Combien de temps garder les données clients et prospects ? Les durées de conservation RGPD

Un CRM n’oublie rien de lui-même. Les contacts importés pour une campagne il y a trois ans, les demandes de devis arrivées par le formulaire du site, le client qui a commandé une fois en 2021 : tout reste là tant que personne ne fait le ménage. C’est pratique pour vendre, et c’est précisément ce que le RGPD vous demande d’éviter.

Le règlement ne contient aucun tableau : la durée de conservation des données RGPD se fixe finalité par finalité, et vous devez pouvoir la justifier. Les chiffres viennent d’ailleurs : des référentiels de la CNIL, comme les trois ans pour un prospect, et d’autres lois, comme le Code de commerce pour les factures.

Ce guide reprend les durées qui comptent pour un CRM (l’outil, ou le tableur, où vous suivez contacts et affaires), en France, au Royaume-Uni et au-delà, puis montre comment le CRM peut les appliquer à votre place.

Durée de conservation des données RGPD : ce que dit le texte

La règle tient dans l’article 5, paragraphe 1, point e) du RGPD, le principe de limitation de la conservation : les données qui permettent d’identifier une personne ne sont gardées que le temps nécessaire aux finalités pour lesquelles elles sont traitées. Aucun chiffre. C’est à vous de fixer la durée de chaque finalité, de l’écrire et de la respecter.

Trois sources fournissent les chiffres :

1. Les autres lois qui imposent de garder certains documents, comme le Code de commerce ou les règles fiscales.
2. Les référentiels de la CNIL. Ils ne sont pas obligatoires, mais si vous retenez une autre durée, vous devez pouvoir expliquer pourquoi.
3. Vos propres raisons : la longueur de votre cycle de vente, la durée de validité d’un devis, le rythme auquel vos clients reviennent.

Les durées suivent aussi vos contacts hors des frontières. Une entreprise installée en Suisse, au Québec, au Maroc ou en Tunisie qui propose ses services à des personnes dans l’Union est soumise au RGPD pour leurs données (article 3, paragraphe 2), où que soient ses bureaux ou ses serveurs. Mon guide du RGPD pour les petites équipes explique dans quels cas.

Prospects et clients : les trois ans du référentiel de la CNIL

Le référentiel de la CNIL relatif à la gestion des activités commerciales (délibération n° 2021-131 du 23 septembre 2021) donne ces repères :

• Un prospect qui n’est jamais devenu client : trois ans à compter de la collecte ou du dernier contact venant de lui.
• Un client : le temps de la relation commerciale, puis trois ans à compter de sa fin pour la prospection (en pratique, la fin du contrat ou la dernière commande).
• Au terme des trois ans, vous pouvez reprendre contact pour demander à la personne si elle souhaite continuer à recevoir vos messages. Sans réponse positive et explicite, les données sont supprimées, ou archivées si une autre loi impose de les garder.
• La liste repoussoir : ce qui permet de respecter une opposition se conserve au moins trois ans.

La CNIL détaille ces règles dans ses questions-réponses sur les référentiels de gestion commerciale.

Au Royaume-Uni, le UK GDPR reprend le même principe, mais l’ICO ne donne aucun chiffre : c’est à vous de choisir vos durées, sans garder de données « au cas où ». Reprendre les trois ans de la CNIL comme règle interne reste une bonne option : un délai qu’un régulateur juge déjà raisonnable se défend mieux qu’un chiffre sorti de nulle part. Si vos prospects viennent du cold emailing, mon article sur le cold emailing et le RGPD précise ce que vous leur devez dès le premier email.

Factures, contrats, cartes bancaires : les durées fixées par d’autres lois

Certains documents doivent survivre à la relation, et le droit commercial, fiscal ou civil fixe pour combien de temps.

La CNIL précise, dans sa page sur le paiement à distance par carte bancaire, qu’enregistrer la carte d’un client pour ses prochains achats demande son consentement, valable jusqu’à son retrait ou l’expiration de la carte.

Regardez ce que ces lois imposent de garder : la facture, le contrat, la preuve du paiement. Aucune ne justifie de garder le numéro de portable d’un ancien client dans votre pipeline commercial pendant dix ans. La facture part dans l’archive comptable ; la fiche commerciale suit la règle des trois ans.

Un tableau de conservation pour le CRM d’une petite équipe

Voici une base à recopier dans votre documentation, avec les repères de la CNIL et les minimums légaux ci-dessus ; notez à côté de chaque ligne la raison de votre choix.

Une raison ressemble à « trois ans, parce que nos clients planifient leurs travaux jusqu’à deux ans à l’avance ». « Au cas où » n’en est pas une.

Quand la durée expire : archiver, supprimer ou anonymiser

Le guide de la CNIL sur les durées de conservation découpe la vie d’une donnée en phases ; pour un CRM, elles se résument à trois :

1. La base active : ce que l’équipe utilise au quotidien, comme les affaires en cours, les clients actuels et les prospects dans leurs trois ans.
2. L’archivage intermédiaire : les dossiers clos, gardés seulement parce qu’une loi l’impose ou qu’un litige reste possible, comme les factures et les devis signés. Ils sont séparés de la base active, physiquement ou logiquement, et seules les personnes qui en ont besoin y accèdent.
3. La suppression ou l’anonymisation, au terme de la dernière durée. (La troisième phase du guide, l’archivage définitif, ne concerne que l’archivage dans l’intérêt public, pas un fichier commercial.)

L’anonymisation permet de garder vos statistiques : « douze demandes venues du site en mars, quatre par recommandation » est utile et n’identifie personne. Remplacer un nom par un numéro de contact ne suffit pas : c’est une pseudonymisation, et le RGPD considère toujours le résultat comme une donnée personnelle (considérant 26).

Les sauvegardes suivent leur propre cycle : notez-le dans votre documentation (par exemple « écrasées au bout de 30 jours ») et, si vous en restaurez une, réappliquez vos suppressions.

Automatiser la conservation dans votre CRM

Une durée que personne n’applique reste une phrase dans votre politique de confidentialité. La solution : laisser le CRM compter.

Ajoutez quatre champs. La plupart des CRM enregistrent une date de « dernière activité », mais elle inclut souvent vos propres emails et appels : ce n’est donc pas le bon point de départ. Il vous faut :

• la date de collecte du contact et sa source ;
• la date du dernier contact venant de lui (réponse, appel entrant, formulaire, clic) ;
• un statut : prospect, client ou ancien client ;
• pour les clients, la date de fin de la relation.

Faites le point chaque mois. Enregistrez un filtre sur les prospects dont le dernier contact entrant date de 35 mois ou plus. Ils reçoivent un court message pour savoir s’ils veulent encore avoir de vos nouvelles ; ceux qui n’ont pas dit oui à la fin du 36e mois sont supprimés en masse (la plupart des CRM le permettent). Les anciens clients suivent la même routine trois ans après la fin de la relation.

Dans un tableur, une colonne de formule donne à chaque ligne sa date de suppression, avec la date de collecte en colonne B et celle du dernier contact venant de la personne en colonne C :

=EDATE(MAX(B2;C2);36)

Si votre tableur affiche les fonctions en français, écrivez MOIS.DECALER au lieu d’EDATE. Mettez la colonne au format date, puis filtrez-la chaque mois. Mon tutoriel pour automatiser le suivi des prospects avec Google Apps Script ajoute alertes et rappels au même type de tableau ; un rappel mensuel de nettoyage suit le même principe.

Dans un outil sur mesure, tout cela tourne seul. Quand l’équipe d’un client a reçu plus de prospects qu’elle ne pouvait en rappeler, j’ai développé pour ce client une application interne afin que personne ne soit oublié (l’histoire est dans mon article sur le CRM sur mesure). La conservation pose le problème inverse (faire en sorte que l’outil oublie à temps), et un développement sur mesure peut aussi s’en charger : une tâche lancée chaque nuit peut déplacer les dossiers clos vers une table d’archive et supprimer les prospects arrivés à échéance, en comptant ce qu’elle a retiré. Si vous faites développer un outil, demandez ces quatre champs et cette tâche dès le départ : les ajouter plus tard oblige à reconstituer des dates que personne n’a notées.

Votre liste de contrôle, et quand se faire aider

1. Listez ce que contiennent le CRM et ses satellites : prospects, clients, devis, factures, messages du formulaire, candidatures.
2. Donnez à chaque catégorie une durée et une raison, en partant du tableau ci-dessus.
3. Indiquez les durées dans votre politique de confidentialité : l’article 13, paragraphe 2, point a) du RGPD exige la durée ou les critères qui la déterminent. Mon guide sur ce que doit contenir une politique de confidentialité montre où les placer.
4. Reportez-les dans votre registre des activités de traitement : l’article 30, paragraphe 1, point f) demande, dans la mesure du possible, les délais prévus pour l’effacement.
5. Ajoutez les champs et le filtre mensuel au CRM, nettoyez les anciennes copies et notez la première revue dans votre agenda.
6. Gardez les durées sous la main : quand une personne demande une copie de ses données, votre réponse doit indiquer, lorsque c’est possible, combien de temps vous les conserverez (article 15, paragraphe 1, point d). Voici comment répondre à une demande de droit d’accès.

Cet article explique les règles et les recommandations des autorités ; ce n’est pas un conseil juridique. Un avocat ou un DPO vaut la dépense si vous traitez des données de santé ou d’autres données sensibles, si votre secteur a ses propres durées (assurance, banque, santé), si vous faites l’objet d’une plainte, ou si vous gérez de gros volumes de données sur des personnes de plusieurs pays. Pour un fichier de contacts B2B ordinaire, le tableau ci-dessus et un après-midi de travail sont un bon point de départ.