Conservation des données : la décision de la Cour de cassation sur les 13 mois impose de revoir vos politiques

Derrière le débat juridique sur la nature du délai de 13 mois prévu par l’article L. 133-24 du Code monétaire et financier, il y a une question opérationnelle que peu d’établissements ont encore posée.

Si la Cour de cassation maintient sa position selon laquelle ce délai n’est qu’un délai de signalement, et que le client dispose ensuite de cinq ans pour assigner, vos dossiers de fraude de 2022 sont peut-être encore attaquables aujourd’hui.

La question est simple : conservez-vous vos logs de connexion, vos historiques techniques, vos traces d’authentification pendant cinq ans ? Ou seulement treize mois ?

En l’état du droit tel qu’interprété par la Cour de cassation (Cass. com., 2 juillet 2025, n° 24-16.590), une politique de conservation calibrée sur treize mois expose les prestataires de services de paiement à se retrouver sans preuves face à des demandes de remboursement tardives portant sur des opérations dont les traces techniques n’existent plus.

Allonger la durée de conservation à cinq ans n’est pas sans conséquence. Juridiquement, la tension avec le RGPD est réelle : le principe de minimisation des données impose de ne pas conserver les données personnelles au-delà de la durée nécessaire à la finalité pour laquelle elles ont été collectées. Opérationnellement, le coût de stockage et de gestion est substantiel.

Cette tension entre risque contentieux et conformité aux règles de protection des données est un sujet que les établissements doivent arbitrer maintenant, pas une fois le contentieux lancé.