VEILLESTOP : La boite mail n’est pas une boite d’archive
Jeudi 12 novembre 2026
DPO PARTAGEVeille RGPD et protection des données
  • Secteurs
    Secteurs
    SantéÉtablissements, professionnels et santé au travail
    EHPAD et médico-socialHôpitaux et cliniquesProfessionnels de santéSanté au travail (SPST)
    CollectivitésCommunes, intercommunalités, CCASCSEComités sociaux et économiquesProfessions du chiffre et du droitExperts-comptables, avocats, notairesAssurance et mutuellesCourtiers, agents, mutuellesImmobilierAgences, syndics, administrateurs de biensCommerce et e-commerceBoutiques et sites marchandsServices SociauxAssociations et action socialeTous les secteurs →Veille, tutoriels et formulaire par métier

    DPO FRANCE

    Un DPO qui connaît votre secteur

    Recevez une proposition adaptée à votre activité.

    Recevoir une proposition
  • Thèmes RGPD
    Thèmes RGPD
    Conformité RGPDLes fondamentaux et leur mise en œuvre
    Métier de DPOSensibilisationConsentementPrincipes du RGPD
    Analyse d'impact (AIPD)Quand et comment mener une AIPDDonnées de santéDossier médical, HDS, INS, rechercheDroits des personnesAccès, effacement, rectification, imageCybersécuritéCyberattaques, failles, hameçonnageIA et nouvelles réglementationsAI Act, NIS 2, IA générativeCNIL et sanctionsSanctions, contrôles, CEPDTous les thèmes →Toute la veille, classée par thème

    DPO FRANCE

    Une question RGPD ?

    Un DPO du réseau DPO FRANCE vous répond et vous dit quoi faire en priorité.

    Diagnostic RGPD gratuit
  • DPO externalisé
    DPO externalisé
    DPO externaliséLe métier de DPO, ses missions et ses outils
    Livres RGPDLogiciel conformité RGPDToute la rubrique
    STOP : La boite mail n’est pas une boite d’archive12 novembre 2026Droit d’accès RGPD : la jurisprudence de 2009 à 2026, décision par décision11 novembre 2026Applications vibe-codées sur Lovable : passeports et 200 000 messages exposés, ce que dit le RGPD6 novembre 2026OpenHack : un ingénieur sécurité IA en continu, et les vérifications du DPO avant de lui ouvrir le code5 novembre 2026

    DPO SUITE

    Le logiciel des DPO externalisés

    Suivez tous vos clients au même endroit.

    Créer mon registre gratuitement
  • App DPO SUITE
    App DPO SUITE

    DPO SUITE

    Le logiciel de conformité RGPD créé par des DPO pour des DPO

    Registre, AIPD, demandes de droits, incidents et sous-traitants réunis dans un seul outil, avec ALIX, l’assistant IA qui vous propose vos principaux traitements dès l’ouverture du compte. IA française, hébergement à Paris.

    Créer mon registre gratuitementComparer les offres DPO du marchéDécouvrir DPO SUITE
DPO FRANCE - Trouver mon DPO
DPO PARTAGE
Menu
DPO FRANCE - Trouver mon DPO
Secteurs
Assurance et mutuellesCollectivitésCommerce et e-commerceCSEImmobilierProfessions du chiffre et du droitSantéEHPAD et médico-socialHôpitaux et cliniquesProfessionnels de santéSanté au travail (SPST)Services SociauxTous les secteurs →
Thèmes RGPD
Conformité RGPDAnalyse d'impact (AIPD)Données de santéDroits des personnesCybersécuritéIA et nouvelles réglementationsCNIL et sanctionsTous les thèmes →
DPO externalisé
Livres RGPDLogiciel conformité RGPDSTOP : La boite mail n’est pas une boite d’archiveDroit d’accès RGPD : la jurisprudence de 2009 à 2026, décision par décisionApplications vibe-codées sur Lovable : passeports et 200 000 messages exposés, ce que dit le RGPDOpenHack : un ingénieur sécurité IA en continu, et les vérifications du DPO avant de lui ouvrir le codeToute la rubrique →
App DPO SUITE

Le logiciel de conformité RGPD créé par des DPO pour des DPO : registre, AIPD, demandes de droits et incidents dans un seul outil.

Créer mon registre gratuitementComparer les offres DPO du marchéDécouvrir DPO SUITE
Contact
DPO PARTAGE
No Result
View All Result
  • Login
Social icon element need JNews Essential plugin to be activated.
  • Secteurs
    • All
    • À la maison
    • AI Act
    • Analyse d'impact (AIPD)
    • Anonymisation et pseudonymisation
    • ANSSI
    • Archivage données de santé
    • Assurance et mutuelles
    • Audit RGPD
    • Cas pratiques
    • CEPD et institutions européennes
    • Certification SPSTi
    • CNIL et sanctions
    • Collectivités
    • Commerce et e-commerce
    • Conformité RGPD
    • Consentement
    • Contrôles CNIL
    • Cookies et sites internet
    • CSE
    • Cyberattaques
    • Cybersécurité
    • Délais de conservation
    • Directive NIS 2
    • DMST
    • Données de santé
    • Dossier médical
    • DPO externalisé
    • DPO FRANCE
    • DPO Suite
    • Droit à l'image
    • Droit à la limitation
    • Droit d'accès
    • Droit de rectification
    • Droits des personnes
    • Effacement et oubli
    • EHPAD et médico-social
    • Entrepôts de données et recherche
    • Focus RGPD
    • Force probante
    • Hameçonnage
    • HDS
    • Hôpitaux et cliniques
    • IA et nouvelles réglementations
    • Immobilier
    • INS et NIR
    • Livres RGPD
    • Logiciel conformité RGPD
    • Métier de DPO
    • Principes du RGPD
    • Privacy by design
    • Procédures RGPD
    • Professionnels de santé
    • Professions du chiffre et du droit
    • Profilage
    • Recommandations CNIL
    • RH et salariés
    • Sanctions et amendes
    • Santé
    • Santé au travail (SPST)
    • Secteurs
    • Sécurité des systèmes
    • Sensibilisation
    • Services Sociaux
    • Tutoriel DPO
    • Usurpation d'identité
    • Violations de données
    22113

    STOP : La boite mail n’est pas une boite d’archive

    22107

    Demande d’accès RGPD générée par l’IA : coût et limites

    22104

    Droit d’accès RGPD : la jurisprudence de 2009 à 2026, décision par décision

    20028

    Messagerie de mairie piratée : les gestes des premières heures

    21196

    Évaluation HAS des ESSMS : critères et preuves sur les données

    21892

    Séance plénière CNIL du 5 novembre 2026 : la todolist du DPO

    21894

    Recherches internes en santé : les règles rappelées par la CNIL

    21880

    Rejeu de session : ce que change la recommandation de la CNIL

    21637

    Durée de conservation du dossier médical : hôpital, cabinet, DMST

    • Santé au travail (SPST)
    • Professionnels de santé
    • Assurance et mutuelles
    • Hôpitaux et cliniques
    • Commerce et e-commerce
    • EHPAD et médico-social
    • Services Sociaux
    • Collectivités
    • Professions du chiffre et du droit
    • Immobilier
    • CSE
  • Thèmes RGPD
    • Conformité RGPD
    • Analyse d’impact (AIPD)
    • Données de santé
    • Droits des personnes
    • Cybersécurité
    • IA et nouvelles réglementations
    • CNIL et sanctions
  • DPO externalisé
  • App DPO SUITE
  • Votre DPO avec DPO FRANCE
  • Secteurs
    • All
    • À la maison
    • AI Act
    • Analyse d'impact (AIPD)
    • Anonymisation et pseudonymisation
    • ANSSI
    • Archivage données de santé
    • Assurance et mutuelles
    • Audit RGPD
    • Cas pratiques
    • CEPD et institutions européennes
    • Certification SPSTi
    • CNIL et sanctions
    • Collectivités
    • Commerce et e-commerce
    • Conformité RGPD
    • Consentement
    • Contrôles CNIL
    • Cookies et sites internet
    • CSE
    • Cyberattaques
    • Cybersécurité
    • Délais de conservation
    • Directive NIS 2
    • DMST
    • Données de santé
    • Dossier médical
    • DPO externalisé
    • DPO FRANCE
    • DPO Suite
    • Droit à l'image
    • Droit à la limitation
    • Droit d'accès
    • Droit de rectification
    • Droits des personnes
    • Effacement et oubli
    • EHPAD et médico-social
    • Entrepôts de données et recherche
    • Focus RGPD
    • Force probante
    • Hameçonnage
    • HDS
    • Hôpitaux et cliniques
    • IA et nouvelles réglementations
    • Immobilier
    • INS et NIR
    • Livres RGPD
    • Logiciel conformité RGPD
    • Métier de DPO
    • Principes du RGPD
    • Privacy by design
    • Procédures RGPD
    • Professionnels de santé
    • Professions du chiffre et du droit
    • Profilage
    • Recommandations CNIL
    • RH et salariés
    • Sanctions et amendes
    • Santé
    • Santé au travail (SPST)
    • Secteurs
    • Sécurité des systèmes
    • Sensibilisation
    • Services Sociaux
    • Tutoriel DPO
    • Usurpation d'identité
    • Violations de données
    22113

    STOP : La boite mail n’est pas une boite d’archive

    22107

    Demande d’accès RGPD générée par l’IA : coût et limites

    22104

    Droit d’accès RGPD : la jurisprudence de 2009 à 2026, décision par décision

    20028

    Messagerie de mairie piratée : les gestes des premières heures

    21196

    Évaluation HAS des ESSMS : critères et preuves sur les données

    21892

    Séance plénière CNIL du 5 novembre 2026 : la todolist du DPO

    21894

    Recherches internes en santé : les règles rappelées par la CNIL

    21880

    Rejeu de session : ce que change la recommandation de la CNIL

    21637

    Durée de conservation du dossier médical : hôpital, cabinet, DMST

    • Santé au travail (SPST)
    • Professionnels de santé
    • Assurance et mutuelles
    • Hôpitaux et cliniques
    • Commerce et e-commerce
    • EHPAD et médico-social
    • Services Sociaux
    • Collectivités
    • Professions du chiffre et du droit
    • Immobilier
    • CSE
  • Thèmes RGPD
    • Conformité RGPD
    • Analyse d’impact (AIPD)
    • Données de santé
    • Droits des personnes
    • Cybersécurité
    • IA et nouvelles réglementations
    • CNIL et sanctions
  • DPO externalisé
  • App DPO SUITE
  • Votre DPO avec DPO FRANCE
No Result
View All Result
DPO PARTAGE
No Result
View All Result

STOP : La boite mail n’est pas une boite d’archive

Rédigé par la rédaction DPO PARTAGE le 12 novembre 2026 · il faut compter 27 min pour la lecture
0
Discussion sur la gestion des données dans une réunion professionnelle

Une réunion sur la gestion des courriels et des données personnelles.

Sommaire

Toggle
  • La boîte mail est devenue une archive par défaut
  • Français, Allemands, Américains devant leur boîte mail
  • Faire de la boîte mail un lieu de passage
  • La preuve, argument favori du « je garde tout »
  • Au-delà de la messagerie
  • Supprimer automatiquement, avec des garde-fous
  • L’IA au service du tri
  • Coût et gains de la démarche
  • Le test de la newsletter
  • Sources
  • Questions fréquentes

Dans notre article sur les demandes d’accès rédigées par l’IA, le tri des courriels pesait près des trois quarts du temps de réponse. Or la messagerie n’est qu’une source parmi d’autres : Teams, drives partagés, enregistrements de réunions, badges, vidéosurveillance et journaux informatiques entrent tous dans le périmètre d’une demande d’accès. Garder tous ses courriels pour se ménager des preuves ne les rend pas plus probants, et des assistants comme Copilot ou Gemini peuvent porter une partie du tri. Le remède se trouve en amont. Un élément traité rejoint le dossier auquel il se rapporte ou disparaît, et une suppression automatique fait le reste. Appliquée à chaque enregistrement de données personnelles, cette règle fait du RGPD un gain de productivité, et la prochaine demande d’accès porte sur un volume bien plus réduit.

A lire aussi sur DPO PARTAGE

Demande d’accès RGPD générée par l’IA : coût et limites

Droit d’accès RGPD : la jurisprudence de 2009 à 2026, décision par décision

Durée de conservation du dossier médical : hôpital, cabinet, DMST

La boîte mail est devenue une archive par défaut

Personne n’a décidé que la messagerie servirait d’archive. Elle l’est devenue par commodité, chaque suppression obligeant à se demander si le message servira un jour. À 42 messages reçus par jour, la moyenne mesurée en Allemagne par Bitkom en 2023, une boîte professionnelle reçoit plus de 9 000 messages sur 220 jours travaillés. Au bout de quelques années s’y empilent des pièces jointes, des copies adressées à dix destinataires et des échanges sur des salariés partis depuis longtemps.

Le jour où arrive une demande d’accès, ce stock devient le périmètre de la recherche. Le CEPD fixe le point de référence au moment de la réception : la réponse couvre toutes les données disponibles à cette date. Il précise qu’un responsable de traitement n’a pas à fournir des données déjà supprimées en application de sa politique de conservation. La CNIL fait le même lien dans sa fiche sur les courriels des salariés : fixer des durées de conservation à la messagerie allège la charge au moment de répondre.

DPO FRANCE

Une question sur votre situation ?

Un DPO du réseau DPO FRANCE vous répond et vous dit quoi faire en priorité.

Parler à un DPO

Français, Allemands, Américains devant leur boîte mail

Les enquêtes disponibles ne se comparent pas point par point. Leurs dates, leurs échantillons et leurs questions diffèrent, et plusieurs portent sur la messagerie personnelle autant que professionnelle. Elles dessinent pourtant des réflexes assez nets.

En France, le stock grossit

Selon une enquête publiée par Notify pour le Digital Clean Up Day de mars 2026, dont l’échantillon n’a pas été rendu public, 36,5 % des répondants ont plus de 500 messages non lus dans leur boîte principale. Le grand ménage reste rare : 15,4 % ne le font jamais, 26,9 % très rarement et 36,5 % une ou deux fois par an. Un tiers des répondants (34,6 %) laisse s’accumuler les messages promotionnels qui ne l’intéressent pas.

Au travail, l’enquête FLASHS pour Hostinger de novembre 2024, menée auprès de 1 000 salariés et 1 000 dirigeants du tertiaire, indique que 37 % des salariés passent plus d’une heure par jour sur leurs courriels et que 52 % se disent stressés en rouvrant leur boîte après des congés. Les systèmes d’information suivent la même pente : en 2015, l’étude Databerg de Veritas estimait à 57 % la part des données stockées par les entreprises françaises dont personne ne connaît la valeur, contre 54 % en moyenne européenne.

Une entreprise française a tenté la rupture. En 2011, Atos annonçait vouloir supprimer le courriel interne : ses 74 000 salariés recevaient alors environ 200 messages par jour, dont 10 % seulement étaient jugés utiles.

En Allemagne, on range et on garde

Le volume a plus que doublé en neuf ans. Bitkom mesurait en 2023 une moyenne de 42 courriels professionnels reçus par jour, contre 18 en 2014, et 8 % des actifs en recevaient plus de 100. Une enquête de WEB.DE et GMX auprès d’environ 2 000 personnes, publiée en 2022, décrit des boîtes plutôt tenues : près d’un utilisateur sur deux a plus de 20 messages non lus, un sur cinq plus de 50, et 83 % disent se sentir mieux quand leur boîte est rangée.

La même enquête décrit un profil de collectionneur, qui classe chaque message dans un dossier dès sa lecture et refuse par principe de supprimer. Le goût du rangement n’empêche donc pas l’accumulation. Dans l’édition 2016 de l’étude Veritas, l’Allemagne affichait 66 % de données sans valeur connue, le chiffre le plus élevé du classement publié, devant le Canada et l’Australie. Les entreprises allemandes archivent d’ailleurs leurs courriels commerciaux, que la loi leur impose de garder six à dix ans.

L’Allemagne a aussi connu une expérience de suppression radicale. En 2014, Daimler a ouvert à environ 100 000 salariés l’option Mail on Holiday : pendant les congés, les courriels reçus sont effacés, et l’expéditeur en est averti avec le nom d’un collègue à joindre en cas d’urgence.

Aux États-Unis, on vide la boîte

La méthode Inbox Zero, popularisée par Merlin Mann au milieu des années 2000, a fixé un idéal : une boîte vide en fin de journée. Selon YouGov en 2015, 79 % des Américains qui utilisent le courriel essaient de garder un nombre de non-lus proche de zéro ; 22 % n’en avaient aucun, la médiane s’établissait à 5, et 6 % seulement dépassaient 1 000. Le courriel professionnel occupe malgré tout beaucoup de temps : 209 minutes par jour en 2019, selon une enquête d’Adobe auprès de plus de 1 000 salariés américains.

Outre-Atlantique, en cas de litige, l’adversaire peut réclamer chaque courriel conservé, et le coût de cette recherche pousse les entreprises à organiser la suppression par des politiques écrites. Un tribunal fédéral de l’Illinois a jugé en 2013, dans l’affaire Pradaxa, qu’un laboratoire n’avait commis aucune faute en effaçant les courriels d’un ancien dirigeant 30 jours après son départ, comme le prévoyait sa politique, à une date où aucun litige n’était prévisible.

Mises bout à bout, ces enquêtes dessinent des tendances plus que des portraits. L’idéal américain reste une boîte presque vide, avec une suppression organisée par l’entreprise. Les Allemands interrogés rangent volontiers, quitte à tout garder dans des dossiers, quand les Français déclarent plus souvent laisser le stock grossir. Face à une demande d’accès, la boîte presque vide coûte le moins cher ; le dossier bien rangé vient ensuite, à condition qu’une durée de conservation y soit appliquée.

Faire de la boîte mail un lieu de passage

Et si nous proposions une idée : un message traité est classé dans le dossier auquel il se rapporte (non pas dans la boite mail 🙂 ), ou supprimé. Le dossier RH d’un salarié, celui d’un client, d’un marché ou d’un adhérent porte sa propre durée de conservation, déjà inscrite au registre des traitements (article 30 du RGPD). Le courriel classé hérite de cette durée. Celui qui reste dans la boîte n’a vocation qu’à y transiter.

Classer au fil de l’eau revient à appliquer le RGPD à chaque enregistrement de données personnelles : protection des données dès la conception (article 25), limitation de la conservation (article 5, paragraphe 1, e) et minimisation. Le classement se fait au moment où le contexte est connu, en quelques secondes, et l’effort se reporte du jour de la demande d’accès vers le quotidien.

Un courriel rangé dans un dossier reste une donnée personnelle, accessible au salarié qui en fait la demande. Le périmètre du droit d’accès reste le même ; le classement rend les données trouvables, sans doublon et soumises à la bonne durée de conservation, et la recherche se fait alors par dossier et par nom.

Reprenons l’exemple de notre article précédent : un ancien salarié présent quatre ans, environ 3 000 messages à trier, 25 à 50 heures de travail pour ce seul poste. Avec une boîte de réception limitée à trois mois, la recherche dans la messagerie porte sur trois mois de messages au lieu de quarante-huit, soit un volume seize fois plus faible si le flux est régulier. Le reste se trouve dans des dossiers où chaque message est rattaché à une affaire et à des personnes identifiées.

La preuve, argument favori du « je garde tout »

L’objection arrive vite : il faut garder ses courriels, au cas où il faudrait prouver quelque chose. Devant le conseil de prud’hommes, un courriel sert en effet de preuve, car la preuve d’un fait est libre (article 1358 du code civil). La chambre sociale de la Cour de cassation l’a admis pour un courriel contesté qui établissait un licenciement (Cass. soc., 25 septembre 2013, n° 11-25.884).

Sa force reste fragile. Un courriel se transfère, se modifie avant impression, se détache de son fil. Quand il porte un engagement et que son auteur le conteste, le juge doit vérifier que l’auteur est identifié et que le message a été conservé dans des conditions qui garantissent son intégrité (Cass. 1re civ., 30 septembre 2010, n° 09-68.555, sur le fondement de ce qui est aujourd’hui l’article 1366 du code civil). Une boîte de réception où l’on supprime, déplace et transfère à volonté offre peu de garanties sur ce point.

Garder pour prouver a aussi un revers. Les messages que l’employeur conserve pour sa défense restent accessibles au salarié au titre de l’article 15, et la cour d’appel de Versailles a montré en 2026 qu’ils peuvent sortir avant tout procès. Une pièce utile à la preuve a donc sa place dans le dossier, en archivage intermédiaire, à accès restreint et pour la durée de prescription de l’action qu’elle sert. La CNIL admet cette conservation à des fins de preuve, limitée à ce qui est nécessaire. Le reste de la boîte n’apporte en général rien de plus, et alourdit chaque demande d’accès.

Au-delà de la messagerie

Le droit d’accès vise toute donnée personnelle traitée par l’organisme, quel que soit l’outil. En 2025, la cour d’appel de Paris a ordonné la communication de messages Teams ; en 2026, la cour d’appel de Versailles a ordonné celle de l’agenda professionnel et des données de temps de travail. Chaque outil appelle donc sa propre règle, décidée avant la première demande.

SourceDonnées concernéesRéflexeRepère de durée
Messagerie instantanée (Teams, Slack)Échanges rapides sur les personnes, souvent plus directs que les courrielsClasser l’utile dans le dossier, purger le reste comme la boîte mailAucune durée publiée par la CNIL ; à fixer dans la charte
Enregistrements et transcriptions de réunionsVoix, image, propos de chacun, résumés produits par l’IAGarder le compte rendu validé dans le dossier, supprimer l’enregistrement brut à bref délaiAucune durée publiée par la CNIL
Drives et dossiers partagésVersions successives, copies, documents en doubleUn seul emplacement par dossier, suppression des copies de travailDurée du dossier auquel le document se rattache
Fichiers sur les postes et exportsExtractions du SIRH, pièces téléchargées, tableaux ExcelPas de stockage local durable, export supprimé après usageDurée de l’usage
VidéosurveillanceImages des salariés et des visiteursPurge automatique1 mois
Badges d’accès aux locauxEntrées et sortiesPurge automatique3 mois ; 5 ans en archive si le badge sert au suivi du temps de travail
Enregistrement des appelsConversations, grilles d’évaluationPurge automatique6 mois pour les enregistrements, 1 an pour les documents d’analyse
Géolocalisation des véhiculesDéplacementsPurge automatique2 mois ; 1 an en archive pour les tournées
Journaux informatiquesConnexions et actions des utilisateursPurge automatique6 mois à 1 an
Candidatures non retenuesCV, lettres, échanges avec le candidatFin de la base active à l’issue du recrutement, archive limitée5 ans en archive après le recrutement, pour la preuve en cas de discrimination ; 2 ans maximum en CVthèque après le dernier contact
Dossiers papierClasseurs, cahiers, notes manuscritesMême plan de classement que le numériqueDurée du dossier ; le RGPD s’applique aux fichiers papier structurés (article 2)
Assistants d’IARequêtes et documents chargés qui citent des salariésHistorique court, aucune donnée de salarié dans un outil grand publicAucune durée publiée par la CNIL
Téléphones et messageries personnellesSMS, WhatsApp, échanges de travail hors systèmeÀ proscrire ou à encadrer dans la charte informatiqueHors des règles de conservation de l’employeur

Repères de durée : référentiel de la CNIL sur les durées de conservation en gestion des ressources humaines (avril 2026) et recommandation de la CNIL sur la journalisation (2021).

Pour la vidéo, les badges, les appels, la géolocalisation et les journaux, la durée se paramètre une fois pour toutes dans l’outil, et la purge automatique l’applique sans que personne n’ait à y penser. Messageries instantanées, drives et enregistrements de réunions demandent le réflexe de classement décrit plus haut. Les copies hors système, sur un poste, un téléphone ou une messagerie personnelle, posent le problème inverse : elles échappent à toute règle de conservation, et la charte informatique doit les proscrire ou les encadrer.

La liste de ces sources alimente le registre des traitements et devient la liste de contrôle de chaque demande d’accès. Le jour venu, l’équipe sait où chercher et ce qui, selon les durées appliquées, n’existe plus.

Supprimer automatiquement, avec des garde-fous

Les messageries professionnelles et la plupart des outils collaboratifs proposent des règles de conservation : suppression des messages de la boîte de réception au-delà d’une durée, purge de la corbeille, application aux éléments envoyés. Nous recommandons de les activer, après une période d’information qui laisse à chacun le temps de classer ce qui doit l’être.

La suppression s’arrête dès qu’une demande d’accès arrive. Le CEPD interdit d’effacer des données en réponse à une demande : il faut donner accès d’abord, supprimer ensuite. L’autorité belge de protection des données a adressé un avertissement, le 24 février 2026, à une entreprise qui avait effacé l’enregistrement vidéo d’un entretien de recrutement une semaine après la demande d’accès du candidat.

Un litige prévisible impose la même pause. Les actions d’un salarié se prescrivent en un à cinq ans selon leur objet (articles L. 1471-1, L. 3245-1 et L. 1134-5 du code du travail), et l’employeur a besoin de ses propres pièces pour se défendre. Dans l’affaire Pradaxa, le tribunal américain a validé la suppression justement parce qu’aucun litige n’était prévisible au moment où elle a eu lieu.

Les pièces soumises à une obligation de conservation rejoignent leur dossier avant toute suppression : pièces comptables pendant dix ans (article L. 123-22 du code de commerce), documents utiles au contrôle fiscal pendant six ans (article L. 102 B du livre des procédures fiscales). Pour une collectivité, les courriels sont des archives publiques, dont l’élimination suppose l’accord du service d’archives compétent (article L. 212-2 du code du patrimoine).

Les messages personnels des salariés demandent un traitement à part. La CNIL demande de prévenir le salarié qui part de la date de fermeture de sa messagerie, pour qu’il récupère ses messages privés, puis de supprimer son adresse nominative.

La règle s’écrit dans la charte informatique, que la CNIL invite à élaborer avec les représentants du personnel. Dans les entreprises d’au moins 50 salariés, ce changement d’outil relève aussi de l’information-consultation du CSE sur l’introduction de nouvelles technologies (article L. 2312-8 du code du travail). Les sauvegardes suivent les mêmes durées, faute de quoi les messages supprimés survivent ailleurs.

L’IA au service du tri

Les assistants intégrés aux messageries rendent la règle plus facile à tenir. Microsoft 365 Copilot résume un fil et prépare une réponse dans Outlook, Gemini fait de même dans Gmail. Google a présenté en mai 2025 une fonction de Gemini qui supprime ou archive des messages sur simple instruction, du type « archive tous les reçus de la semaine dernière ». Depuis juillet 2025, Gmail regroupe aussi les newsletters dans une vue de gestion des abonnements, d’où l’on se désabonne en un clic.

Les règles de conservation et la recherche pour une demande d’accès relèvent d’outils moins visibles. Microsoft Purview applique des durées de conservation et de suppression aux boîtes, à Teams et à OneDrive, et sa fonction eDiscovery retrouve les contenus liés à une personne. Google Vault joue le même rôle dans Google Workspace. Ces briques figurent souvent déjà dans la licence, et le travail porte alors sur leur paramétrage.

L’IA produit aussi ses propres données. Les requêtes adressées à Microsoft 365 Copilot et ses réponses sont conservées dans un dossier caché de la boîte de l’utilisateur, consultables par eDiscovery et soumises aux stratégies de conservation que l’organisme définit. Un salarié qui demande « tout ce qui me concerne » peut donc viser aussi ce qu’un manager a demandé à Copilot à son sujet. Mieux vaut leur fixer une durée courte, comme aux transcriptions de réunions.

Reste la gouvernance. Un assistant voit tout ce que son utilisateur peut ouvrir, et des droits d’accès trop larges deviennent visibles du jour au lendemain. Confier le tri des courriels de salariés à une IA constitue un traitement à inscrire au registre, à présenter dans la charte et, selon son usage, à soumettre au CSE. Les assistants grand public, utilisés sans contrat d’entreprise, ne doivent recevoir aucun message contenant des données de salariés. Les assistants conversationnels comme ChatGPT ou Le Chat de Mistral, en version entreprise, aident en revanche à rédiger un plan de classement ou une charte, à condition de ne pas y verser le contenu des boîtes.

Coût et gains de la démarche

Prenons un organisme de 100 salariés et un coût horaire du travail de 44,7 €, la moyenne française de 2025 selon l’Insee et Eurostat. Les durées du tableau sont des hypothèses, à ajuster à chaque organisme. L’économie par demande d’accès reprend le chiffrage de notre article précédent, avec une boîte limitée à trois mois.

PosteHypothèseHeuresCoût
Mise en place, une seule fois
Cartographie des sources et des duréesDPO et DSI, 2 à 3 jours chacun32 à 48 h1 430 à 2 150 €
Charte informatique et consultation du CSEDPO, RH et direction8 à 16 h360 à 720 €
Paramétrage des règles de conservationDSI8 à 16 h360 à 720 €
Formation des salariés1 heure par salarié100 h4 470 €
Reprise du stock existantArchivage en lecture seule par la DSI, puis 1 à 2 heures de tri par salarié108 à 216 h4 830 à 9 660 €
Total de la mise en place256 à 396 h11 400 à 17 700 €
Fonctionnement, chaque année
Classement au fil de l’eau1 minute de plus par jour et par salariéNSNS
Économie par demande d’accès55 à 105 h avant, 18 à 35 h après37 à 70 h1 700 à 3 100 €
StockageQuotas de 50 ou 100 Go par boîte inclus dans les licences Microsoft 365FaibleFaible

Sur le seul droit d’accès, le calcul ne tient pas : il faudrait cinq à dix demandes par an pour couvrir le temps de classement. Le stockage ne pèse guère plus. Exchange Online inclut 50 ou 100 Go par boîte selon le plan, avec une archive qui peut s’étendre jusqu’à 1,5 To ; l’économie se limite aux sauvegardes et aux outils facturés au volume.

Le calcul bascule avec le temps de recherche. McKinsey estimait en 2012 qu’un salarié de bureau consacrait 28 % de sa semaine à la messagerie et près de 20 % à chercher des informations internes ou des collègues capables de l’aider. Si le classement fait gagner deux minutes par jour à chacun pour retrouver une pièce, il se paie seul et dégage environ 16 400 € par an pour 100 salariés. Une boîte allégée gagne aussi en fluidité : la recherche y répond plus vite, une migration de messagerie déplace moins de volume, et un piratage expose moins de messages.

Le volume ne tombe jamais à zéro. Les dossiers, les archives intermédiaires et les pièces de preuve restent, et une demande d’accès oblige toujours à les parcourir : le chiffrage garde 15 à 30 heures pour ces étapes. Le risque reste enfin hors calcul : contentieux sur le droit d’accès, plainte à la CNIL, dommages et intérêts. Nous voyons encore trop de messageries servir de coffre-fort pendant des années. À notre avis, la boîte mail devrait se traiter comme un bureau qu’on range chaque soir.

Le test de la newsletter

Que faites-vous de vos newsletters ? Au regard du RGPD, elles ne contiennent guère que votre adresse. La façon dont vous les traitez renseigne assez bien sur la tenue de votre boîte, et sur votre capacité à répondre un jour à une demande d’accès. Selon l’enquête Notify de 2026, un tiers des répondants laisse s’accumuler les messages promotionnels qui ne l’intéressent pas. Choisissez votre réponse.

Je les lis, puis je les supprime
Votre boîte sert déjà de lieu de passage. La règle du classement ou de la suppression vous demandera peu d’effort.
Je les laisse s’accumuler sans les ouvrir
Le stock grossit, et le reste de la boîte suit le même chemin. Un désabonnement groupé, depuis la vue de gestion des abonnements de Gmail ou le lien de désabonnement d’Outlook, libère la boîte en quelques minutes.
Je les range dans un dossier « à lire »
Le dossier « à lire » devient vite un dossier jamais lu. Fixez-lui une durée : ce qui n’a pas été lu en un mois peut partir.
Je me désabonne dès qu’une newsletter ne m’intéresse plus
Vous appliquez déjà la minimisation à votre propre boîte. Reste à étendre le réflexe aux courriels qui concernent des personnes.
À retenir
  • Le droit d’accès porte sur les données détenues au jour de la demande ; ce qui a été supprimé avant, selon une politique de conservation, n’a pas à être produit.
  • Un message traité est classé dans son dossier ou supprimé ; le dossier porte la durée de conservation.
  • Un message classé reste accessible au salarié ; le classement accélère la recherche.
  • Chaque outil a sa durée : 1 mois pour la vidéo, 3 mois pour les badges, 6 mois pour les enregistrements d’appels, 6 mois à 1 an pour les journaux informatiques.
  • La suppression automatique se suspend dès réception d’une demande d’accès ou dès qu’un litige devient prévisible.
  • Une pièce de preuve se garde dans un dossier archivé de façon intègre ; une boîte de réception en offre peu de garanties.
  • La démarche se paie surtout par le temps de recherche gagné chaque jour ; le droit d’accès n’en couvre qu’une partie.
  • Pièces comptables, documents fiscaux et archives publiques suivent leurs propres règles.

Le RGPD demande de savoir ce qu’on garde, pourquoi et pour combien de temps. Appliqué à chaque outil de travail, ce principe fait gagner du temps chaque jour et rend la prochaine demande d’accès beaucoup moins lourde.

Revoir la conservation de vos données ?
Les DPO du réseau DPO FRANCE vous aident à définir vos durées de conservation et relisent votre charte informatique avant sa diffusion. DPO SUITE rattache à chaque traitement du registre ses durées de conservation et le tableau de gestion des documents correspondants.

Être accompagné par un DPO
Découvrir DPO SUITE

Sources

  • Règlement (UE) 2016/679 (RGPD), articles 5, 25 et 30 : EUR-Lex
  • CEPD, lignes directrices 01/2022 sur le droit d’accès, points 37 à 39 : edpb.europa.eu
  • CNIL, Le droit d’accès des salariés à leurs données et aux courriels professionnels, fiche mise à jour le 31 janvier 2025 : cnil.fr
  • CNIL, L’accès à la messagerie d’un salarié en son absence : cnil.fr
  • CNIL, Messagerie professionnelle : quelles précautions avant de fermer le compte d’un employé : cnil.fr
  • CNIL, référentiel sur les durées de conservation en gestion des ressources humaines, 2 avril 2026 : cnil.fr
  • CNIL, recommandation relative aux mesures de journalisation, délibération n° 2021-122 du 14 octobre 2021 : cnil.fr
  • Cour d’appel de Paris, pôle 6, chambre 2, 2 octobre 2025, n° 25/02502, et cour d’appel de Versailles, chambre sociale 4-2, 17 juin 2026, n° 25/02730, présentés par Simonnet Avocat : simonnetavocat.fr
  • Autorité belge de protection des données, décision 37/2026 du 24 février 2026, présentée par Luxgap : luxgap.com
  • Notify, enquête Digital Clean Up Day, mars 2026, présentée par Esteval : esteval.fr
  • FLASHS pour Hostinger, novembre 2024, présentée par le Blog du Modérateur : blogdumoderateur.com
  • Veritas, Databerg Report 2015, présenté par Le Monde Informatique : lemondeinformatique.fr
  • Veritas, Global Databerg Report 2016, présenté par DQ India : dqindia.com
  • Atos, programme zéro courriel, ABC News, 29 novembre 2011 : abcnews.com
  • Bitkom, communiqué du 21 mars 2023 sur les boîtes professionnelles : bitkom.org
  • WEB.DE et GMX, enquête sur la gestion des courriels, présentée par wissen.de : wissen.de
  • Daimler, Mail on Holiday, Marketplace, 14 août 2014 : marketplace.org
  • YouGov, Inbox Zero, 4 juin 2015 : yougov.com
  • Adobe, Email Usage Study 2019, présentée par ClickZ : clickz.com
  • In re Pradaxa Products Liability Litigation, tribunal fédéral du district sud de l’Illinois, 25 septembre 2013, présenté par Technology Law Source : technologylawsource.com
  • Cour de cassation, chambre sociale, 25 septembre 2013, n° 11-25.884, présentée par Le Monde du Droit : lemondedudroit.fr
  • Cour de cassation, 1re chambre civile, 30 septembre 2010, n° 09-68.555, présentée par Serge Braudo : résumé de l’arrêt
  • Microsoft Learn, conservation des requêtes et réponses de Copilot, mise à jour du 26 septembre 2025 : learn.microsoft.com
  • Microsoft Tech Community, quotas des boîtes Exchange Online, 16 janvier 2026 : techcommunity.microsoft.com
  • Aide Google Vault, fonctionnement de la conservation : support.google.com
  • Android Authority, nettoyage de la boîte Gmail par Gemini, mai 2025 : androidauthority.com
  • Chrome Unboxed, gestion des abonnements dans Gmail, 9 juillet 2025 : chromeunboxed.com
  • Insee, coût horaire du travail dans l’Union européenne, données 2025, 18 septembre 2026 : insee.fr
  • McKinsey Global Institute, The social economy, juillet 2012 : mckinsey.com
  • Code civil, articles 1358 et 1366 ; code du travail, articles L. 1134-5, L. 1471-1, L. 2312-8 et L. 3245-1 ; code de commerce, article L. 123-22 ; livre des procédures fiscales, article L. 102 B ; code du patrimoine, article L. 212-2

Questions fréquentes

Une boîte mail professionnelle est-elle une archive ?
Non. Elle sert à recevoir et à envoyer des messages. Un courriel qui doit être conservé a sa place dans le dossier auquel il se rapporte, avec la durée de conservation de ce dossier ; les autres peuvent être supprimés une fois traités.
La suppression automatique des courriels est-elle compatible avec le RGPD ?
Oui. Elle met en œuvre le principe de limitation de la conservation (article 5, paragraphe 1, e, du RGPD). Elle doit figurer dans la charte informatique, être annoncée aux salariés et se suspendre dès qu’une demande d’accès est reçue ou qu’un litige devient prévisible.
Peut-on supprimer des courriels après avoir reçu une demande d’accès ?
Non. Le CEPD impose de donner accès d’abord et de supprimer ensuite. L’autorité belge de protection des données a adressé un avertissement en février 2026 à une entreprise qui avait effacé un enregistrement après la demande.
Un courriel classé dans un dossier échappe-t-il au droit d’accès ?
Non. Il reste une donnée personnelle accessible au salarié. Le classement réduit le temps de recherche et applique la bonne durée de conservation, sans réduire le périmètre de la demande.
Un courriel conservé dans la boîte vaut-il preuve ?
Pour prouver un fait, la preuve est libre et le courriel est recevable (article 1358 du code civil). Pour prouver un engagement que son auteur conteste, le juge vérifie que celui-ci est identifié et que le message a été conservé de façon intègre. Dans les deux cas, un message rangé dans un dossier archivé de façon intègre résiste mieux qu’un courriel imprimé ou transféré.
Copilot ou Gemini peuvent-ils aider à gérer la conservation des courriels ?
Ils aident à trier, résumer et nettoyer une boîte, et Google a présenté en 2025 une fonction de Gemini qui supprime ou archive des messages sur simple instruction. Les durées de conservation et la recherche pour une demande d’accès relèvent plutôt d’outils d’administration comme Microsoft Purview ou Google Vault. Les échanges avec Microsoft 365 Copilot sont eux-mêmes conservés dans la messagerie et peuvent entrer dans le périmètre d’une demande d’accès.
Le droit d’accès vise-t-il aussi les messages Teams et les enregistrements de réunion ?
Oui. Toute donnée personnelle traitée par l’organisme entre dans le périmètre, quel que soit l’outil. La cour d’appel de Paris a ordonné en 2025 la communication de messages Teams, et l’autorité belge de protection des données a adressé un avertissement en 2026 à une entreprise qui avait effacé l’enregistrement d’un entretien après la demande.
Quelles durées la CNIL retient-elle pour la vidéo, les badges et les appels ?
Un mois pour les images de vidéosurveillance, trois mois pour les journaux de badges d’accès et six mois pour les enregistrements d’appels, selon le référentiel de la CNIL sur les durées de conservation en gestion des ressources humaines publié en avril 2026.

Pour aller plus loin
Notre guide de référence : le droit d'accès.
Tweet231Share65
Previous Post

Demande d’accès RGPD générée par l’IA : coût et limites

DPO FRANCE

Besoin d’un DPO ?

Des DPO indépendants par secteur d’activité, partout en France.

Diagnostic RGPD gratuitÊtre rappelé

APPLICATION RGPD

Démo gratuite

Découvrez DPO SUITE

Gérez votre conformité RGPD de A à Z avec une solution qui anticipe les évolutions réglementaires, sans effort supplémentaire.

Rappel par un expert dans les prochaines minutes

Vos données sont traitées pour répondre à votre demande. En savoir plus.

Demande envoyée !

Un expert DPO PARTAGE vous rappelle
dans les prochaines minutes.

La veille RGPD chaque semaine

Les décisions CNIL, les sanctions et les tutoriels.

Votre email sert uniquement à l’envoi de la veille DPO PARTAGE. Désinscription à tout moment. Politique de confidentialité

Articles récents

  • STOP : La boite mail n’est pas une boite d’archive
  • Demande d’accès RGPD générée par l’IA : coût et limites
  • Droit d’accès RGPD : la jurisprudence de 2009 à 2026, décision par décision
  • Messagerie de mairie piratée : les gestes des premières heures
  • Évaluation HAS des ESSMS : critères et preuves sur les données

Catégories

  • Mentions Légales
  • Politique de confidentialité
  • Politique cookies DPO Partagé
  • Nous contacter
Social icon element need JNews Essential plugin to be activated.

© 2026 DPO PARTAGE - Pilote de votre conformité RGPD

Welcome Back!

Login to your account below

Forgotten Password?

Retrieve your password

Please enter your username or email address to reset your password.

Log In

DPO PARTAGE

Média de veille RGPD et protection des données, édité en partenariat avec le réseau DPO FRANCE.

RubriquesSecteursThèmes RGPDTutoriels
DPO FRANCETrouver un DPODPO SUITEContact
© 2026 DPO PARTAGE
Mentions légalesConfidentialitéCookies
Question ?

Question ?

Comment pouvons-nous vous aider ?

Être rappelé

Vos données sont traitées conformément au RGPD.

Voir une démo

Vos données sont traitées conformément au RGPD.

Demander un devis

Vos données sont traitées conformément au RGPD.

Demande envoyée !

Nous reviendrons vers vous très rapidement.

Une erreur est survenue

Veuillez réessayer ou nous contacter directement.

Gérer le consentement aux cookies
Pour offrir les meilleures expériences, nous utilisons des technologies telles que les cookies pour stocker et/ou accéder aux informations des appareils. Le fait de consentir à ces technologies nous permettra de traiter des données telles que le comportement de navigation ou les ID uniques sur ce site. Le fait de ne pas consentir ou de retirer son consentement peut avoir un effet négatif sur certaines caractéristiques et fonctions.
Fonctionnel Toujours activé
Le stockage ou l’accès technique est strictement nécessaire dans la finalité d’intérêt légitime de permettre l’utilisation d’un service spécifique explicitement demandé par l’abonné ou l’utilisateur, ou dans le seul but d’effectuer la transmission d’une communication sur un réseau de communications électroniques.
Préférences
Le stockage ou l’accès technique est nécessaire dans la finalité d’intérêt légitime de stocker des préférences qui ne sont pas demandées par l’abonné ou l’utilisateur.
Statistiques
Le stockage ou l’accès technique qui est utilisé exclusivement à des fins statistiques. Le stockage ou l’accès technique qui est utilisé exclusivement dans des finalités statistiques anonymes. En l’absence d’une assignation à comparaître, d’une conformité volontaire de la part de votre fournisseur d’accès à internet ou d’enregistrements supplémentaires provenant d’une tierce partie, les informations stockées ou extraites à cette seule fin ne peuvent généralement pas être utilisées pour vous identifier.
Marketing
Le stockage ou l’accès technique est nécessaire pour créer des profils d’utilisateurs afin d’envoyer des publicités, ou pour suivre l’utilisateur sur un site web ou sur plusieurs sites web ayant des finalités marketing similaires.
  • Gérer les options
  • Gérer les services
  • Gérer {vendor_count} fournisseurs
  • En savoir plus sur ces finalités
Voir les préférences
  • {title}
  • {title}
  • {title}

Tapez votre recherche et appuyez sur Entree

Conformite RGPD Externaliser mon DPO Audit cybersecurite Se preparer a l'IA Act Conformite NIS2 Conformite DORA

Analyse en cours...

Analyse IA

Solution DPO FRANCE

Devis 24h

Articles

Recevoir notre veille ""

Newsletter via Brevo - desinscription a tout moment

No Result
View All Result
  • Secteurs
    • All
    • À la maison
    • AI Act
    • Analyse d'impact (AIPD)
    • Anonymisation et pseudonymisation
    • ANSSI
    • Archivage données de santé
    • Assurance et mutuelles
    • Audit RGPD
    • Cas pratiques
    • CEPD et institutions européennes
    • Certification SPSTi
    • CNIL et sanctions
    • Collectivités
    • Commerce et e-commerce
    • Conformité RGPD
    • Consentement
    • Contrôles CNIL
    • Cookies et sites internet
    • CSE
    • Cyberattaques
    • Cybersécurité
    • Délais de conservation
    • Directive NIS 2
    • DMST
    • Données de santé
    • Dossier médical
    • DPO externalisé
    • DPO FRANCE
    • DPO Suite
    • Droit à l'image
    • Droit à la limitation
    • Droit d'accès
    • Droit de rectification
    • Droits des personnes
    • Effacement et oubli
    • EHPAD et médico-social
    • Entrepôts de données et recherche
    • Focus RGPD
    • Force probante
    • Hameçonnage
    • HDS
    • Hôpitaux et cliniques
    • IA et nouvelles réglementations
    • Immobilier
    • INS et NIR
    • Livres RGPD
    • Logiciel conformité RGPD
    • Métier de DPO
    • Principes du RGPD
    • Privacy by design
    • Procédures RGPD
    • Professionnels de santé
    • Professions du chiffre et du droit
    • Profilage
    • Recommandations CNIL
    • RH et salariés
    • Sanctions et amendes
    • Santé
    • Santé au travail (SPST)
    • Secteurs
    • Sécurité des systèmes
    • Sensibilisation
    • Services Sociaux
    • Tutoriel DPO
    • Usurpation d'identité
    • Violations de données
    22113

    STOP : La boite mail n’est pas une boite d’archive

    22107

    Demande d’accès RGPD générée par l’IA : coût et limites

    22104

    Droit d’accès RGPD : la jurisprudence de 2009 à 2026, décision par décision

    20028

    Messagerie de mairie piratée : les gestes des premières heures

    21196

    Évaluation HAS des ESSMS : critères et preuves sur les données

    21892

    Séance plénière CNIL du 5 novembre 2026 : la todolist du DPO

    21894

    Recherches internes en santé : les règles rappelées par la CNIL

    21880

    Rejeu de session : ce que change la recommandation de la CNIL

    21637

    Durée de conservation du dossier médical : hôpital, cabinet, DMST

    • Santé au travail (SPST)
    • Professionnels de santé
    • Assurance et mutuelles
    • Hôpitaux et cliniques
    • Commerce et e-commerce
    • EHPAD et médico-social
    • Services Sociaux
    • Collectivités
    • Professions du chiffre et du droit
    • Immobilier
    • CSE
  • Thèmes RGPD
    • Conformité RGPD
    • Analyse d’impact (AIPD)
    • Données de santé
    • Droits des personnes
    • Cybersécurité
    • IA et nouvelles réglementations
    • CNIL et sanctions
  • DPO externalisé
  • App DPO SUITE
  • Votre DPO avec DPO FRANCE

© 2026 DPO PARTAGE - Pilote de votre conformité RGPD

DPO FRANCE

Votre demande

Un DPO du réseau DPO FRANCE vous recontacte.

Vos données servent uniquement à traiter votre demande et sont transmises au réseau DPO FRANCE. Politique de confidentialité

Montrez votre expertise Partagez cet article avec votre réseau.
Partager cet article
V
VousMaintenant · Tout le monde
Texte modifiable : cliquez dedans pour l'ajuster.
STOP : La boite mail n’est pas une boite d’archivedpo-partage.fr
inPublier sur LinkedIn

Qui dans votre équipe doit lire ceci ?

✉Envoyer par e-mail inEnvoyer en message LinkedIn

Pour un message LinkedIn privé, choisissez "Envoyer" dans la fenêtre LinkedIn.