Le contrat est fini, les données restent Le scénario est banal. Un client part, un contrat s'achève, et ses données continuent de vivre dans le CRM, l'outil de facturation, les sauvegardes, les exports réalisés pour une campagne trois ans plus tôt. C'est l'un des manquements les plus répandus. Et l'un des plus faciles à démontrer lors d'un contrôle. Ce que dit le texte L'article 5 du RGPD fixe le principe de limitation de la conservation : les données ne peuvent être conservées sous une forme permettant l'identification au-delà de la durée nécessaire aux finalités du traitement. La fin du contrat met fin à la finalité principale. Ce qui reste doit être justifié. Une obligation légale, par exemple : 10 ans pour les pièces comptables. Un contentieux en cours. Pas l'idée vague qu'un ancien client pourrait revenir un jour. Le levier des personnes concernées Côté particuliers, le droit à l'effacement est simple à exercer. Une demande écrite, adressée au responsable du traitement, qui dispose d'un mois pour répondre. Ce délai peut être prolongé de deux mois si la demande est complexe, à condition de le justifier. Sans réponse satisfaisante, la personne peut saisir la CNIL. Elle peut aussi aller devant le tribunal judiciaire pour obtenir un effacement sous astreinte et la réparation de son préjudice, moral ou matériel. Des sanctions qui montent En janvier 2026, deux opérateurs de télécommunications ont été sanctionnés. 27 millions d'euros pour l'un, 15 millions pour l'autre. Parmi les manquements relevés, le non-respect des durées de conservation. Ça montre bien que le sujet n'a plus rien de secondaire dans les priorités de contrôle. Une réponse technique, pas seulement documentaire Une politique de conservation rédigée mais jamais paramétrée dans les outils reste une déclaration d'intention. Ce qui est attendu : un référentiel des durées par traitement, une séparation nette entre base active et archivage intermédiaire, des purges automatisées, et surtout la trace de leur exécution. Le vrai frein est souvent interne. Les équipes commerciales tiennent à leur historique client. Le DPO découvre l'écart le jour d'une demande d'effacement, ou d'un contrôle.
