CRM et RGPD : durée de conservation et droit à l'oubli

Un ancien prospect écrit : « Effacez toutes mes données. » La demande est légitime, le délai court, et la question pratique arrive aussitôt : où sont-elles ? Sur sa fiche, bien sûr, mais aussi dans les e-mails synchronisés, l’outil d’emailing, un export envoyé au comptable l’an dernier et les sauvegardes de la nuit.

Ce guide de notre rubrique CRM et données clients traite les deux faces du sujet : combien de temps garder chaque donnée, et comment effacer pour de bon quand on vous le demande. Il complète notre guide pour nettoyer les données de son CRM, qui pose les durées dans une démarche de ménage plus large. Il donne des repères, pas un avis juridique : votre délégué à la protection des données, ou votre conseil, tranche votre cas.

Combien de temps garder quoi

Le référentiel de la CNIL sur la gestion des activités commerciales donne les repères les plus utilisés pour un CRM :

Ces durées ne sont pas contraignantes : selon les questions-réponses de la CNIL sur ces référentiels, on peut s’en écarter à condition de justifier ses choix. Le principe, lui, l’est : l’article 5 du RGPD demande que les données ne soient pas conservées plus longtemps que nécessaire.

Ce que « dernier contact » veut dire

Le délai d’un prospect court à partir du dernier contact venant de lui. Le référentiel donne des exemples : une demande de documentation, un clic sur un lien d’un e-mail qui renvoie vers le produit présenté. La simple ouverture d’un e-mail ne devrait pas compter. Un e-mail envoyé par votre commercial ne remet donc pas le compteur à zéro.

En pratique, il faut un champ « dernier contact entrant » tenu à jour automatiquement : par la synchronisation des e-mails avec le CRM, qui voit les réponses, et par le formulaire du site, qui voit les demandes.

Au terme du délai

Le référentiel prévoit qu’on peut reprendre contact avec la personne pour savoir si elle souhaite continuer à recevoir des sollicitations. Sans réponse positive et explicite, ses données sont supprimées, ou archivées si une obligation le justifie. Une automatisation peut préparer chaque mois la liste des fiches arrivées à échéance ; la décision et l’envoi restent humains.

Le droit à l’oubli : ce que demande le règlement

Le droit à l’effacement est prévu par l’article 17 du RGPD. Quatre règles du même chapitre organisent la réponse :

• Un mois pour répondre, à compter de la réception de la demande, prolongeable de deux mois compte tenu de la complexité et du nombre de demandes, à condition d’en informer la personne dans le premier mois (article 12).
• Des exceptions : les données qu’une obligation légale impose de conserver, comme les factures, ou celles nécessaires à la constatation, à l’exercice ou à la défense de droits en justice (article 17).
• Prévenir les destinataires à qui les données ont été communiquées, sauf si c’est impossible ou exige des efforts disproportionnés (article 19).
• L’opposition à la prospection se respecte toujours : le référentiel de la CNIL rappelle que sa prise en compte doit être systématique.

Un justificatif d’identité ne se demande qu’en cas de doute raisonnable sur l’identité de la personne, et se supprime une fois la demande traitée, selon le même référentiel.

Où se cachent les données d’un contact

Effacer une fiche ne suffit presque jamais. Les données d’une personne vivent aussi :

• dans les e-mails synchronisés et leurs pièces jointes, rattachés à sa fiche ;
• dans l’outil d’emailing, s’il a sa propre liste ;
• dans la facturation et le support, qui ont leurs propres fiches ;
• dans les exports et les tableurs envoyés par e-mail ou rangés sur un disque partagé ;
• dans les journaux des automatisations, qui gardent parfois le contenu des données traitées ;
• dans les sauvegardes, qui contiennent la fiche telle qu’elle était la nuit de la sauvegarde.

C’est là qu’une fiche client unique, qui relie les outils autour d’une même clé, fait gagner le plus de temps : elle dit où chercher.

Dans l’outil : la corbeille n’est pas l’effacement

La plupart des CRM ne suppriment pas tout de suite : la fiche part d’abord à la corbeille, pour qu’une erreur se rattrape. Dans Twenty, selon sa documentation sur les permissions, « supprimer » place la fiche à la corbeille, d’où elle peut être restaurée, et « détruire » l’efface définitivement ; ce sont deux droits distincts, attribués par rôle. Sa FAQ juridique précise que les fiches supprimées sont gardées 14 jours par défaut avant d’être effacées, une durée réglable dans les paramètres de sécurité.

Nous faisons tourner Twenty en production depuis début 2025, sur notre propre serveur, et c’est là que la question devient concrète : en auto-hébergement, les sauvegardes sont les vôtres. Une fiche effacée aujourd’hui vit encore dans chaque sauvegarde prise avant, aussi longtemps que vous gardez ces sauvegardes.

La liste d’opposition, la seule donnée qu’on garde exprès

Effacer entièrement une personne qui refuse la prospection a un effet pervers : au prochain import d’un fichier, elle revient. La CNIL recommande de conserver, au minimum trois ans, ce qui permet de respecter son opposition, dans une liste qui ne sert qu’à cela. Chaque import et chaque formulaire la consultent avant de créer une fiche.

Et quand le CRM décide seul

Un CRM qui note les contacts, classe les demandes ou écarte des candidatures sans regard humain entre dans un autre chapitre du règlement, celui des décisions automatisées. Notre article sur la décision automatisée par l’IA en trace les limites.

Par où commencer

1. 01Écrivez vos durées

   Par catégorie de données, avec la justification de chaque écart au référentiel.

2. 02Créez le champ « dernier contact entrant »

   Et alimentez-le automatiquement.

3. 03Réservez le droit de destruction

   À un rôle, et réglez la durée de la corbeille.

4. 04Dressez la carte des outils

   Où vivent les données d’un contact, sauvegardes comprises.

5. 05Écrivez la procédure d’effacement

   Avec la personne qui la porte et le délai d’un mois.

Le reste de la rubrique couvre le choix entre Twenty, Dolibarr et Odoo, Twenty en production, Twenty comme back-office, la migration depuis HubSpot, le coût réel d’Odoo, les relances commerciales et l’adoption d’un CRM par les commerciaux.

Un CRM livré avec ses durées de conservation, ses droits par rôle et des sauvegardes testées, c’est notre offre CRM et ERP. Pour une première lecture de votre situation, écrivez-nous.

Questions fréquentes

Sources

1. CNIL, référentiel relatif aux traitements de données mis en œuvre aux fins de gestion des activités commerciales (nouvel onglet)cnil.fr
2. Questions-réponses CNIL (nouvel onglet)cnil.fr
3. CNIL, RGPD, chapitre 2 : principes (nouvel onglet)cnil.fr
4. CNIL, RGPD, chapitre 3 : droits de la personne concernée (nouvel onglet)cnil.fr
5. Twenty, documentation : Permissions (nouvel onglet)docs.twenty.com
6. Twenty, documentation : Legal FAQ (nouvel onglet)docs.twenty.com