Une base de données de prospection n’est pas un patrimoine. C’est un stock périssable, et la date de péremption est publiée.
Trois ans. Le référentiel de la CNIL relatif à la gestion des activités commerciales, adopté par délibération du 23 septembre 2021, la fixe pour les clients comme pour les prospects, avec deux points de départ différents.
Deux compteurs, deux départs
Pour un client, le référentiel énonce que les données « peuvent être conservées pendant la relation commerciale, puis pour une durée de trois ans à compter de la fin de la relation commerciale (par exemple, à compter d’un achat, de la date d’expiration d’une garantie, du terme d’un contrat de prestations de services ou du dernier contact émanant du client) ».
Pour un prospect qui n’a jamais rien acheté, le compteur part de la collecte : « pendant un délai de trois ans à compter de leur collecte par le responsable de traitement ou du dernier contact émanant du prospect ».
Notez le mot qui gouverne les deux formulations : émanant. Le contact qui remet le compteur à zéro doit venir de la personne, pas de vous. Vos douze campagnes de l’année ne prolongent rien.
La phrase qui coûte le plus cher
Le référentiel ajoute une précision d’une portée considérable : « la simple ouverture d’un courriel ne devrait pas être considérée comme un contact émanant du prospect ».
Mise en regard de ce qu’Apple a fait du taux d’ouverture depuis 2021, cette phrase produit une conjonction rare.
Techniquement, l’ouverture n’est plus mesurable de façon fiable : elle est préchargée par un relais, indépendamment de tout geste humain.
Juridiquement, l’ouverture ne compte pas comme un contact : même mesurée correctement, elle ne prolonge pas la durée de conservation.
L’indicateur préféré du métier est donc à la fois faux et sans effet juridique. Beaucoup de bases sont pourtant maintenues en vie par des règles de réactivation fondées sur lui.
Ce qui vaut contact émanant du prospect, c’est un acte : un clic, une réponse, une commande, une demande, une connexion à son compte.
Ce qui se passe au bout de trois ans
Le référentiel ne prescrit pas une suppression brutale. Il ouvre une porte, étroite : une reprise de contact est possible pour savoir si la personne souhaite continuer à recevoir des sollicitations.
Et il en fixe l’issue : à défaut de réponse positive et explicite, les données doivent être supprimées ou archivées.
Le silence vaut refus. C’est la règle exactement inverse de celle qu’appliquent la plupart des campagnes de réactivation, qui conservent par défaut ceux qui n’ont pas répondu.
Une durée excessive est un manquement autonome
La conservation n’est pas un sujet secondaire qu’un contrôle regarderait en dernier. Elle constitue un chef de sanction à elle seule.
Dans la décision du 5 décembre 2024 contre la société KASPR, la CNIL a retenu, parmi trois manquements, une durée de conservation disproportionnée : les données étaient conservées cinq ans à compter de chaque mise à jour, ce qui, pour une base alimentée en continu, revenait à ne jamais supprimer.
Le mécanisme mérite d’être compris, car il est répandu : une règle de purge indexée sur la dernière modification de l’enregistrement, dans un système qui enrichit les enregistrements en permanence, est une règle de purge qui ne se déclenche jamais.
Le bénéfice caché de la purge
Supprimer des adresses fait mal. Les directions commerciales comptent la taille de la base comme un actif, et le service marketing est jugé sur le volume envoyé.
Pourtant, la purge améliore mécaniquement tout ce qui compte réellement.
Une adresse de trois ans qui n’a jamais rien fait n’est pas neutre. Soit elle n’existe plus et produit un rebond, soit elle a été recyclée par l’opérateur et peut être devenue un piège à spam, soit elle appartient à quelqu’un qui a oublié qui vous êtes et qui cliquera sur le bouton de signalement.
Les trois issues dégradent votre réputation, et la troisième alimente le seul chiffre qui décide de votre délivrabilité. La conformité et la performance vont ici dans le même sens, ce qui est assez rare pour être signalé.
Ce que vous faites demain matin
Sortez la distribution de votre base par date de dernier contact émanant de la personne. Pas par date d’envoi, pas par date d’ouverture : par date d’acte.
Vous obtiendrez une courbe avec une longue traîne, et cette traîne est votre exposition. Comptez ce qu’elle pèse, en nombre d’adresses et en pourcentage.
Puis écrivez la règle de purge, avec sa date de départ, et automatisez-la. Une règle appliquée une fois à la main, à l’occasion d’un audit, ne survit jamais à son auteur.
Enfin, si une partie de cette base vient d’un fichier acquis, la question de la conservation n’est pas la première : celle de l’information des personnes l’était, et elle avait un délai d’un mois.
Sources
- CNIL, délibération n° 2021-131 du 23 septembre 2021. Référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales
- CNIL (5 décembre 2022). Vente de fichiers clients : la CNIL rappelle les règles
- CNIL (délibération SAN-2024-020 du 5 décembre 2024). Aspiration de données : sanction de 240 000 euros à l’encontre de la société KASPR
- Règlement (UE) 2016/679 (RGPD), article 5.1.e
- Apple. Mail Privacy Protection & Privacy
LaFactory travaille l’emailing sur pièces : en-têtes, enregistrements DNS, journaux de rejet. Aucune promesse de taux d’ouverture, jamais. Contactez-nous pour un audit de délivrabilité.