Trois ans à compter du dernier contact : la règle est connue, son point de départ beaucoup moins. Durées par catégorie, cas de la liste d’opposition et procédure de purge.
Le RGPD n’impose aucune durée chiffrée : il pose un principe, celui de la limitation de la conservation. Les données ne doivent pas être gardées au-delà de ce qui est nécessaire à la finalité. En prospection commerciale, la doctrine de la CNIL a fixé un repère devenu la norme : trois ans à compter du dernier contact.
Ce repère paraît simple. Les questions qui font trébucher les entreprises sont ailleurs : ce qui constitue un « contact », ce qu’il faut faire à l’échéance, et le sort particulier des personnes qui se sont opposées.
| Catégorie | Durée de référence | Point de départ |
|---|---|---|
| Prospect n’ayant jamais répondu | 3 ans | Dernier contact émis vers la personne, ou collecte de la donnée |
| Prospect ayant interagi | 3 ans | Dernière interaction de sa part : réponse, clic, appel, téléchargement |
| Client | Durée de la relation contractuelle + 3 ans | Fin de la relation commerciale |
| Personne s’étant opposée | Sans limite, en base de suppression | Conservation du strict minimum : identifiant, date, canal |
| Pièces comptables associées | 10 ans | Clôture de l’exercice — obligation du code de commerce |
Le paradoxe de l’opposition
Une personne qui demande à ne plus être démarchée ne doit pas être supprimée de tous vos systèmes : vous devez conserver un identifiant — email haché ou numéro — dans une liste de suppression, sans limite de durée. C’est la seule façon de garantir qu’un futur fichier ne la réintroduira pas. Supprimer entièrement l’enregistrement conduit mécaniquement à recontacter la personne, ce qui constitue le manquement le plus fréquemment sanctionné.
C’est le point qui prête le plus à confusion, avec un enjeu direct : selon l’interprétation retenue, une base peut être conservée indéfiniment ou doit être purgée.
En B2B, la durée pertinente est souvent plus courte
Un contact professionnel de trois ans a une probabilité élevée d’avoir changé de poste : la donnée est périmée bien avant d’être illégale. Une purge à 24 mois sur les contacts n’ayant jamais réagi améliore la délivrabilité, réduit le coût de base et simplifie la conformité. La règle de conservation n’est pas un objectif à atteindre.
1. Dater chaque enregistrement
Trois champs obligatoires : date de collecte, source de collecte, date de dernière interaction. Sans ces champs, aucune purge n’est possible et aucune démonstration de conformité non plus.
2. Choisir entre suppression et anonymisation
L’anonymisation — suppression du nom, de l’email et du téléphone, conservation du secteur et de la taille — permet de garder des statistiques sans conserver de données personnelles. Attention : l’anonymisation doit être irréversible, sinon il s’agit d’une simple pseudonymisation, toujours soumise au RGPD.
3. Automatiser l’échéance
Une purge trimestrielle programmée, avec un journal de ce qui a été supprimé. Une purge manuelle annuelle n’est jamais faite.
4. Alimenter la liste de suppression
Toute opposition, désinscription ou demande d’effacement y bascule automatiquement, et chaque import de fichier est filtré contre elle avant intégration.
5. Documenter au registre
Le registre des traitements mentionne, pour la prospection : la finalité, la base légale, les catégories de données, les destinataires et la durée de conservation. C’est le premier document demandé en cas de contrôle.
Un fichier acheté arrive avec une histoire : la donnée a été collectée à une date, par quelqu’un d’autre, sur une base légale déterminée. Cette histoire ne s’efface pas à l’achat.
Ce qui est réellement contrôlé
Les manquements les plus fréquemment relevés en prospection ne portent pas sur la durée elle-même, mais sur trois points : l’absence de suite donnée à une demande d’opposition, l’impossibilité d’indiquer d’où vient une donnée, et l’absence de registre. Une entreprise capable de répondre à ces trois questions est dans une situation solide.
Des fichiers livrés avec leur documentation
Origine de la donnée, date de collecte contact par contact, base légale et modèle de mention d’information : la conformité se prépare avant la campagne.
En B2B, le consentement préalable n’est pas requis pour l’email — mais quatre conditions le sont, et l’absence de dossier documenté suffit à faire basculer un contrôle CNIL. Le point complet, canal par canal.
Une relance envoyée après une demande d’opposition est le manquement le plus simple à prouver — et le plus fréquemment signalé. La procédure complète, outil par outil.
Le vendeur et l’acheteur d’un fichier sont deux responsables de traitement distincts : chacun répond de sa part. Les onze clauses qui rendent un contrat réellement protecteur.