Durée de conservation des données RGPD : le guide pratique 2026
La durée de conservation des données se gère en trois cycles successifs : la base active, l’archivage intermédiaire isolé, puis la purge ou l’anonymisation. En 2026, le RGPD et l’AI Act imposent d’appliquer techniquement ces règles, et non plus seulement de les écrire. Ce guide vous donne la méthode étape par étape.
Qu’est-ce que la durée de conservation des données ?
La durée de conservation des données est la période pendant laquelle une organisation peut garder des données personnelles, avant de devoir les archiver, les supprimer ou les anonymiser. Elle encadre tout le cycle de vie de la donnée et constitue l’un des piliers les plus fragiles de la conformité en entreprise.
Rédiger une politique de conservation des données théorique est à la portée de n’importe quelle organisation. En revanche, l’appliquer techniquement sur le terrain relève souvent de la fiction.
En 2026, conserver des bases de données obsolètes ou mal configurées n’est plus une entorse réglementaire mineure. C’est un risque opérationnel majeur.
Deux évolutions obligent les entreprises à aligner leurs exigences juridiques avec leurs réalités techniques :
- le durcissement des contrôles de la Commission nationale de l’informatique et des libertés (CNIL) sur les « bases fantômes »
- l’entrée en vigueur des obligations de traçabilité du règlement européen sur l’intelligence artificielle (AI Act)
Comment transformer votre politique écrite en processus automatisés et conformes, sans paralyser votre direction des systèmes d’information (DSI) ? Voici la méthodologie.
Pourquoi votre politique de conservation des données est-elle souvent une fiction ?
Dans la plupart des entreprises, la politique de conservation existe sur le papier mais n’est jamais appliquée dans les outils. Un document PDF de vingt pages détaille les durées pour chaque service, mais aucun script de purge n’a été déployé dans les ERP, les CRM ou les serveurs de fichiers.
Les bases s’alourdissent et accumulent des fiches prospects ou des dossiers d’anciens collaborateurs vieux d’une décennie. Ce phénomène de rétention compulsive (data hoarding) rend les entreprises vulnérables pour trois raisons.
Des sanctions de plus en plus sévères
La CNIL et ses homologues européens ne se contentent plus de vérifier la présence d’un registre des traitements. L’absence de procédures effectives de suppression ou d’anonymisation est désormais un motif fréquent de sanctions financières lourdes.
Un coût et un risque cyber accrus
Plus le volume de données dormantes est important, plus la surface d’attaque est grande en cas de ransomware ou de fuite de données.
Stocker des données inutiles augmente aussi vos coûts d’infrastructure cloud, tout en alourdissant votre passif juridique.
La convergence avec l’AI Act
En 2026, l’essor des modèles d’intelligence artificielle connectés aux bases de l’entreprise (systèmes RAG, agents intelligents) change la donne.
Nourrir une IA avec des données obsolètes ou non purgées fausse ses résultats (biais, hallucinations). Cela viole aussi les principes de qualité des données imposés par l’AI Act.
Quels sont les 3 cycles de vie de la donnée selon la CNIL ?
Le référentiel de conservation de la CNIL distingue trois cycles de vie : la base active, l’archivage intermédiaire et la purge ou l’anonymisation. Pour concevoir une architecture de données conforme, vous devez traduire concrètement chacun de ces cycles dans vos outils.
La base active : l’utilité métier immédiate
La base active correspond à la phase de conservation courante. Les données sont stockées dans l’environnement de production standard (logiciel CRM, RH ou de facturation) et restent librement accessibles aux équipes opérationnelles.
Exemple concret : la fiche d’un client dont le contrat d’abonnement SaaS est en cours. Les équipes Support, Sales et Success ont légitimement besoin d’accéder à l’historique de ses interactions.
L’archivage intermédiaire : l’isolation technique indispensable
Dès que l’objectif principal du traitement est atteint, la donnée ne doit plus rester en base active. Elle entre dans la phase d’archivage intermédiaire. C’est ici que la fiction juridique se heurte le plus souvent à la réalité technique.
Le piège du bouton « archiver » : dans la majorité des logiciels métiers, ce bouton se contente de masquer la fiche ou d’ajouter un tag « archivé ». Les données restent stockées dans la même base et accessibles à tous les utilisateurs opérationnels. C’est un manquement au RGPD.
L’archivage intermédiaire exige une séparation logique ou physique des droits d’accès. La donnée doit être extraite de la production, ou verrouillée, pour que seul un personnel restreint et habilité puisse la consulter de façon exceptionnelle :
- le service juridique
- le délégué à la protection des données (DPO)
- un gestionnaire de contentieux
Ces consultations répondent par exemple à un contrôle fiscal ou à la préparation d’une défense en justice.
Exemple concret : un contrat de prestation B2B prend fin. Les données basculent en archivage intermédiaire pendant 5 ans, ce qui correspond au délai de prescription de droit commun (article L110-4 du Code de commerce).
La purge définitive ou l’anonymisation : la fin du risque
Une fois le délai d’archivage intermédiaire écoulé, l’entreprise doit supprimer les données ou les anonymiser.
Si vous choisissez l’anonymisation pour conserver des volumes de données à des fins statistiques ou d’entraînement d’algorithmes, méfiez-vous des raccourcis techniques. Remplacer un nom par un identifiant aléatoire (comme User_8493) n’est pas une anonymisation, c’est une pseudonymisation.
La CNIL rappelle que pour sortir du champ du RGPD, l’anonymisation doit être rigoureuse, robuste et répondre à trois critères cumulatifs :
Si ces trois critères ne sont pas garantis techniquement, la donnée reste soumise au RGPD. La seule issue légale est alors la destruction physique et définitive de l’enregistrement.
Combien de temps conserver les logs d’IA selon l’AI Act ?
L’AI Act fixe à 6 mois minimum la durée de conservation des journaux d’événements (logs) de traçabilité des systèmes d’IA, sauf dispositions sectorielles plus contraignantes. Cette obligation de traçabilité marque un tournant dans la gouvernance des données en 2026, année d’application opérationnelle du règlement.
Pour les systèmes d’IA classés « à haut risque », comme les outils de tri automatisé de CV ou d’évaluation du crédit, l’article 12 de l’AI Act impose l’enregistrement automatique des logs.
Ces logs doivent retracer le cycle de fonctionnement du système. Ils permettent ainsi d’auditer ses décisions en cas d’incident ou de biais algorithmique.
La durée minimale de 6 mois peut être allongée par des réglementations sectorielles :
- le règlement DORA pour la finance
- la directive NIS2 pour la cybersécurité
Comment concilier AI Act et RGPD ?
La conservation des logs exigée par l’AI Act repose sur la base légale de l’obligation légale (article 6.1.c du RGPD). Cette obligation européenne justifie leur maintien pendant la durée minimale requise.
Le paradoxe apparent est le suivant :
- le RGPD impose de minimiser le stockage et de détruire rapidement les données techniques comportementales
- l’AI Act oblige à conserver les logs pour garantir l’auditabilité
L’obligation légale issue de l’AI Act prévaut, à une condition : les journaux doivent être strictement sécurisés et réservés aux équipes de supervision technique.
Comment automatiser la gestion des durées de conservation avec Adequacy ?
Une plateforme de gouvernance dédiée permet d’aligner la théorie juridique et la pratique technique sans surcharger vos équipes informatiques. Adequacy apporte cette réponse concrète aux DPO, aux responsables de la sécurité des systèmes d’information (RSSI) et aux directeurs juridiques.
Le principe repose sur une chaîne continue :
Registre RGPD → liaison automatisée → référentiel de purge IT → alertes de conformité
Le logiciel SaaS d’Adequacy vous permet de piloter cette convergence réglementaire de bout en bout.
Plutôt que de laisser l’IT concevoir seule ses scripts de suppression, Adequacy sert de passerelle entre le juridique et la technique.
Conclusion : passer de la politique écrite à la purge effective
La durée de conservation des données ne se limite plus à un document : elle doit être appliquée techniquement, cycle par cycle. Base active accessible, archivage intermédiaire isolé, puis purge ou anonymisation robuste : chaque étape doit se traduire dans vos outils.
En 2026, l’AI Act ajoute une obligation de conservation des logs d’IA d’au moins 6 mois, fondée sur l’obligation légale du RGPD. Une plateforme de gouvernance comme Adequacy vous permet de relier votre registre, vos règles de conservation et vos purges techniques.
FAQ - Durée de conservation des données RGPD
Qu’est-ce que l’archivage intermédiaire selon le RGPD ?
L’archivage intermédiaire consiste à isoler des données personnelles qui ne sont plus utiles à l’activité quotidienne de l’entreprise, mais qui présentent encore un intérêt juridique. Ces données doivent être retirées des systèmes de production courants et soumises à des restrictions d’accès strictes, limitées aux seuls personnels habilités, comme le service contentieux ou le DPO.
Combien de temps peut-on conserver les données d’un client après la fin de son contrat ?
En règle générale, les données d’un client peuvent être conservées en archivage intermédiaire pendant 5 ans à compter de la fin du contrat. Ce délai correspond à la prescription de droit commun en matière commerciale (article L110-4 du Code de commerce). Les pièces comptables et les factures doivent, elles, être conservées 10 ans en vertu du Code de commerce.
Combien de temps faut-il conserver les logs d’un système d’IA selon l’AI Act ?
L’AI Act impose de conserver les journaux d’événements (logs) générés automatiquement par les systèmes d’IA à haut risque pendant au minimum 6 mois. Cette durée peut être allongée par des règles sectorielles comme DORA ou NIS2. L’objectif est de garantir la traçabilité des décisions et d’analyser l’origine d’un dysfonctionnement ou d’une dérive discriminatoire.
Le bouton « archiver » d’un CRM suffit-il pour respecter le RGPD ?
Non. Dans la plupart des logiciels métiers, le bouton « archiver » masque seulement la fiche ou lui ajoute un tag, mais les données restent dans la même base et accessibles à tous les utilisateurs. Le RGPD exige une séparation logique ou physique des droits d’accès, réservant la consultation à un personnel restreint et habilité.
Quelle est la différence entre anonymisation et pseudonymisation ?
La pseudonymisation remplace un identifiant direct, comme un nom, par un identifiant aléatoire : la donnée reste soumise au RGPD. L’anonymisation doit empêcher l’individualisation, la corrélation et l’inférence. Si ces trois critères ne sont pas garantis techniquement, la seule issue légale en fin de conservation est la destruction définitive des données.
