RGPD : durée de conservation des données clients en Pévèle

Quelles durées la CNIL retient-elle pour un fichier clients ?

Ces repères viennent du référentiel de la CNIL sur la gestion des activités commerciales, adopté par la délibération n° 2021-131 du 23 septembre 2021. Il couvre les fichiers de clients et de prospects, la gestion des contrats et les programmes de fidélité.

Faut-il l'appliquer à la lettre ? La CNIL répond : « Non, mais il faut justifier de ses écarts avec celui-ci. » Une durée plus longue reste donc possible, si vous pouvez la justifier. Le tableau reprend chaque durée avec son point de départ.

Une même donnée peut suivre deux durées, précise la CNIL. Le nom d'un client peut ainsi quitter votre liste d'envoi et rester sur ses factures archivées.

À partir de quand les trois ans commencent-ils ?

Pour un client, le délai part de la fin de la relation commerciale. Le référentiel en donne quatre exemples : un achat, l'expiration d'une garantie, le terme d'un contrat de prestations de services, ou le dernier contact émanant du client. Chaque nouvel achat repousse donc l'échéance. ExemplePrenons un cas hypothétique : un poêle vendu avec deux ans de garantie. Si le client ne revient pas, les trois ans partent de la fin de la garantie, soit cinq ans après la vente.

Pour un prospect, le délai part de la collecte de ses coordonnées ou du dernier contact émanant de lui. Le référentiel cite une demande de documentation, ou un clic sur un lien d'un courriel qui renvoie vers le produit promu. Le mot qui compte est « émanant » : c'est la personne qui agit. Un courriel ou une relance que vous envoyez ne remet pas le compteur à zéro. Sa réponse, elle, vient de lui.

Au bout de trois ans, le référentiel permet de reprendre contact avec le prospect, pour savoir s'il souhaite continuer à recevoir des sollicitations. Sans réponse positive et explicite, ses données sont supprimées, ou archivées pour une durée conforme aux textes en vigueur.

Et pour une carte de fidélité ?

Le référentiel range les programmes de fidélité avec la gestion des contrats : même base légale, l'exécution du contrat, et même durée, celle de la relation contractuelle. ExemplePrenons un salon de coiffure qui enregistre ses clientes dans son logiciel de caisse, avec une carte à points. Tant que la carte sert, la fiche vit. Pour les offres, le repère le plus simple à tenir est le dernier passage enregistré, puisque le référentiel cite l'achat parmi ses points de départ.

Le cas n'a rien de théorique en Pévèle Carembault : le dossier complet de l'Insee y recense 122 commerces de coiffure et 61 boulangeries-pâtisseries en 2025. La même source compte 1 401 unités légales actives en 2024 dans le commerce, les transports, l'hébergement et la restauration : 17,8 % du total, hors agriculture.

L'historique d'achats lié à la carte est lui aussi une donnée personnelle. Le 14 octobre 2025, la CNIL a précisé que le code-barre des produits et le montant des promotions, liés au numéro de fidélité, relèvent du droit d'accès et de portabilité.

Ouvrir un courriel, est-ce un contact ?

Non. Le référentiel le pose noir sur blanc : « la simple ouverture d'un courriel ne devrait pas être considérée comme un contact émanant du prospect ». Le 22 juillet 2026, les questions-réponses de la CNIL sur les pixels de suivi ont confirmé que cette règle continue de s'appliquer. Un prospect qui lit vos messages sans jamais cliquer sort donc du fichier trois ans après la collecte, ou après sa dernière demande.

Ces ouvertures se mesurent avec un pixel de suivi : une image invisible dont le chargement signale la lecture à l'expéditeur. La CNIL a adopté une recommandation sur ces pixels par la délibération n° 2026-042 du 12/03/2026. Son texte soumet au consentement du destinataire l'analyse du taux d'ouverture qui sert à optimiser les campagnes.

Une exemption existe pour la seule délivrabilité des courriels demandés par le destinataire, comme une confirmation de commande ou une lettre à laquelle il a consenti. Elle sert à ralentir ou à arrêter les envois vers les inactifs. En principe, la seule donnée gardée est alors la date de la dernière ouverture, à la journée. L'absence d'ouverture peut donc faire sortir quelqu'un d'une liste d'envoi. Une ouverture, elle, ne prolonge pas sa fiche.

Je ne pose ni traqueur ni bandeau de consentement sans besoin réel, comme l'indique ma méthode de travail. Or, pour la CNIL, le pixel est une méthode de traçage, soumise à l'article 82 de la loi Informatique et Libertés.

Que garder en archive, et comment la séparer du fichier ?

À la fin du contrat, les données qui servaient à l'exécuter quittent le fichier de travail. Le référentiel permet de les garder en archivage intermédiaire dans deux cas. Le premier est une obligation légale, comptable ou fiscale par exemple. Le second est la preuve à se constituer en cas de contentieux, dans la limite du délai de prescription applicable. Seules les données utiles passent en archive, après un tri.

L'obligation la plus connue est comptable. « Les documents comptables et les pièces justificatives sont conservés pendant dix ans », dispose l'article L. 123-22 du Code de commerce. D'après Entreprendre Service Public, ces dix ans courent à partir de la clôture de l'exercice. La CNIL rappelle que la même durée s'applique aux factures électroniques. La fiche publique précise aussi qu'une entreprise peut archiver plus longtemps, sauf si les documents contiennent des données personnelles.

L'archive ne reste pas mêlée au fichier de travail. Sur sa page consacrée aux durées, la CNIL admet deux façons de faire : une base d'archivage séparée, ou une séparation logique par les habilitations. Dans un logiciel de gestion, cela peut prendre la forme d'un statut « archivé ». La fiche disparaît des listes d'envoi et des recherches courantes. Seul un compte habilité la rouvre, de manière ponctuelle et motivée.

Comment trier votre fichier, étape par étape ?

Pour un commerce ou un artisan de la Pévèle, le tri tient en quelques gestes, que le fichier vive dans un tableur ou dans un logiciel.

1. Ajoutez trois dates à chaque fiche : la collecte, le dernier contact venu de la personne, la fin de la relation. Un achat, une demande, une réponse ou un clic comptent. Une ouverture de courriel, non.
2. Calculez une date de sortie, trois ans après la plus récente de ces dates. Pour un client, partez de la fin de sa garantie ou de son contrat si elle tombe plus tard.
3. Quand un prospect atteint ses trois ans, vous pouvez lui demander s'il veut continuer. Sans réponse positive et explicite, effacez ou archivez sa fiche.
4. Passez les factures et les pièces comptables en archive séparée, pour dix ans à compter de la clôture de l'exercice.
5. Tenez à part la liste des personnes opposées à vos envois, trois ans au minimum, avec les seules données nécessaires.
6. Effacez le cryptogramme des cartes bancaires dès le paiement finalisé. Prévenez puis supprimez les comptes en ligne inutilisés depuis deux ans.
7. Écrivez ces durées dans votre registre des traitements : l'article 30 du RGPD lui demande, dans la mesure du possible, les délais prévus pour l'effacement. Annoncez-les aussi au client dès la collecte, comme l'exige l'article 13.

Si une mission me fait traiter les données de vos clients, j'agis sur vos instructions écrites, puis je supprime ou restitue les données à la fin. Le contrat de sous-traitance qui l'encadre est décrit dans les questions fréquentes.

Ces règles sont une information générale, à jour au 27/09/2026. Pour votre situation, la CNIL répond gratuitement aux professionnels, par téléphone, par formulaire en ligne ou par courrier. Pour les pièces comptables, votre expert-comptable peut confirmer la durée qui vous concerne.