Durée de rétention des données prospects en Belgique : ce que l'APD attend des hautes écoles

La règle de base : 3 ans depuis le dernier contact actif

En Belgique, les durées de conservation des données personnelles sont régies par le RGPD (Règlement UE 2016/679) et par la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (LVP). L'autorité de contrôle est l'APD (Autorité de protection des données), qui s'aligne sur les lignes directrices du Comité européen de la protection des données (EDPB).

Pour les données de prospection — formulaires de pré-inscription, interactions lors des Campus Days, échanges avec un chatbot, demandes de brochure — la durée de conservation active maximale est de 3 ans à compter du dernier contact actif. Ce délai découle du principe de limitation de la conservation posé à l'article 5(1)(e) du RGPD : les données ne peuvent être conservées que le temps nécessaire aux finalités pour lesquelles elles ont été collectées.

L'APD a confirmé cette orientation dans plusieurs de ses avis au Centre de connaissances. Une haute école de la Fédération Wallonie-Bruxelles (FWB) qui maintient des fiches prospects dans son CRM pendant 5 ou 6 ans sans base légale valide est en infraction caractérisée — exposée à un contrôle ou à une plainte d'un candidat non inscrit.

Pour le cadre complet de vos obligations RGPD en matière de données étudiantes, consultez notre guide RGPD pour les établissements belges.

Tableau des durées de conservation par catégorie de données

Les durées varient selon la nature des données et leur finalité. Le tableau ci-dessous reflète les recommandations de l'APD et les obligations légales belges :

Deux précisions importantes s'imposent. Premièrement, le délai de 3 ans pour les prospects se remet à zéro à chaque contact actif : une réponse à un courriel de relance, une réinscription à un Campus Day, un nouveau message via le chatbot. Deuxièmement, passé ce délai sans contact, les données doivent soit être supprimées, soit basculer en archivage intermédiaire si une obligation légale le justifie (litige potentiel, obligation comptable).

LVP belge : ce qui s'ajoute au RGPD

La loi du 30 juillet 2018 transpose et complète le RGPD en Belgique. Pour les hautes écoles, trois dispositions modifient concrètement la gestion des durées de conservation.

DPO obligatoire pour les hautes écoles subventionnées

La LVP étend l'obligation de désigner un délégué à la protection des données (DPO) aux organismes exerçant une mission d'intérêt public. Les hautes écoles libres subventionnées — qu'elles relèvent du réseau catholique, du réseau officiel ou du réseau de promotion sociale — entrent dans cette catégorie. Le DPO est le garant opérationnel de la politique de conservation : c'est lui qui valide le registre des traitements (article 30 RGPD) et s'assure que les durées documentées sont effectivement respectées.

Archivage dans l'intérêt public

L'article 89 du RGPD, transposé par la LVP, autorise les établissements d'enseignement supérieur à conserver certaines données à des fins d'archivage dans l'intérêt public, de recherche scientifique ou de statistiques. Cette exception s'applique aux données de parcours académique et aux statistiques d'insertion professionnelle — pas aux données de prospection marketing. Un fichier CRM rempli de fiches prospects de 2018 n'entre pas dans le champ de cette exception.

Décret Paysage et conservation des dossiers de candidature

Le décret Paysage régissant l'enseignement supérieur en FWB impose aux établissements de motiver leurs décisions d'admission. Cette obligation justifie une durée de conservation allongée pour les dossiers de candidature refusés : 2 ans après la décision, afin de couvrir un éventuel recours. Au-delà, la base légale disparaît et la suppression s'impose.

Conservation active et archivage intermédiaire

L'APD distingue deux phases dans le cycle de vie d'une donnée :

La durée de conservation active correspond à la période pendant laquelle la donnée sert sa finalité initiale — prospection, gestion de la candidature, vie étudiante. La donnée est accessible aux équipes opérationnelles (admissions, marketing, scolarité).

L'archivage intermédiaire s'applique lorsque la donnée n'est plus nécessaire à la finalité courante mais doit être conservée pour couvrir un risque juridique : prescription d'une action en justice, obligation comptable, preuve contractuelle. Pendant cette phase, l'accès est restreint au DPO et à la direction juridique, et la donnée est isolée des systèmes opérationnels.

L'erreur classique dans les hautes écoles : garder des fiches prospects dans le CRM actif bien au-delà des 3 ans sous prétexte qu'elles « pourraient encore candidater ». C'est une violation du principe de limitation de conservation, sans base légale valide.

Base légale de la prospection : intérêt légitime ou consentement ?

Pour la prospection des candidats, deux bases légales du RGPD sont mobilisables :

L'intérêt légitime (article 6(1)(f) RGPD) est la base adaptée pour les prospects qui ont manifesté un intérêt actif — remplissage d'un formulaire sur le site, participation au Salon Educa ou à un Campus Day, téléchargement d'une brochure. La relation préexistante justifie la prospection, à condition qu'une balance d'intérêts soit documentée et que chaque communication propose un mécanisme de désinscription.

Le consentement (article 6(1)(a) RGPD) est obligatoire pour le cold emailing : contacts acquis via une liste achetée, prospects sans relation préalable avec l'établissement. L'APD a clairement indiqué que dans le contexte éducatif, le consentement est rarement la base légale appropriée pour les traitements liés à l'admission, en raison du déséquilibre de pouvoir entre l'établissement et le candidat.

Quelle que soit la base légale, si votre haute école reprend contact avec un prospect après 3 ans d'inactivité sans recueillir un nouveau consentement explicite, le traitement devient illicite.

Documenter les durées dans le registre des traitements (article 30 RGPD)

L'article 30 du RGPD impose de tenir un registre des traitements documentant, pour chaque traitement : finalité, catégories de données, destinataires et durées de conservation prévues. C'est souvent le maillon faible lors des contrôles APD.

Ce que votre registre doit préciser pour les données prospects :

• La durée de conservation active (3 ans depuis le dernier contact actif)
• Le déclencheur de la suppression ou du basculement en archivage intermédiaire
• Le responsable de l'action (DPO, responsable CRM, prestataire)
• Le système concerné (CRM, outil d'emailing, chatbot, analytics)

Nos bonnes pratiques pour la protection des données prospects en Belgique détaillent comment structurer cette documentation, avec des exemples de fiches de traitement adaptées aux hautes écoles FWB.

Les données chatbot : un angle mort fréquent dans les hautes écoles

72 % des questions posées par les prospects aux chatbots d'écoles sont des FAQ simples automatisables, 7 % nécessitent une intervention humaine (Source : Classification automatique sur 12 000 conversations Skolbot, 2025 — content/zpd-bank.json#question-complexity-distribution). Ce volume important de données conversationnelles est rarement documenté dans le registre des traitements des hautes écoles belges.

La règle applicable dépend de l'identification du prospect :

• Sans identifiant collecté (prospect anonyme) : les logs de conversation peuvent être conservés 30 jours à des fins d'amélioration du service, puis supprimés ou anonymisés.
• Avec identifiant associé (email ou téléphone fourni pour être recontacté) : les données de conversation font partie du profil prospect et suivent la règle des 3 ans.

La suppression des logs conversationnels doit être automatisée. Une procédure manuelle de purge semestrielle est insuffisante — les oublis sont systématiques, et une conversation de 2020 encore présente dans les logs d'une base de données constitue une violation documentable.

Supprimer efficacement : les cinq systèmes à synchroniser

Un prospect qui exerce son droit à l'effacement ou dont le délai de conservation est échu doit être supprimé de l'ensemble des systèmes. Pour une haute école belge, cela implique généralement :

1. Le CRM (HubSpot, Salesforce, Brevo, etc.) — suppression ou anonymisation de la fiche contact
2. La plateforme d'emailing — désinscription et suppression des logs d'envoi contenant l'email
3. Le chatbot — suppression des conversations liées à l'identifiant du prospect
4. L'outil d'analytics — suppression ou anonymisation des données comportementales
5. Les sauvegardes — procédure de suppression planifiée selon leur cycle de rétention

Cette cascade de suppressions doit être documentée, testée et conforme au délai d'un mois prévu par l'article 12 du RGPD. Notre guide dédié au droit à l'effacement pour les hautes écoles belges détaille chaque étape et les réponses types à adresser aux prospects.

Automatiser la suppression dans votre CRM

La suppression manuelle des données périmées est inaccessible en pratique : les équipes oublient, le turnover efface les procédures, et personne ne se porte volontaire pour purger une base de données.

Les solutions concrètes :

Paramétrer une règle d'archivage automatique : la plupart des CRM modernes permettent de créer des règles basées sur la date du dernier contact. Une règle "archiver les prospects sans interaction depuis 3 ans" peut s'exécuter automatiquement.

Utiliser un champ "date de dernier contact actif" systématiquement mis à jour à chaque interaction. Ce champ est la colonne vertébrale de la gestion des durées de conservation.

Définir le déclencheur d'une interaction active : l'ouverture d'un courriel sans clic n'est pas un contact actif. Une réponse à un courriel, un clic sur un lien, une visite à un Campus Day, un nouveau message chatbot — oui.

Planifier un audit semestriel des volumes de données par tranche d'ancienneté dans le CRM. Un tableau de bord indiquant le nombre de fiches par tranche (0-1 an, 1-2 ans, 2-3 ans, >3 ans) donne une vue immédiate du risque de non-conformité.

FAQ — Durée de rétention des données prospects en Belgique

L'APD fixe-t-elle une durée différente de celle recommandée par la CNIL française ? Non. L'APD s'aligne sur les lignes directrices du EDPB (Comité européen de la protection des données), comme le fait la CNIL en France. La durée de 3 ans pour les données de prospection est une bonne pratique reconnue à l'échelle européenne. La LVP belge ne prévoit pas de durée spécifique pour ce type de traitement — elle renvoie au principe général de limitation de la conservation du RGPD.

Le délai de 3 ans s'applique-t-il aussi aux formulaires papier collectés lors du Salon Educa ? Oui. Le RGPD ne distingue pas les supports numériques et physiques. Les formulaires papier sont des données personnelles soumises aux mêmes règles. Ils doivent être numérisés, intégrés au CRM, et soumis à la même politique de suppression. Conserver des boîtes d'archives contenant des formulaires de 2018 est une violation documentable.

Notre haute école partage un DPO avec deux autres établissements du réseau. Est-ce conforme ? Oui. L'article 37.3 du RGPD prévoit explicitement qu'un groupe d'organismes exerçant une mission d'intérêt public peut désigner un seul DPO, à condition qu'il soit facilement joignable par chaque établissement. Les coordonnées du DPO doivent être publiées sur le site web de chaque haute école.

Que se passe-t-il si un candidat non inscrit nous recontacte après 3 ans ? Le délai repart de zéro à partir du nouveau contact. En revanche, les données de l'interaction précédente (si non supprimées à l'échéance) ne peuvent pas être réactivées rétroactivement — leur conservation était irrégulière. Seules les données collectées lors du nouveau contact sont utilisables.

Un prospect inscrit dans une autre haute école reste-t-il dans notre registre ? Non. Son inscription ailleurs n'a aucun effet sur vos obligations. Du point de vue de votre registre, il reste un prospect non converti. Le délai de 3 ans court depuis son dernier contact actif avec votre établissement, quelle que soit sa situation par ailleurs.