les éléments suivants :
- Finalités, catégories de données et outils concernés
- Point de départ défini pour chaque traitement
- Obligations et exceptions documentées avec leur justification
- Responsable désigné pour chaque règle de purge
Appliquer les exceptions sans conserver tout un dossier
Le RGPD prévoit des limites au droit à l’effacement, notamment lorsqu’une obligation légale s’impose ou que des éléments sont nécessaires à la défense de droits en justice. Ces motifs ne justifient pas de conserver indistinctement toutes les données associées à une personne.
Si un litige concerne une intervention précise, une PME peut préserver les pièces utiles à ce dossier. Les exports marketing et historiques sans lien avec le différend peuvent suivre leur propre calendrier de suppression.
Purge automatique : vérifier l’effacement dans tous les outils
Une règle bien documentée ne garantit pas, à elle seule, que les données disparaissent effectivement. Il faut vérifier les logiciels utilisés, les copies exportées, les prestataires et les sauvegardes, où la rétention peut prolonger leur présence.
Contrôler les logiciels, exports et sauvegardes
Une purge automatique réduit les oublis, à condition que ses critères distinguent correctement les finalités. Si un logiciel ne le permet pas, l’entreprise peut restreindre temporairement les usages et corriger son paramétrage avant une suppression générale.
Les contrôles opérationnels peuvent porter sur ces emplacements :
- CRM : fiches échues supprimées ou rendues inaccessibles
- Exports : copies repérées et données concernées retirées
- Prestataires : instructions de suppression suivies et vérifiées
- Sauvegardes : effacements réappliqués après restauration
Zone contrôlée
Action attendue
Trace utile
CRM
Supprimer ou restreindre les fiches échues
Rapport d’exécution
Exports
Repérer les copies et retirer les données
Emplacements vérifiés
Prestataires
Faire appliquer les instructions prévues
Suivi de la demande
Sauvegardes
Encadrer l’accès et contrôler les restaurations
Procédure de restauration
Documenter la conformité sans recréer les données effacées
Le registre des traitements peut préciser les finalités, les durées retenues et le mécanisme de purge. Un relevé des opérations permet également de montrer les vérifications réalisées sans conserver une copie complète des informations supprimées.
La conformité repose ainsi sur une règle compréhensible, appliquée au bon fichier et assortie de contrôles. L’effacement après trois ans peut être pertinent, mais seulement lorsque le contexte et la finalité le justifient.
Source : Règlement (UE) 2016/679, articles 5 et 17 ; CNIL, « Les durées de conservation des données ». Ces références encadrent la limitation de la durée de conservation et les demandes d’effacement.
