Avez-vous défini des durées de conservation pour chaque catégorie de données personnelles ?
En bref — ce que vous devez retenir
Le RGPD interdit de conserver des données personnelles plus longtemps que nécessaire. Définir des durées de conservation par catégorie de données est une obligation légale, et automatiser leur suppression est une bonne pratique qui réduit aussi vos risques en cas de fuite.
La durée de conservation (ou de rétention) doit être définie pour chaque catégorie de données et mentionnée dans votre registre des traitements et politique de confidentialité. Conserver des données inutiles est un risque : plus vous avez de données, plus l'impact d'une fuite est important.
Les durées légales varient selon le type de données : données comptables (10 ans), données de paie (5 ans), données clients inactifs (3 ans maximum pour la prospection), données de candidature (2 ans maximum), cookies (13 mois).
Contrôle CNIL révélant que des CV de candidats non retenus étaient conservés depuis 8 ans sans limitation. Obligation légale : 2 ans maximum. Amende de 25 000 € et obligation de purger les données excédentaires.
"On conservait toutes les données clients depuis la création de l'entreprise par peur de perdre des informations utiles. En faisant l'inventaire, on a supprimé 40 % de notre base — des contacts inactifs depuis plus de 5 ans. Notre exposition en cas de fuite a diminué de moitié."
Obtenez votre score cybersécurité en 25 minutes et un plan d'action concret.