Comment rédiger une politique de conservation des données

Pourquoi tout conserver est un risque

Chaque enregistrement conservé est une donnée que vous devez protéger — et, sous RGPD, une donnée dont vous devez justifier la conservation. Une politique de conservation des données définit combien de temps chaque catégorie est gardée et comment elle est supprimée de façon sécurisée, réduisant à la fois votre exposition aux violations et votre risque de conformité.

Quoi inclure

Périmètre — catégories de données couvertes (clients, RH, financières, journaux, sauvegardes).
Durées de conservation — combien de temps chaque catégorie est gardée, selon les besoins légaux, contractuels et métier.
Base légale — l'obligation ou la justification derrière chaque durée (principe de limitation de conservation du RGPD).
Suppression — suppression sécurisée et documentée à l'échéance, y compris dans les sauvegardes.
Gels — comment une conservation à des fins juridiques (legal hold) suspend la suppression.
Responsabilités — qui décide et applique la conservation.
Revue — mise à jour périodique au fil de l'évolution des obligations.

Erreurs fréquentes

« Tout garder pour toujours », ce qui maximise l'impact d'une violation et enfreint le RGPD.
Des durées de conservation sans base légale consignée.
Oublier les sauvegardes, où les données survivent après suppression en production.

Alignement référentiels

Soutient l'Annexe A 5.33 (protection des enregistrements) et 8.10 (suppression des informations) d'ISO 27001:2022, les critères SOC 2, et le principe de limitation de conservation du RGPD.

Sources de référence

RGPD — article 5(1)(e), limitation de la conservation, texte intégral sur EUR-Lex (eur-lex.europa.eu/eli/reg/2016/679/oj).
CNIL — durées de conservation des données (cnil.fr).
ISO/IEC 27001:2022 — contrôle 8.10 de l'Annexe A, suppression des informations (iso.org/standard/27001).

Générez-la en quelques minutes

Voir un exemple de politique de conservation des données ou générez la vôtre gratuitement.

Questions fréquentes

Comment fixer les durées de conservation ?

Partez des obligations légales, réglementaires et contractuelles propres à chaque type de donnée, puis ajoutez tout besoin métier réel. En cas de conflit, la durée obligatoire la plus longue l’emporte généralement. Notez la durée et son motif par catégorie, afin que le calendrier soit défendable plutôt qu’arbitraire.

Le RGPD impose-t-il une durée maximale de conservation ?

La limitation de conservation du RGPD (article 5, 1, e) interdit de garder des données personnelles plus longtemps que nécessaire à la finalité de leur collecte. Il ne fixe pas de chiffres : vous définissez des durées proportionnées, les documentez, puis supprimez ou anonymisez les données une fois la finalité et toute obligation de conservation éteintes.

Quelle différence entre conservation et suppression ?

La conservation définit la durée de garde ; la suppression est ce qui se passe à la fin de cette durée. Une politique complète couvre les deux, y compris l’élimination sécurisée et le traitement des sauvegardes — une donnée n’est pas réellement supprimée tant qu’elle subsiste dans une sauvegarde récupérable au-delà de sa durée.