Comment fixer la durée de conservation des comptes clients?
Délibération de la CNIL n°SAN-2021-010 du 20 juillet 2021 sanctionnant l’entreprise à hauteur de 1 750 000 € – Manquement à l’obligation de limiter la durée de conservation des données – Article 5.1.e) du RGPD
La lecture de cette délibération est l’occasion de s’interroger sur les règles relatives à la durée de conservation des données des clients.
Le règlement général sur la protection des données (RGPD) dispose en son article 5 relatif aux principes relatifs au traitement des données à caractère personnel que
les données à caractère personnel doivent être (…) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (…)
Au regard des récentes délibérations de la CNIL sanctionnant lourdement des entreprises pour manquement à l’obligation de limiter la durée de conservation des données, il est recommandé de rédiger une politique ou procédure relative aux durées de conservation et de se conformer aux durées recommandées par la CNIL ou imposées par la réglementation applicable.
En pratique les durées de conservations recommandées par la CNIL sont les suivantes :
- Compte créé par l’utilisateur dans le cadre des réseaux sociaux, sites de rencontre : suppression au bout de 2 ans d’inactivité après avertissement des utilisateurs.
- Compte prospect (ne contenant aucune commande) : suppression au bout de 3 ans à compter du dernier contact
- Compte client (contenant au moins une commande) : suppression au bout de 3 ans à compter du dernier contact. Toutefois, la plupart des entreprises privilégient une purge au bout de 5 ans en justifiant cette durée par la prescription applicable en matière de contrat (article 2224 du Code civil).
- Pièces comptables (factures, etc.) : obligation de conservation de 10 ans à partir de la clôture de l’exercice (article L123-22 du Code de commerce).
Références
