Les amendes RGPD atteignent 6,11 milliards d'euros — « tout garder pour toujours » est-il un risque de conformité ?
En mars 2026, les amendes RGPD recensées dans l’UE atteignaient environ €6.11 milliards, avec 2 685 amendes dont le montant et la date étaient connus, selon le rapport CMS GDPR Enforcement Tracker 2025/2026. Le rapport compte 3 062 dossiers en incluant ceux aux informations incomplètes. Certaines amendes atteignent €1.2 milliard. Quelle qu’ait été l’évaluation des risques de votre organisation à l’arrivée du RGPD en 2018, huit ans plus tard, les sanctions ne sont plus théoriques : elles représentent un coût bien documenté pour les entreprises qui gèrent mal les données.
La plupart des conseils sur la conservation des e-mails visent le mauvais mode de défaillance. Ils vous disent combien de temps garder telle ou telle catégorie de courrier pour la conformité — sept ans pour les pièces comptables, deux ans pour les tickets d'assistance — comme si le risque était toujours de supprimer trop tôt. Ce risque est réel. Mais les régulateurs disent de plus en plus clairement que l'erreur inverse, tout garder indéfiniment parce que supprimer fait peur, est une infraction en soi.
Le principe que la plupart des politiques de conservation oublient
Le RGPD ne vous donne pas de durée de conservation fixe pour le courrier, et c'est précisément cette ambiguïté qui pousse tant d'organisations vers le « ne jamais rien supprimer, au cas où ». Mais l'article 5(1)(e), le principe de limitation de la conservation, exige que les données personnelles ne soient pas gardées « plus longtemps que nécessaire » au regard des finalités pour lesquelles elles ont été collectées — et l'article 5(1)(c), la minimisation des données, se tient juste à côté. La conservation illimitée n'est un choix sûr ni pour l'un ni pour l'autre. C'est justement ce qu'ils ont été écrits pour interdire.
En pratique, cela signifie qu'une organisation doit pouvoir répondre, pour chaque catégorie d'e-mails qu'elle détient : pourquoi est-ce conservé, et pour combien de temps encore. « On pourrait en avoir besoin un jour » n'est pas une réponse que les régulateurs acceptent, aussi compréhensible que soit le réflexe.
Les régulateurs veulent désormais des preuves, pas un document de politique
L'autre évolution à noter : une politique de conservation écrite, posée dans un dossier conformité, ne suffit plus à elle seule. Ce que les régulateurs demandent, ce sont des preuves auditables que la politique est réellement appliquée — procédures de suppression documentées, calendriers de conservation appliqués au niveau du serveur plutôt que laissés à l'appréciation de chaque salarié, et procédures de conservation à titre conservatoire qui suspendent correctement la purge de routine quand un contentieux est raisonnablement prévisible.
Cela se voit aussi dans les sanctions voisines. La CNIL en France et le Garante en Italie ont publié des recommandations formelles en avril 2026 considérant la boîte de réception comme un prolongement de la vie privée — elles exigent généralement le consentement pour les pixels de suivi, avec des exemptions et dispositions transitoires définies. Consultez les règles du régulateur compétent pour l’usage concerné. Le mécanisme diffère de la conservation, mais la posture de fond est la même : les régulateurs regardent précisément ce que les entreprises font du contenu des e-mails, pas seulement si un document de politique existe quelque part.
Un calendrier de conservation qui tient la route
Rien de tout cela n'exige d'outillage exotique. Une structure défendable ressemble à un petit nombre de catégories, chacune avec une raison documentée et une durée :
Le courrier opérationnel courant — coordination interne, prise de rendez-vous, correspondance quotidienne sans portée juridique ou financière propre. Couramment conservé un an environ, puis purgé.
La correspondance avec le service client — en général conservée plus longtemps, souvent deux ans, pour couvrir les périodes de garantie et de litige.
Les pièces comptables et fiscales — régies par ce qu'exigent les règles fiscales et d'audit de votre juridiction, souvent sept ans.
Tout ce qui est sous gel juridique actif — conservé quelle que soit la catégorie jusqu'à la levée du gel, ce qui prime sur tous les autres calendriers.
Les chiffres précis varient selon le secteur et la géographie — le RGPD ne les fixe pas, votre régulateur ou votre propre justification documentée le font. Ce qui compte, c'est que chaque catégorie ait un nombre attaché, et que ce nombre soit réellement appliqué plutôt qu'aspirationnel.
Où une archive personnelle trouve sa place
Une archive locale change l’emplacement d’un document, pas les obligations de conservation. Pour les e-mails professionnels contenant des données personnelles, définissez pourquoi chaque catégorie doit être conservée, qui peut y accéder et quand elle doit être supprimée. Appliquez cette politique aux e-mails du serveur, aux archives locales et aux sauvegardes. La conservation doit rester fondée sur une finalité valable ou une obligation légale ; déplacer les e-mails hors du serveur n’en crée aucune. Consultez les consignes de conservation de la CNIL.
MailVault archive chaque dossier de votre compte IMAP ou OAuth en fichiers .eml individuels sur votre propre disque, totalement indépendants de la boîte de votre fournisseur. Utilisez la copie locale uniquement pour les documents que vous avez le droit de conserver, et intégrez-la à vos contrôles d’accès et échéances de suppression. MailVault ne fournit ni politiques de conservation imposées centralement, ni gel juridique, ni certification de conformité. Les sauvegardes manuelles sont gratuites et illimitées ; les sauvegardes programmées, qui tiennent l'archive à jour automatiquement, sont une fonction Premium à $4/mois ou $25/an, avec 14 jours d'essai sur la formule annuelle. Ces indications sur la structure des fichiers concernent le format Maildir utilisé par défaut. Paramètres → Stockage propose aussi le stockage JMAP, qui conserve les octets des messages d’origine avec des enregistrements JSON et déduplique les messages identiques.
Conservez les documents dont la conservation est justifiable. Appliquez les règles de conservation à chaque copie.
MailVault archive chaque dossier dans des fichiers .eml portables et consultables par recherche sur votre disque — pour les documents que vous avez le droit de conserver. Les copies locales ont aussi besoin de règles de conservation, de suppression et d’accès.
À lire aussi : comment supprimer des milliers de vieux e-mails sans risque, l'archivage des e-mails pour les indépendants et comment conserver ses e-mails après les avoir supprimés du serveur.