Ce que ça veut dire pour votre entreprise
Le RGPD interdit de garder des données « pour toujours » : chaque catégorie doit avoir une durée de conservation définie et justifiée. Passé ce délai, les données sont supprimées ou archivées de façon sécurisée avec un accès restreint.
En pratique, les durées découlent souvent d'autres obligations légales : les factures se gardent 10 ans (code de commerce), les bulletins de paie 5 ans côté employeur, un CV non retenu 2 ans maximum (recommandation CNIL), les données d'un prospect qui ne répond plus 3 ans après le dernier contact. Le piège classique de la TPE n'est pas de garder trop peu — c'est de tout garder indéfiniment « au cas où ».
Ce que dit la loi
L'article 5.1.e du RGPD pose le principe de « limitation de la conservation ». La durée doit être proportionnée à la finalité, inscrite dans le registre, et mentionnée dans vos informations aux personnes. La CNIL publie des durées de référence par secteur d'activité — c'est la source la plus sûre pour ne pas inventer.
Par où commencer
- Pour chaque traitement du registre, notez une durée et sa justification (obligation légale ou référentiel CNIL).
- Appuyez-vous sur les durées pré-jaugées des modèles métier plutôt que de partir de zéro.
- Programmez un ménage annuel : purge des prospects inactifs, des CV expirés, des vieilles sauvegardes.