Combien de temps faut-il conserver une preuve de rétractation ?

Vous avez reçu une demande de rétractation, vous l'avez traitée, vous en gardez la trace. Logiquement : c'est cette trace qui vous protège en cas de litige. Mais pendant combien de temps faut-il la conserver ? La règle pratique : gardez la preuve aussi longtemps qu'un litige reste possible, soit toute la durée de prescription applicable dans le pays du client, puis purgez-la. Ni moins (vous seriez sans défense), ni indéfiniment (vous violeriez le RGPD). Voici le raisonnement.

En résumé

Il n'existe pas de durée unique fixée par un seul texte. La bonne durée se déduit de deux logiques qui se rejoignent : la prescription des actions (le délai pendant lequel on peut encore vous attaquer ou vous réclamer quelque chose) et la valeur probante du document (il ne sert à rien de garder une preuve au-delà de la période où elle pourrait être utile). En pratique, une durée de conservation alignée sur la prescription civile de droit commun du pays concerné (plusieurs années dans la plupart des États membres de l'UE) couvre le risque de contestation. Au-delà, le principe de minimisation des données du RGPD impose de supprimer ou d'anonymiser.

Ce qu'il faut conserver, exactement

Une « preuve de rétractation » n'est pas un seul fichier, c'est un petit dossier cohérent :

• la demande elle-même, horodatée, telle qu'elle a été reçue ;
• l'accusé de réception envoyé au consommateur sur support durable ;
• la trace du traitement (date du remboursement, montant, éventuelle dépréciation appliquée).

Ce qui donne sa force à l'ensemble, c'est l'intégrité : pouvoir démontrer que la demande reçue à telle date n'a pas été modifiée depuis. Un horodatage scellé par une empreinte (hash) sert exactement à ça, un écrit électronique dont la force probante est reconnue dans les 27 États membres au titre du règlement (UE) 910/2014 (eIDAS), et librement appréciée par le juge. On détaille la mécanique dans la preuve de rétractation à valeur probante, et un tiers peut contrôler l'intégrité d'une preuve via vérifier une preuve de rétractation.

La tension avec le RGPD

Une demande de rétractation contient des données personnelles (identité, commande, parfois email). Le RGPD impose deux principes qui encadrent la conservation :

• la limitation de la durée : on ne garde une donnée que le temps nécessaire à la finalité ;
• la minimisation : on ne garde que ce qui est utile.

Ces principes ne s'opposent pas à la conservation de la preuve : conserver pour se défendre en justice est une finalité légitime et reconnue. Mais ils en fixent la borne : une fois la prescription écoulée, la finalité disparaît, et la donnée doit être supprimée ou anonymisée. Garder une demande de rétractation 15 ans « au cas où » n'est pas conforme. On approfondit le sujet côté formulaire dans RGPD et données du bouton de rétractation.

Qui peut vous demander cette preuve ?

Trois cas concrets justifient de pouvoir produire la preuve à tout moment pendant la période de prescription :

1. Le consommateur, en cas de litige (il conteste un remboursement, ou affirme s'être rétracté à temps).
2. L'autorité nationale compétente de protection des consommateurs, lors d'un contrôle, pour vérifier que vous traitez réellement les demandes. Le déroulé est décrit dans comment se passe un contrôle de l'autorité de protection des consommateurs.
3. Un médiateur ou un juge, si le différend est porté plus loin.

Dans les trois cas, c'est la même pièce qui parle : la demande horodatée et son accusé de réception.

Ce que dit le RGPD sur ces données

Conserver une preuve, c'est conserver des données personnelles : nom, adresse électronique, référence de commande, horodatage. Deux questions se posent alors, et elles ont chacune une réponse simple.

Sur quelle base légale ? Pas le consentement : vous n'avez pas à le demander, et le refuser empêcherait le consommateur d'exercer son droit. C'est l'obligation légale qui fonde le traitement pour l'enregistrement de la demande, et l'intérêt légitime pour la conservation probante au-delà. Le consommateur n'a donc pas de droit d'opposition sur ce socle, ce qui est heureux : sa propre preuve en dépend.

Quelles données, et pas une de plus ? Le principe de minimisation joue à plein. Le nom, le moyen de contact, la référence du contrat et l'horodatage suffisent à identifier la demande et à la dater. Un motif de rétractation, un questionnaire de satisfaction, une adresse postale non nécessaire au remboursement : rien de tout cela n'a sa place dans le formulaire, et leur présence fragiliserait le traitement au lieu de le renforcer.

La durée, elle, est celle décrite plus haut : alignée sur la prescription applicable, pas au-delà. C'est la conjonction des deux (une base légale solide et une durée bornée) qui rend la conservation défendable.

Ce qu'il faut retenir

Conservez le dossier complet d'une rétractation, demande horodatée, accusé de réception, trace du traitement, pendant toute la durée de prescription applicable dans le pays du client (plusieurs années dans la plupart des États membres de l'UE). Veillez à l'intégrité (un horodatage scellé vaut bien mieux qu'un simple export), et purgez au-delà pour respecter la minimisation du RGPD. Un dispositif conforme gère cette conservation pour vous, datée et vérifiable, plutôt que de la laisser à un classeur d'emails.

Cet article est une information générale et ne constitue pas un conseil juridique. Pour le texte exact, reportez-vous à la directive 2011/83/UE, au règlement (UE) 910/2014 (eIDAS) et au droit applicable dans le pays du client.