Les amendes RGPD atteignent 6,11 milliards d'euros — « tout garder pour toujours » est-il un risque de conformité ?

En mars 2026, le cumul des amendes RGPD dans l'UE atteint environ 6,11 milliards d'euros, répartis sur 2 685 procédures recensées, d'après le CMS GDPR Enforcement Tracker Report 2025/2026. Certaines affaires de ce jeu de données montent jusqu'à 1,2 milliard d'euros. Quel qu'ait été votre modèle de risque quand le RGPD était neuf, en 2018, le schéma de sanction huit ans plus tard n'a plus rien de théorique — c'est un poste de coût régulier et bien documenté pour les entreprises qui traitent mal leurs données.

La plupart des conseils sur la conservation des e-mails visent le mauvais mode de défaillance. Ils vous disent combien de temps garder telle ou telle catégorie de courrier pour la conformité — sept ans pour les pièces comptables, deux ans pour les tickets d'assistance — comme si le risque était toujours de supprimer trop tôt. Ce risque est réel. Mais les régulateurs disent de plus en plus clairement que l'erreur inverse, tout garder indéfiniment parce que supprimer fait peur, est une infraction en soi.

Le principe que la plupart des politiques de conservation oublient

Le RGPD ne vous donne pas de durée de conservation fixe pour le courrier, et c'est précisément cette ambiguïté qui pousse tant d'organisations vers le « ne jamais rien supprimer, au cas où ». Mais l'article 5(1)(e), le principe de limitation de la conservation, exige que les données personnelles ne soient pas gardées « plus longtemps que nécessaire » au regard des finalités pour lesquelles elles ont été collectées — et l'article 5(1)(c), la minimisation des données, se tient juste à côté. La conservation illimitée n'est un choix sûr ni pour l'un ni pour l'autre. C'est justement ce qu'ils ont été écrits pour interdire.

En pratique, cela signifie qu'une organisation doit pouvoir répondre, pour chaque catégorie d'e-mails qu'elle détient : pourquoi est-ce conservé, et pour combien de temps encore. « On pourrait en avoir besoin un jour » n'est pas une réponse que les régulateurs acceptent, aussi compréhensible que soit le réflexe.

Les régulateurs veulent désormais des preuves, pas un document de politique

L'autre évolution à noter : une politique de conservation écrite, posée dans un dossier conformité, ne suffit plus à elle seule. Ce que les régulateurs demandent, ce sont des preuves auditables que la politique est réellement appliquée — procédures de suppression documentées, calendriers de conservation appliqués au niveau du serveur plutôt que laissés à l'appréciation de chaque salarié, et procédures de conservation à titre conservatoire qui suspendent correctement la purge de routine quand un contentieux est raisonnablement prévisible.

Cela se voit aussi dans les sanctions voisines. La CNIL française et le Garante italien ont tous deux publié des lignes directrices formelles en avril 2026, traitant la boîte de réception comme un prolongement de la vie privée — leurs nouvelles règles sur les pixels espions dans les e-mails exigent un consentement préalable avant que quoi que ce soit d'invisible ne rende compte de ce qui se passe dans la boîte d'un destinataire. Le mécanisme diffère de la conservation, mais la posture de fond est la même : les régulateurs regardent précisément ce que les entreprises font du contenu des e-mails, pas seulement si un document de politique existe quelque part.

Un calendrier de conservation qui tient la route

Rien de tout cela n'exige d'outillage exotique. Une structure défendable ressemble à un petit nombre de catégories, chacune avec une raison documentée et une durée :

Le courrier opérationnel courant — coordination interne, prise de rendez-vous, correspondance quotidienne sans portée juridique ou financière propre. Couramment conservé un an environ, puis purgé.

La correspondance avec le service client — en général conservée plus longtemps, souvent deux ans, pour couvrir les périodes de garantie et de litige.

Les pièces comptables et fiscales — régies par ce qu'exigent les règles fiscales et d'audit de votre juridiction, souvent sept ans.

Tout ce qui est sous gel juridique actif — conservé quelle que soit la catégorie jusqu'à la levée du gel, ce qui prime sur tous les autres calendriers.

Les chiffres précis varient selon le secteur et la géographie — le RGPD ne les fixe pas, votre régulateur ou votre propre justification documentée le font. Ce qui compte, c'est que chaque catégorie ait un nombre attaché, et que ce nombre soit réellement appliqué plutôt qu'aspirationnel.

Où une archive personnelle trouve sa place

Il y a là une vraie tension pour les particuliers et les petites équipes : la discipline de conservation pousse à supprimer le vieux courrier du serveur, mais personne ne veut perdre quinze ans de correspondance parce qu'une règle de conformité dit que la boîte vivante ne doit plus la contenir. La solution est la même que pour le risque de sauvegarde — séparer ce qui reste sur le serveur de ce dont vous gardez une copie.

MailVault archive chaque dossier de votre compte IMAP ou OAuth en fichiers .eml individuels sur votre propre disque, totalement indépendants de la boîte de votre fournisseur. Cela vous laisse la marge nécessaire pour appliquer réellement un calendrier de conservation sur le compte vivant — en supprimant ce qui a dépassé sa durée justifiée — sans perdre la pièce elle-même, puisqu'elle vit déjà à un endroit que vous maîtrisez, dans un format que n'importe quel client sait ouvrir. Les sauvegardes manuelles sont gratuites et illimitées ; les sauvegardes programmées, qui tiennent l'archive à jour automatiquement, sont une fonction Premium à $4/mois ou $25/an, avec 14 jours d'essai sur la formule annuelle.

À lire aussi : comment supprimer des milliers de vieux e-mails sans risque, l'archivage des e-mails pour les indépendants et comment conserver ses e-mails après les avoir supprimés du serveur.