Votre CRM contient des données personnelles : chaque fiche contact, chaque note et chaque historique d’échange engage votre responsabilité au regard du RGPD. Voici ce que cela implique concrètement, section par section.
Un CRM est un traitement de données personnelles, même en B2B
Un CRM centralise des informations sur des personnes physiques identifiables. Même lorsque votre activité est exclusivement B2B, vos contacts sont des individus : un directeur commercial avec un prénom, un email nominatif, un numéro de portable. Ces données entrent dans le périmètre du règlement (UE) 2016/679, dit RGPD, dès lors qu’elles permettent d’identifier une personne, directement ou indirectement.
L’article 5 du RGPD pose les principes fondamentaux qui s’appliquent à l’ensemble de ces données : licéité, loyauté, transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité, confidentialité et responsabilité. Ces principes ne sont pas des recommandations de bonne pratique. Ils constituent des obligations dont le non-respect peut exposer votre entreprise à des sanctions prononcées par la CNIL, l’autorité de contrôle française.
Ce que cela implique immédiatement pour votre CRM :
- Chaque traitement réalisé via le CRM doit reposer sur une base légale identifiée parmi celles listées à l’article 6 du RGPD.
- Les personnes dont vous stockez les données doivent avoir été informées de ce traitement.
- Les données doivent être exactes, pertinentes et limitées à ce qui est nécessaire au regard de la finalité poursuivie.
- Elles ne peuvent être conservées indéfiniment : une durée de conservation doit être fixée pour chaque catégorie.
- Les personnes peuvent exercer leurs droits à tout moment, notamment accès, rectification, effacement et opposition. Votre CRM doit permettre d’y répondre dans les délais.
- Votre éditeur de CRM est un sous-traitant au sens de l’article 28 du RGPD. Un contrat encadrant ce rôle est obligatoire.
- L’ensemble de ces éléments doit figurer dans un registre des activités de traitement, prévu à l’article 30.
Ces obligations s’appliquent dès le premier contact enregistré dans votre outil. Elles ne dépendent pas du secteur d’activité, du chiffre d’affaires ni du fait que vos clients soient des entreprises plutôt que des particuliers. La qualité de responsable de traitement s’applique dès lors que vous déterminez les finalités et les moyens du traitement, ce que toute entreprise qui configure et utilise un CRM fait par définition.
Quelle base légale pour votre CRM
C’est le point sur lequel un grand nombre d’articles induisent les entreprises en erreur. Beaucoup suggèrent que tout traitement dans un CRM doit reposer sur le consentement des personnes. Cette lecture est inexacte, et elle génère des contraintes inutiles tout en masquant les véritables obligations. L’article 6 du RGPD prévoit six bases légales possibles. Pour un CRM commercial, quatre d’entre elles sont régulièrement mobilisées, et le consentement est souvent la moins adaptée.
L’exécution du contrat pour les clients
Lorsqu’une personne est cliente de votre entreprise, le traitement de ses données personnelles nécessaires à la relation contractuelle repose sur la base légale prévue à l’article 6, paragraphe 1, point b) du RGPD : l’exécution d’un contrat auquel la personne concernée est partie. Cela couvre le suivi des commandes, la facturation, la gestion des réclamations, le service après-vente, l’envoi de documents contractuels.
Cette base légale ne nécessite ni consentement ni case à cocher. Elle est valide dès lors que le traitement est strictement nécessaire à l’exécution du contrat. En revanche, elle ne couvre pas des traitements allant au-delà de cette nécessité, par exemple l’envoi de newsletters promotionnelles ou le profilage à des fins marketing. Ces finalités supplémentaires doivent reposer sur une base légale distincte.
L’intérêt légitime pour les prospects B2B
Le traitement des données de vos prospects professionnels repose, dans la quasi-totalité des cas, sur l’intérêt légitime prévu à l’article 6, paragraphe 1, point f) du RGPD. Ce point mérite d’être affirmé clairement, car il est systématiquement ignoré ou mal compris : vous n’avez pas besoin du consentement explicite d’un directeur des achats pour enregistrer ses coordonnées professionnelles dans votre CRM et le contacter dans le cadre de votre activité commerciale B2B.
L’intérêt légitime permet de traiter des données personnelles sans recueil préalable du consentement, sous trois conditions cumulatives : votre intérêt doit être réel et concret, le traitement doit être nécessaire pour l’atteindre, et cet intérêt ne doit pas être supplanté par les droits et libertés fondamentaux de la personne concernée. Cette mise en balance doit être documentée. En contrepartie, les personnes dont les données sont traitées sur cette base disposent d’un droit d’opposition renforcé prévu à l’article 21 du RGPD : elles peuvent s’opposer à tout moment au traitement de leurs données à des fins de prospection commerciale, sans avoir à se justifier, et vous devez alors cesser ce traitement.
Le consentement pour la prospection électronique vers des particuliers
Lorsque vous envoyez des emails, SMS ou tout autre message commercial à des particuliers (B2C), les règles changent. La directive ePrivacy, transposée en droit français, exige que ces personnes aient consenti au préalable à recevoir ces communications. Cette règle est distincte de la base légale du traitement dans le CRM : elle s’applique spécifiquement à l’acte d’envoi d’un message de prospection électronique vers un particulier.
Le consentement doit être libre, spécifique, éclairé et univoque. Il implique un acte positif de la personne : une case cochée volontairement, pas une case pré-cochée, pas une simple acceptation de conditions générales. Votre CRM doit stocker la preuve de ce consentement : date, support, libellé exact de la mention. Si le consentement est retiré, le traitement à des fins de prospection doit cesser immédiatement.
Il est impératif de distinguer la base légale RGPD et la règle ePrivacy. Ce sont deux cadres qui coexistent et qui s’appliquent indépendamment l’un de l’autre. Un traitement peut reposer sur l’intérêt légitime au titre du RGPD tout en nécessitant un consentement au titre de la directive ePrivacy pour l’acte d’envoi d’un message commercial à un particulier. Cette distinction évite deux erreurs opposées : demander du consentement là où il n’est pas requis, ou croire que l’intérêt légitime RGPD dispense du consentement ePrivacy.
L’obligation légale pour la conservation comptable
Certaines données doivent être conservées pour satisfaire à des obligations légales indépendantes du RGPD, notamment les obligations comptables et fiscales. La base légale applicable est alors l’article 6, paragraphe 1, point c) : le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis. Cette base couvre typiquement les factures et les pièces justificatives comptables.
Ce point est déterminant pour la gestion des durées de conservation dans votre CRM. Même si un client met fin à la relation commerciale et demande l’effacement de ses données, les informations nécessaires à la conservation des justificatifs comptables peuvent être maintenues en archivage intermédiaire pour la durée légalement requise, sans que cela constitue un manquement au RGPD.
Tableau de synthèse : base légale selon le type de personne et la finalité
| Type de personne concernée | Finalité du traitement | Base légale applicable (art. 6 RGPD) |
|---|---|---|
| Contact nominatif chez un client | Suivi de la relation contractuelle, facturation, SAV | Exécution du contrat (art. 6, §1, b) |
| Prospect B2B (contact professionnel) | Prospection commerciale, suivi des opportunités | Intérêt légitime (art. 6, §1, f), sous réserve du test de mise en balance |
| Particulier prospect (B2C) | Envoi d’emails ou SMS de prospection commerciale | Consentement (art. 6, §1, a) au titre du RGPD et de la directive ePrivacy |
| Client particulier existant (B2C) | Proposer des produits ou services analogues à ceux déjà achetés | Intérêt légitime (art. 6, §1, f), sous conditions ePrivacy |
| Tout client (personne physique) | Conservation des factures et pièces comptables | Obligation légale (art. 6, §1, c) |
Le test de mise en balance de l’intérêt légitime : comment le mener et le documenter
Si vous invoquez l’intérêt légitime comme base légale, vous avez l’obligation de documenter un test de mise en balance. Ce test n’a pas de format imposé par le RGPD, mais il doit démontrer que vous avez effectivement évalué l’équilibre entre votre intérêt et les droits des personnes concernées. En cas de contrôle, la CNIL peut le demander. Son absence constitue un manquement au principe de responsabilité posé à l’article 5, paragraphe 2, du RGPD.
Le test se mène en trois questions successives :
- Question 1 : Votre intérêt est-il réel et licite ? Décrivez précisément l’intérêt poursuivi. Un intérêt commercial concret (développer votre clientèle auprès d’un segment précis, fidéliser des clients existants) est recevable. Un intérêt vague ou purement théorique ne l’est pas.
- Question 2 : Le traitement est-il nécessaire pour l’atteindre ? S’il existe un moyen moins intrusif d’atteindre le même objectif sans traiter de données personnelles, ou en en traitant moins, l’intérêt légitime ne peut être pleinement invoqué pour les données superflues.
- Question 3 : Les droits des personnes concernées prévalent-ils ? Analysez la nature des données (sont-elles sensibles ?), le contexte de la collecte (les personnes pouvaient-elles raisonnablement s’attendre à ce traitement ?), l’impact concret sur leur vie privée, et les mesures de protection mises en place.
Voici un exemple de documentation de ce test pour une activité de prospection B2B :
Intitulé du traitement : Prospection commerciale auprès de directeurs financiers de PME du secteur industriel.
Intérêt poursuivi : Développer notre portefeuille clients en contactant des décideurs dont les fonctions correspondent directement à notre offre. Cet intérêt est concret, licite et directement lié à notre activité commerciale.
Nécessité du traitement : La prise de contact commerciale nécessite de disposer des coordonnées professionnelles du décideur. Il n’existe pas de moyen d’atteindre cet objectif sans traiter ces données. Les données se limitent aux coordonnées professionnelles accessibles (nom, fonction, email professionnel, téléphone de bureau).
Mise en balance : Les personnes concernées sont des professionnels contactés dans le cadre de leurs fonctions, sur leurs coordonnées professionnelles. Le message porte sur une offre directement liée à leur domaine de responsabilité. Elles peuvent raisonnablement s’attendre à recevoir ce type de sollicitations dans leur contexte professionnel. L’impact sur leur vie privée est limité : les données ne sont pas sensibles et se limitent à l’identité professionnelle. Un mécanisme d’opposition clair est proposé à chaque premier contact.
Conclusion : Notre intérêt légitime prévaut sur les droits des personnes concernées, sous réserve du strict respect du droit d’opposition et de l’obligation d’information dès le premier contact.
Date de l’analyse : [à compléter] – Prochain réexamen prévu : [à compléter dans un délai raisonnable, au minimum annuel]
Un document de deux à trois pages par traitement suffit pour une PME. L’essentiel est qu’il soit écrit, daté, signé par un responsable et joint au registre des traitements.
Les données que vous n’avez pas le droit de stocker dans un CRM
Le principe de minimisation, posé à l’article 5 du RGPD, impose que les données collectées soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Si une donnée ne sert pas à gérer votre relation commerciale, vous n’avez pas le droit de la stocker. Ce principe s’applique champ par champ à l’ensemble de votre CRM.
| Champ typique d’un CRM commercial | Justification ou suppression |
|---|---|
| Nom et prénom du contact | Justifié : identification indispensable à toute relation commerciale. |
| Email professionnel nominatif | Justifié : canal de communication principal. |
| Téléphone professionnel (ligne fixe ou portable professionnel communiqué) | Justifié : canal de communication secondaire. |
| Téléphone personnel non professionnel | À supprimer, sauf si communiqué volontairement dans un contexte professionnel clair et consigné dans le CRM. |
| Adresse postale professionnelle | Justifié si utilisée pour des envois commerciaux ou la facturation. |
| Adresse personnelle du contact | À supprimer, sauf contexte contractuel spécifique le justifiant explicitement (livraison à domicile, etc.). |
| Fonction, service, employeur | Justifié : permet de cibler les bons interlocuteurs et de personnaliser la relation. |
| Historique des échanges commerciaux | Justifié : nécessaire au suivi de la relation et à la continuité du service. |
| Préférences commerciales déclarées | Justifié si déclarées volontairement par le contact dans un cadre professionnel. |
| Informations sur la vie privée du contact | À supprimer : aucune finalité commerciale légitime ne justifie ces données. |
| État de santé, croyances, opinions politiques ou syndicales | À supprimer impérativement : données sensibles au sens de l’article 9 du RGPD, dont le traitement est en principe interdit sans base légale spécifique très encadrée, inapplicable dans un CRM commercial standard. |
| Photo du contact | À supprimer ou à limiter strictement : la finalité commerciale ne justifie généralement pas la conservation d’une image. |
| Données issues de réseaux sociaux personnels | À supprimer : collectées hors cadre professionnel, sans base légale claire pour un CRM commercial. |
Le cas des champs de commentaire libre mérite une attention particulière, car ils représentent le principal vecteur de non-conformité dans les CRM. Ces champs sont ouverts par nature : n’importe quel utilisateur peut y saisir n’importe quelle information sans contrôle. On y trouve fréquemment des appréciations subjectives sur la personnalité d’un contact (« personne difficile à joindre », « contact agressif au téléphone »), des informations sur sa vie personnelle (« traverse une période difficile », « vient d’avoir un enfant ») ou des opinions qui n’ont aucun rapport avec la relation commerciale.
Ces données sont problématiques à plusieurs titres. Elles violent le principe de minimisation. Elles peuvent contenir des données sensibles au sens de l’article 9. Elles engagent directement la responsabilité de l’entreprise si la personne concernée exerce son droit d’accès et découvre ces notes. Et elles sont structurellement impossibles à contrôler sans une politique interne explicite et une sensibilisation régulière des équipes.
Concrètement, définissez une politique d’utilisation des champs libres : seules les informations directement utiles à la gestion commerciale peuvent y être saisies. Précisez des exemples autorisés (« préfère être contacté le matin », « décision attendue fin de trimestre ») et des exemples interdits (tout ce qui touche à la personnalité, à la vie privée ou à la santé). Sensibilisez vos équipes commerciales à cette règle et prévoyez des révisions périodiques de ces champs.
Les durées de conservation : comment les fixer et pourquoi elles sont essentielles
Le principe de limitation de la conservation, prévu à l’article 5 du RGPD, interdit de conserver des données personnelles au-delà de ce qui est nécessaire au regard de leur finalité. Un prospect enregistré il y a plusieurs années, sans aucune interaction depuis, ne peut pas être conservé indéfiniment dans votre CRM. Cette règle est parmi les plus fréquemment méconnues, parce qu’elle nécessite un effort actif : il ne suffit pas de ne pas supprimer, il faut décider de supprimer.
La méthode pour fixer vos durées
La méthode consiste à répondre à une question précise pour chaque catégorie de données : combien de temps ces données sont-elles nécessaires pour atteindre la finalité pour laquelle elles ont été collectées ? La réponse doit tenir compte de plusieurs éléments :
- La durée de la relation commerciale active : tant que le client commande ou que le prospect interagit, la relation est active.
- Les délais de prescription applicables aux litiges éventuels, qui peuvent justifier une conservation après la fin de la relation.
- Les recommandations publiées par la CNIL dans ses référentiels, notamment le référentiel « gestion commerciale », qui précise des durées de référence par catégorie de données et de personnes. Consultez ces recommandations directement sur le site de la CNIL pour connaître les durées applicables à votre situation.
- Les obligations légales spécifiques, notamment comptables, qui imposent leurs propres durées indépendamment du RGPD.
Les trois catégories à distinguer dans un CRM commercial
Les prospects inactifs constituent la catégorie la plus sensible. Un prospect est inactif dès lors qu’il n’a eu aucune interaction avec vous depuis un certain temps : pas de réponse, pas de demande, pas de clic sur une offre commerciale. L’ouverture d’un email que vous lui avez envoyé n’est pas une interaction du prospect : c’est vous qui avez pris contact, pas lui. La CNIL a précisé ce point dans sa doctrine : seul un acte positif du prospect (réponse, demande de renseignement, visite sur votre site à sa propre initiative) peut être considéré comme un nouveau point de départ pour la durée de conservation. Au-delà de la durée recommandée par la CNIL, les données doivent être supprimées ou anonymisées.
Les clients actifs peuvent voir leurs données conservées pendant toute la durée de la relation commerciale. Le départ d’un client ne déclenche pas une suppression immédiate : il marque le début d’une nouvelle période, pendant laquelle la conservation peut encore se justifier au regard des délais de prescription légaux applicables aux litiges commerciaux.
Les clients partis entrent en phase d’archivage intermédiaire. Cette phase doit être distinguée de la conservation active, avec des accès restreints et un périmètre clairement défini.
La différence entre suppression et archivage intermédiaire
L’archivage intermédiaire n’est pas une manière d’esquiver la suppression. C’est une phase légitime du cycle de vie des données, pendant laquelle des informations qui ne sont plus nécessaires à la gestion courante sont conservées de façon restreinte pour des besoins spécifiques : gestion d’un litige potentiel, respect d’obligations légales, délais de prescription.
Concrètement, l’archivage intermédiaire implique que les données soient sorties du CRM actif et placées dans un espace distinct, avec des accès limités aux seules personnes ayant besoin de ces données dans le cadre de leur mission (service juridique, comptabilité). Les équipes commerciales ne doivent plus y avoir accès. Les données comptables et les pièces justificatives peuvent rester en archivage intermédiaire pour la durée légalement imposée, bien au-delà de la durée de conservation commerciale.
Cette articulation entre conservation active, archivage intermédiaire et suppression définitive doit figurer clairement dans votre registre des traitements et dans votre politique interne.
L’information des personnes : quand, comment et quoi dire
L’obligation d’information découle des articles 12 à 14 du RGPD. Toute personne dont vous traitez les données doit être informée de ce traitement. Cette information doit intervenir au moment de la collecte lorsque les données sont collectées directement auprès de la personne, ou au moment du premier contact lorsque les données ont été obtenues indirectement (fichier salon, annuaire professionnel, recommandation). Dans ce dernier cas, le délai est au plus d’un mois après la collecte, et en tout état de cause avant tout premier usage à des fins de prospection.
La mention d’information doit contenir les éléments suivants :
- L’identité et les coordonnées du responsable de traitement.
- Les finalités du traitement et la base légale applicable.
- Si la base légale est l’intérêt légitime, une mention de cet intérêt doit figurer dans l’information.
- Les destinataires des données : équipes internes ayant accès, sous-traitants impliqués.
- La durée de conservation prévue ou les critères permettant de la déterminer.
- Les droits des personnes : accès, rectification, effacement, opposition, portabilité, limitation.
- La possibilité d’introduire une réclamation auprès de la CNIL.
- Le cas échéant, l’existence de transferts de données hors Union européenne et les garanties mises en place.
Voici un exemple de mention rédigée pour un premier email de prospection B2B :
Vos coordonnées professionnelles (nom, email, téléphone, fonction) sont traitées par [Nom de l’entreprise], [adresse], dans le cadre de notre activité de prospection commerciale. Ce traitement repose sur notre intérêt légitime à développer notre clientèle auprès de professionnels dont l’activité est en lien avec notre offre (article 6, paragraphe 1, point f du RGPD). Vos données sont conservées pendant la durée définie dans notre politique de gestion commerciale. Vous pouvez à tout moment vous opposer à ce traitement, demander l’accès à vos données, leur rectification ou leur effacement en écrivant à [adresse dédiée]. Vous disposez également du droit d’introduire une réclamation auprès de la CNIL (cnil.fr).
Cette mention peut figurer en bas d’un email de prospection, sur un formulaire de contact, ou via un lien vers votre politique de confidentialité. L’essentiel est qu’elle soit présente au bon moment, réellement lisible et compréhensible sans formation juridique préalable.
Les droits des personnes : ce que vous devez faire concrètement quand une demande arrive
Les articles 12 à 22 du RGPD définissent les droits des personnes concernées et les obligations du responsable de traitement pour y répondre. Chaque droit doit faire l’objet d’une procédure interne : qui reçoit la demande, qui la traite, comment les données sont retrouvées dans le CRM, quel est le délai de réponse. Ce délai est encadré par le RGPD : il est court, fixé par l’article 12, et doit être respecté même si la demande semble complexe ou incomplète.
Le droit d’accès
Toute personne peut demander à savoir si des données la concernant sont traitées et, si oui, à en obtenir une copie. Pour votre CRM, cela signifie être capable d’extraire l’intégralité des données relatives à un contact : sa fiche, ses notes, ses tags, son historique d’échanges, ses documents associés, les éventuels champs de commentaire libre.
Désignez une personne ou une équipe responsable du traitement de ces demandes. Définissez comment identifier et extraire les données d’un contact dans le CRM et dans les outils connectés (outil de messagerie, outil de facturation, outil d’emailing). Créez un canal dédié, clairement identifiable dans votre politique de confidentialité. Documentez chaque demande reçue et chaque réponse apportée.
Le droit de rectification
Toute personne peut demander la correction de données inexactes la concernant. Dans un CRM, cela signifie mettre à jour une fiche contact sur demande : corriger un nom mal orthographié, un titre de fonction obsolète, un numéro de téléphone erroné.
Votre procédure doit préciser qui est habilité à modifier les fiches, comment la modification est tracée dans le système et comment s’assurer que la correction est propagée à tous les outils connectés au CRM. Une modification effectuée dans le CRM qui ne se répercute pas dans l’outil d’emailing crée une incohérence et un risque.
Le droit à l’effacement
Toute personne peut demander la suppression de ses données dans les conditions prévues à l’article 17 du RGPD : lorsque les données ne sont plus nécessaires, lorsque le consentement est retiré, lorsqu’elle s’oppose au traitement fondé sur l’intérêt légitime, ou lorsque le traitement est illicite.
L’effacement doit être réel. Supprimer une fiche de l’interface active ne suffit pas si les données subsistent dans les sauvegardes ou dans des exports CSV sur un poste local. Précisez dans votre procédure comment procéder à une suppression effective, quelles obligations légales peuvent s’opposer à l’effacement immédiat, et comment informer la personne de ce qui a été supprimé ou conservé et pourquoi.
Le droit d’opposition
Lorsque le traitement repose sur l’intérêt légitime, la personne peut s’y opposer à tout moment sans justification, en vertu de l’article 21 du RGPD. En matière de prospection commerciale, ce droit est quasi absolu : dès qu’une personne exprime son opposition, vous devez cesser toute sollicitation à son égard.
Votre CRM doit permettre de marquer un contact comme ayant exercé son droit d’opposition, de façon visible par toutes les équipes. Ne supprimez pas simplement ce contact de la base : conservez l’information de l’opposition dans une liste de suppression permanente, pour éviter qu’une importation ultérieure ou qu’un autre commercial réintroduise ce contact dans vos campagnes. Cette liste doit être partagée entre tous vos outils.
Le droit à la portabilité
Toute personne peut demander à recevoir les données qu’elle a fournies dans un format structuré, couramment utilisé et lisible par machine, lorsque le traitement repose sur le consentement ou sur l’exécution d’un contrat, conformément à l’article 20 du RGPD. Ce droit ne s’applique pas aux données traitées sur la seule base de l’intérêt légitime.
Dans un CRM, ce droit peut concerner un client qui souhaite récupérer ses données pour les transférer à un autre prestataire. Prévoyez une procédure d’export dans un format standard (CSV ou équivalent), couvrant l’ensemble des données fournies par la personne.
Le droit à la limitation du traitement
La personne peut demander la suspension du traitement de ses données dans certaines situations prévues à l’article 18 du RGPD : pendant la vérification de l’exactitude de données contestées, pendant l’examen d’une opposition, lorsque le traitement est illicite mais que la personne préfère la limitation à l’effacement.
Concrètement, cela signifie pouvoir « geler » une fiche dans votre CRM sans la supprimer : elle n’est plus exploitée commercialement pendant la durée de la limitation. Votre procédure interne doit préciser comment mettre une fiche en limitation, qui peut la consulter pendant cette période, et comment documenter l’entrée et la sortie de cet état.
Le registre des traitements : modèle de fiche pour votre CRM
L’article 30 du RGPD impose la tenue d’un registre des activités de traitement. Ce registre est le premier document consulté lors d’un contrôle de la CNIL. Son absence ou son caractère lacunaire constitue un manquement autonome, indépendant de la conformité des traitements eux-mêmes. La CNIL met à disposition un modèle simplifié sur son site ; voici la fiche adaptée au traitement CRM.
| Rubrique | Contenu à renseigner pour le traitement CRM |
|---|---|
| Nom du traitement | Gestion de la relation commerciale et prospection (CRM) |
| Responsable de traitement | Raison sociale, forme juridique, adresse, email de contact |
| DPO ou référent RGPD (si désigné) | Nom et coordonnées de la personne désignée |
| Finalités du traitement | Gestion commerciale des prospects et clients ; suivi des opportunités ; facturation ; fidélisation ; prospection commerciale |
| Base légale par finalité | Exécution du contrat (clients) / Intérêt légitime avec test de mise en balance joint (prospects B2B) / Consentement (prospection B2C électronique) / Obligation légale (facturation) |
| Catégories de personnes concernées | Contacts nominatifs chez les clients, prospects professionnels, contacts particuliers le cas échéant |
| Catégories de données traitées | Identité (nom, prénom) ; coordonnées professionnelles (email, téléphone, adresse) ; fonction et employeur ; historique des échanges ; informations commerciales (devis, commandes, factures) |
| Destinataires des données | Internes : équipe commerciale, direction, comptabilité. Externes : éditeur du CRM (sous-traitant, art. 28), outils de facturation et d’emailing connectés |
| Transferts hors UE | À préciser selon l’hébergement : pays de destination et mécanisme de garantie applicable (certification, clauses contractuelles types…) |
| Durées de conservation | Prospects inactifs : selon recommandations CNIL (référentiel gestion commerciale) ; Clients actifs : durée de la relation ; Archivage intermédiaire : selon délais de prescription ; Données comptables : selon obligation légale |
| Mesures de sécurité (art. 32) | Gestion des accès par rôle ; authentification renforcée (MFA) ; chiffrement en transit et au repos ; sauvegardes régulières ; journalisation des accès et des exports ; revue périodique des droits |
| Test de mise en balance | Document joint au registre, daté et approuvé, réexaminé périodiquement |
Ce registre doit être mis à jour à chaque modification significative du traitement : ajout d’un nouveau champ, intégration d’un nouveau sous-traitant, changement de finalité, mise à jour des durées de conservation. Prévoyez une révision annuelle systématique et une mise à jour déclenchée par tout changement majeur.
La sous-traitance : votre éditeur de CRM est un sous-traitant au sens de l’article 28
Dès lors que vous confiez le traitement de données personnelles à un prestataire qui agit sur vos instructions, ce prestataire est un sous-traitant au sens du RGPD. Votre éditeur de CRM, qui héberge et traite vos données sur ses serveurs, est dans cette situation. L’article 28 du RGPD impose qu’un contrat de sous-traitance soit conclu entre vous et votre éditeur. Ce contrat, couramment désigné Data Processing Agreement ou DPA, est obligatoire. Utiliser un CRM sans DPA signé est un manquement au RGPD, quelle que soit la taille de votre entreprise.
Ce que le contrat doit obligatoirement prévoir
- Le sous-traitant ne traite les données que sur instructions documentées de votre part.
- Les personnes autorisées à traiter les données chez l’éditeur sont soumises à une obligation de confidentialité.
- L’éditeur met en oeuvre les mesures de sécurité appropriées, conformément à l’article 32 du RGPD.
- L’éditeur ne fait appel à un autre sous-traitant (sous-traitant ultérieur) qu’avec votre autorisation préalable, générale ou spécifique.
- L’éditeur vous aide à répondre aux demandes d’exercice des droits des personnes concernées.
- L’éditeur vous aide à respecter vos obligations de sécurité, de notification des violations de données et d’analyse d’impact.
- À la fin du contrat, l’éditeur supprime ou vous restitue les données selon votre instruction.
- L’éditeur vous permet de réaliser des audits ou de mandater un auditeur pour vérifier sa conformité.
La localisation des données et les transferts hors Union européenne
Si votre éditeur héberge les données sur des serveurs situés hors de l’Union européenne, notamment aux États-Unis, un transfert de données hors UE est réalisé. Ce transfert n’est pas interdit, mais il doit être encadré par des garanties appropriées. Vérifiez que votre éditeur dispose d’un mécanisme de transfert valide reconnu par le RGPD : certification au titre du Data Privacy Framework UE-États-Unis pour les éditeurs américains certifiés, clauses contractuelles types adoptées par la Commission européenne, ou tout autre mécanisme reconnu. En l’absence de telles garanties, le transfert est illicite.
Demandez à votre éditeur la liste complète de ses sous-traitants ultérieurs (hébergeurs, outils de support, services d’analytics) et vérifiez que les mêmes garanties s’appliquent à l’ensemble de la chaîne. Ces informations doivent figurer dans votre registre des traitements.
La sécurité du traitement selon l’article 32
L’article 32 du RGPD impose la mise en oeuvre de mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Pour un CRM commercial, les mesures minimales attendues sont les suivantes.
- Gestion des accès et des habilitations : seules les personnes ayant besoin de consulter ou de modifier les données dans le cadre de leur mission doivent y avoir accès. Un commercial ne doit pas avoir accès aux données financières de tous les clients de l’entreprise, ni un responsable comptable accès aux fiches prospects d’une autre région. Les accès doivent être définis par rôle, documentés et révisés régulièrement.
- Authentification : l’accès au CRM doit être protégé par une authentification robuste. Un simple mot de passe est insuffisant pour des outils contenant un volume significatif de données personnelles. L’authentification à deux facteurs est recommandée par la CNIL pour les accès à des outils sensibles.
- Journalisation : les accès aux données, les modifications et les exports doivent être tracés. Cette journalisation permet de détecter les comportements anormaux et de reconstituer les événements en cas d’incident de sécurité. Elle est également utile pour démontrer la conformité en cas de contrôle.
- Chiffrement : les données doivent être chiffrées en transit (connexion HTTPS/TLS) et, si possible, au repos. Un CRM SaaS sérieux propose ces garanties par défaut. Vérifiez-le dans le DPA et dans la documentation technique de l’éditeur.
- Sauvegardes : des sauvegardes régulières doivent être effectuées, stockées de façon sécurisée, et testées périodiquement pour s’assurer qu’elles permettent une restauration effective en cas d’incident. Une sauvegarde jamais testée est une sauvegarde dont on ne sait pas si elle fonctionne.
- Revue périodique des droits d’accès : les habilitations doivent être réévaluées régulièrement, notamment lors de départs ou de changements de poste. Un ancien collaborateur ne doit plus avoir accès au CRM après son départ. Cette revue doit être documentée et datée.
L’article 32 prévoit également une procédure visant à tester, analyser et évaluer régulièrement l’efficacité des mesures. Un audit interne annuel de la sécurité du CRM, documenté et daté, répond à cette exigence pour une PME. Il n’est pas nécessaire de mandater un prestataire externe : un examen méthodique des habilitations, des exports récents et des alertes de journalisation suffit dans un premier temps.
La violation de données : détecter, réagir et documenter
Une violation de données personnelles est tout incident de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données personnelles. Elle peut résulter d’une cyberattaque, d’une erreur humaine (email envoyé à la mauvaise liste, ordinateur perdu ou volé), d’un dysfonctionnement technique ou d’un acte malveillant interne.
Comment détecter une violation
La détection repose sur plusieurs mécanismes complémentaires : la journalisation des accès et des exports (qui permet d’identifier des anomalies), les alertes de sécurité de l’éditeur du CRM, les signalements internes (un collaborateur remarque un comportement inhabituel), et les alertes externes (signalement d’un partenaire, d’un client, ou d’une autorité). Une procédure interne de remontée des incidents doit être définie et connue de l’ensemble des équipes. Chaque collaborateur doit savoir à qui signaler un incident potentiel, même en cas de doute sur sa nature.
Ce qu’il faut faire dès la détection
Trois actions doivent être menées simultanément. Premièrement, endiguer l’incident : couper les accès compromis, bloquer la source de la violation si elle est identifiée, sécuriser les systèmes affectés. Deuxièmement, évaluer les risques pour les personnes concernées : quelles données ont été exposées, combien de personnes sont concernées, quel est le risque concret pour leurs droits et libertés. Troisièmement, documenter la violation dès sa découverte : nature de l’incident, données concernées, nombre de personnes affectées, causes probables, mesures correctives prises.
Qui prévenir et délai de notification
Si la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, vous devez notifier la CNIL. Le délai pour cette notification est très court et strictement fixé par le RGPD aux articles 33 et 34. N’attendez pas d’avoir toutes les informations pour notifier : signalez l’incident dès que vous en avez connaissance et complétez votre déclaration au fur et à mesure. L’absence de notification dans les délais est un manquement autonome, sanctionnable indépendamment de la violation elle-même.
Si la violation est susceptible d’engendrer un risque élevé pour les personnes (risque d’usurpation d’identité, de préjudice financier, de discrimination), celles-ci doivent également être informées directement, sans délai injustifié. Tenez un registre interne de toutes les violations, y compris celles qui ne nécessitent pas de notification à la CNIL : ce registre est prévu par le RGPD et sera demandé lors d’un contrôle.
La prospection électronique : deux règles selon la cible
La prospection électronique obéit à des règles qui s’ajoutent au RGPD et qui sont issues de la directive ePrivacy, transposée en droit français. Ces règles varient selon que vous vous adressez à un professionnel ou à un particulier, et selon que le message porte ou non sur une offre en lien avec les fonctions du destinataire.
La règle vers un professionnel
L’envoi d’un message commercial à une adresse professionnelle, dans le cadre d’une relation B2B, peut reposer sur l’intérêt légitime. Vous n’avez pas besoin d’un consentement préalable pour envoyer un premier email de prospection à un responsable achats dont l’email figure sur le site web de son entreprise, à condition que deux critères soient réunis.
Le premier critère est le lien avec la fonction professionnelle du destinataire : le contenu de votre message doit être en rapport direct avec ses responsabilités. Vous ne pouvez pas envoyer une offre de services informatiques à un responsable des ressources humaines en invoquant l’intérêt légitime. Le second critère est l’obligation de permettre l’opposition à chaque envoi : chaque message doit proposer un moyen simple, immédiat et gratuit de ne plus recevoir de sollicitations. Ce mécanisme doit être opérationnel et respecté sans délai.
La règle vers un particulier
L’envoi d’un message commercial à un particulier (B2C) nécessite son consentement préalable, recueilli de façon explicite via un acte positif. Ce consentement doit être libre, spécifique, éclairé et univoque. Une exception existe pour les clients existants : vous pouvez leur adresser des messages portant sur des produits ou services analogues à ceux qu’ils ont déjà achetés, à condition qu’ils aient été informés de cette possibilité lors de la collecte et qu’ils aient pu s’y opposer à ce moment-là.
Dans tous les cas, B2B ou B2C, chaque envoi doit permettre à la personne de s’opposer facilement à de nouvelles sollicitations. Cette opposition doit être tracée dans votre CRM et respectée par l’ensemble des équipes et des outils connectés à votre base de contacts. Une opposition enregistrée dans le CRM mais ignorée par votre outil d’emailing parce que les deux ne sont pas synchronisés constitue un manquement.
Checklist de mise en conformité en douze points
| Point | Action à mener | Preuve à conserver |
|---|---|---|
| 1 | Identifier et documenter la base légale applicable pour chaque finalité du CRM | Fiche registre (art. 30) avec base légale renseignée par finalité |
| 2 | Réaliser et documenter le test de mise en balance de l’intérêt légitime | Document daté, approuvé et joint au registre, avec date de réexamen |
| 3 | Inscrire le traitement CRM dans le registre des activités de traitement (art. 30) | Registre versionné, complet, disponible sur demande de la CNIL |
| 4 | Vérifier et signer le contrat de sous-traitance (DPA) avec l’éditeur du CRM (art. 28) | DPA signé par les deux parties, archivé et accessible |
| 5 | Vérifier la localisation des données et les garanties de transfert hors UE | Documentation de l’éditeur sur la localisation des serveurs et le mécanisme de transfert valide |
| 6 | Rédiger et déployer les mentions d’information pour chaque point de collecte | Captures des formulaires, des emails de prospection et de la politique de confidentialité |
| 7 | Définir les durées de conservation par catégorie et mettre en place la procédure de purge ou d’archivage | Politique de conservation documentée, journal des purges effectuées |
| 8 | Mettre en place une procédure de gestion des droits des personnes (accès, effacement, opposition, etc.) | Procédure écrite, canal dédié, journal des demandes reçues et traitées |
| 9 | Restreindre les accès par rôle et activer une authentification renforcée | Matrice des habilitations documentée, compte rendu de la dernière revue des droits |
| 10 | Définir une procédure de réponse aux violations de données et constituer le registre interne des violations | Procédure écrite connue des équipes, registre interne des violations (même non notifiées) |
| 11 | Adopter une politique interne d’utilisation des champs de commentaire libre et sensibiliser les équipes | Politique d’utilisation du CRM signée, supports de sensibilisation, preuves de formation |
| 12 | Réviser l’ensemble du dispositif de conformité au moins une fois par an | Compte rendu de révision annuelle daté, approuvé et archivé |
Les erreurs fréquentes à corriger en priorité
Demander le consentement partout par précaution. C’est la confusion la plus répandue, alimentée par une lecture partielle du RGPD. Des entreprises ajoutent des cases à cocher à tous leurs formulaires, y compris pour des traitements qui reposent légitimement sur l’exécution du contrat ou l’intérêt légitime. Le problème est double : le consentement crée une obligation de le prouver et de le gérer tout au long de sa vie ; et il est fragile, car la personne peut le retirer à tout moment. Invoquer le consentement là où il n’est pas nécessaire complique la conformité sans apporter de protection supplémentaire, et prive l’entreprise des bases légales plus stables dont elle dispose.
Laisser les champs de commentaire libre sans cadre ni surveillance. Ces champs accumulent au fil du temps des informations qui n’ont pas leur place dans un CRM commercial. Une note du type « contact difficile, éviter de le relancer trop souvent » ou « a mentionné des problèmes de santé » expose l’entreprise à un manquement grave si ce contact exerce son droit d’accès, et potentiellement à un traitement de données sensibles non autorisé.
Ne jamais purger les prospects inactifs. Des fiches contacts datant de cinq, six, dix ans se retrouvent dans de nombreux CRM où elles n’ont jamais été ni archivées ni supprimées. Chaque donnée conservée au-delà de sa durée légitime constitue un manquement au principe de limitation de la conservation posé à l’article 5 du RGPD. La purge régulière des prospects inactifs est une obligation, non une option.
N’avoir aucun registre des traitements. L’absence de registre est l’un des premiers manquements constatés lors d’un contrôle. Le registre n’est pas un document optionnel. Sa tenue est obligatoire et son absence peut aggraver la situation de l’entreprise, même si les traitements sont par ailleurs conformes sur le fond.
Ne jamais réviser les droits d’accès. Les habilitations définies au lancement du CRM et jamais réexaminées créent des risques concrets. D’anciens collaborateurs qui ont quitté l’entreprise conservent parfois un accès actif pendant des mois. Des commerciaux mutés consultent des données de régions qui ne sont plus les leurs. Une revue périodique, documentée, est une mesure de sécurité de base au titre de l’article 32.
Exporter la base de contacts sur un poste personnel. Un commercial qui exporte en CSV l’intégralité de la base pour travailler depuis son ordinateur personnel fait sortir les données du périmètre sécurisé du CRM. L’entreprise perd toute maîtrise sur ces données, ne peut plus garantir leur sécurité, et n’est plus en mesure de répondre efficacement à une demande d’exercice des droits portant sur des données figurant dans cet export. Les exports doivent être encadrés par une politique interne, tracés dans le journal du CRM, et limités aux besoins opérationnels dûment justifiés.
Utiliser un éditeur de CRM sans contrat de sous-traitance conforme. Accepter les conditions générales d’utilisation d’un éditeur ne suffit pas à satisfaire l’obligation de l’article 28. Un DPA conforme est obligatoire. Vérifiez que votre éditeur en propose un, qu’il est effectivement signé des deux parties, et qu’il couvre l’ensemble des points requis par le RGPD. Un éditeur qui refuse de signer un DPA ne peut pas être retenu comme sous-traitant conforme.
La conformité se joue sur ce que vous stockez, pas sur ce que vous promettez
Les politiques de confidentialité, les mentions légales et les cases à cocher ne font pas la conformité. Elles en sont la partie visible, mais ce sont les pratiques réelles qui comptent : quelles données sont effectivement stockées dans votre CRM, pendant combien de temps, qui y accède, et que se passe-t-il concrètement quand une personne exerce ses droits.
Lors d’un contrôle, la CNIL ne commence pas par lire votre politique de confidentialité. Elle demande votre registre des traitements, vérifie l’existence d’un contrat de sous-traitance avec votre éditeur, contrôle les durées de conservation effectivement appliquées et teste votre capacité à répondre à une demande d’exercice des droits. La minimisation des données et la durée de conservation sont les deux points qui se vérifient en premier, parce qu’ils reflètent ce qui se passe réellement dans votre système, pas ce que vous avez promis de faire.
Djaboo centralise les clients, les contacts, les devis, les factures et les dépenses rattachés à leur dossier. Cette centralisation présente un avantage concret pour la gestion de la conformité : elle permet de savoir précisément où se trouve une donnée et de la retrouver rapidement quand une personne exerce ses droits. Pouvoir localiser et extraire l’ensemble des données d’un contact est l’une des exigences les plus concrètes du RGPD, et une organisation centralisée facilite cette réponse opérationnelle.
Il est cependant indispensable d’être clair sur un point fondamental : la conformité au RGPD reste la responsabilité du responsable de traitement, c’est-à-dire votre entreprise. Aucun outil ne peut vous rendre conforme à votre place. Djaboo n’assure pas la conformité RGPD, ne fournit pas de registre des traitements, de gestion des consentements, de purge automatique, d’anonymisation ou d’export de portabilité. La conformité est le résultat de décisions que vous prenez : quelle base légale invoquer, quelles données stocker, pendant combien de temps, qui peut y accéder et comment vous répondez aux demandes des personnes concernées. Ces décisions vous appartiennent, et c’est vous qui devez être en mesure de les justifier.
Questions fréquentes
Dois-je demander le consentement de tous mes contacts B2B pour les stocker dans mon CRM ?
Non. C’est le malentendu le plus répandu sur le RGPD appliqué aux CRM professionnels. Le traitement des données de vos contacts professionnels dans votre CRM repose sur l’intérêt légitime prévu à l’article 6, paragraphe 1, point f) du RGPD, pas sur le consentement. Vous n’avez donc pas besoin qu’un directeur commercial coche une case pour que vous puissiez enregistrer ses coordonnées professionnelles et le contacter dans le cadre de votre activité. En revanche, vous devez documenter le test de mise en balance justifiant cet intérêt légitime, informer le contact du traitement lors du premier contact ou au plus tard un mois après la collecte, et lui permettre de s’y opposer à tout moment en réponse à n’importe lequel de vos messages. Demander du consentement là où l’intérêt légitime suffit ne renforce pas la conformité : cela crée des obligations supplémentaires (preuve du consentement, gestion de son retrait) sans bénéfice pour les personnes concernées.
Quelle est la différence entre la base légale RGPD du traitement et la règle de prospection électronique ?
Ces deux cadres sont distincts et coexistent. La base légale au sens de l’article 6 du RGPD justifie le fait de collecter et de stocker les données dans votre CRM. La règle de prospection électronique, issue de la directive ePrivacy transposée en droit français, s’applique à l’acte d’envoi d’un message commercial par voie électronique. En B2B, les deux peuvent reposer sur l’intérêt légitime. En B2C, la base légale RGPD peut être l’intérêt légitime pour stocker les données d’un particulier dans votre CRM, mais l’envoi d’un email commercial à ce particulier nécessite son consentement préalable au titre de la directive ePrivacy. Ne pas distinguer ces deux niveaux conduit à deux types d’erreurs opposées : soit demander un consentement inutile pour tout, soit croire que l’intérêt légitime RGPD dispense du consentement ePrivacy pour les envois B2C.
Qu’est-ce que le test de mise en balance et est-il vraiment obligatoire ?
Oui, ce test est obligatoire dès lors que vous invoquez l’intérêt légitime comme base légale, pour n’importe quel traitement. Il consiste à vérifier et à documenter que votre intérêt est réel et licite, que le traitement est nécessaire pour l’atteindre, et que les droits et libertés des personnes concernées ne l’emportent pas sur votre intérêt. Ce test n’a pas de format imposé par le RGPD, mais il doit être rédigé, daté et conservé en annexe de votre registre des traitements. En son absence, l’invocation de l’intérêt légitime ne satisfait pas au principe de responsabilité posé à l’article 5, paragraphe 2, du RGPD : vous devez être capable de démontrer à tout moment que vous respectez le règlement. Un document de deux à trois pages par traitement suffit généralement pour une PME.
Comment fixer la durée de conservation des données de mes prospects inactifs ?
La méthode consiste à répondre à une question précise : combien de temps ces données sont-elles nécessaires pour atteindre la finalité de prospection ? Un prospect qui n’a pas répondu à vos sollicitations et avec lequel vous n’avez eu aucune interaction depuis longtemps ne peut plus raisonnablement être qualifié de prospect actif. La CNIL a publié des recommandations précises dans son référentiel « gestion commerciale », accessibles sur son site officiel : consultez ces recommandations pour connaître la durée de référence applicable à votre catégorie de données. Un point important : l’ouverture d’un email que vous lui avez envoyé n’est pas une interaction du prospect à votre égard. C’est un contact actif du prospect (réponse à un message, demande d’information, visite sur votre site à sa propre initiative) qui peut constituer un nouveau point de départ pour la durée de conservation.
Que faire quand un contact demande la suppression de ses données dans mon CRM ?
Traitez cette demande d’exercice du droit à l’effacement dans le délai encadré par le RGPD. Commencez par identifier l’ensemble des données relatives à ce contact dans votre CRM et dans tous les outils connectés : fiche, notes, tags, documents, historique d’échanges, mentions dans des exports éventuels. Supprimez ou anonymisez ce qui peut l’être. Si des données doivent être conservées au titre d’une obligation légale (factures, par exemple), informez explicitement la personne de ce qui est conservé, pourquoi et pour combien de temps, et placez ces données en archivage intermédiaire avec des accès restreints. Documentez la demande reçue, les données supprimées, les données conservées avec leur justification, et la réponse transmise à la personne. Vérifiez enfin que la suppression est effective dans les sauvegardes et dans les exports connus.
Mon éditeur de CRM est américain : quelles obligations cela génère-t-il ?
Un hébergement aux États-Unis n’est pas interdit, mais il génère des obligations spécifiques. Le transfert de données vers les États-Unis doit reposer sur un mécanisme de garantie reconnu par le RGPD. Depuis 2023, le Data Privacy Framework UE-États-Unis constitue un mécanisme valide pour les éditeurs américains qui y sont certifiés. À défaut, des clauses contractuelles types adoptées par la Commission européenne doivent être en place. Demandez à votre éditeur de vous confirmer le mécanisme applicable et assurez-vous qu’il est mentionné dans votre DPA et dans votre registre des traitements. Si votre éditeur ne peut pas justifier d’un mécanisme valide, le transfert est illicite et votre responsabilité en tant que responsable de traitement est engagée, même si l’éditeur est celui qui héberge physiquement les données.
Les champs de commentaire libre dans un CRM constituent-ils vraiment un risque RGPD ?
Oui, et c’est systématiquement l’un des points les plus critiques lors des audits de conformité de CRM. Ces champs sont ouverts par nature : aucun contrôle technique n’empêche un utilisateur d’y saisir une appréciation personnelle, une information sur la vie privée du contact, ou une donnée de santé mentionnée lors d’une conversation informelle. Or, si la personne concernée exerce son droit d’accès prévu à l’article 15 du RGPD, elle a le droit de voir tout ce qui est enregistré à son sujet dans votre CRM, y compris ces notes. Une entreprise qui y trouve des annotations subjectives sur la personnalité d’un contact, ou des informations sur sa situation personnelle, est en manquement au principe de minimisation et potentiellement au régime des données sensibles. La solution passe par une politique interne explicite sur ce que ces champs peuvent ou ne peuvent pas contenir, une sensibilisation régulière des équipes commerciales, et une procédure de revue périodique.
Que risque-t-on concrètement si on ne notifie pas la CNIL après une violation de données ?
L’obligation de notifier la CNIL dans un délai très court après la découverte d’une violation susceptible d’engendrer un risque pour les droits des personnes est posée par les articles 33 et 34 du RGPD. Son non-respect constitue un manquement autonome, distinct de la violation elle-même. En pratique, une entreprise victime d’un incident peut être sanctionnée à la fois pour les insuffisances de sécurité ayant permis la violation et pour l’absence de notification dans les délais. La CNIL insiste sur un point : notifier rapidement, même avec des informations incomplètes, vaut mieux que d’attendre d’avoir toutes les réponses. La notification peut être complétée par des informations ultérieures. En revanche, l’absence totale de notification, ou une notification tardive sans justification valable, aggrave systématiquement la situation de l’entreprise en cas de contrôle.
Faut-il réaliser une analyse d’impact (AIPD) pour mon CRM ?
L’article 35 du RGPD impose une analyse d’impact lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées. Pour un CRM commercial standard, gérant des données de prospects et de clients professionnels sans profilage intensif ni données sensibles, une AIPD n’est pas systématiquement requise. Elle devient nécessaire dès lors que votre CRM implique un profilage à grande échelle, le traitement systématique de données sensibles, une surveillance comportementale étendue, ou un scoring qui produit des effets significatifs sur les personnes. En cas de doute, appuyez-vous sur les critères publiés par la CNIL, qui a mis à disposition une liste de traitements nécessitant une AIPD ainsi que des types de traitements qui en sont dispensés. Le principe de responsabilité impose de documenter votre raisonnement, y compris lorsque vous concluez qu’une AIPD n’est pas nécessaire.
Comment organiser concrètement la procédure interne de gestion des droits des personnes ?
Une procédure efficace repose sur quatre éléments indispensables. Premièrement, un canal de réception dédié, clairement identifié dans votre politique de confidentialité et dans toutes vos mentions d’information : une adresse email spécifique (par exemple, droits-donnees@votreentreprise.fr) que les personnes peuvent utiliser pour exercer leurs droits. Deuxièmement, une personne ou une équipe désignée pour traiter ces demandes, disposant de l’accès technique nécessaire pour localiser et extraire les données dans le CRM et dans les outils connectés. Troisièmement, un délai de traitement interne qui laisse une marge suffisante par rapport au délai fixé par le RGPD, pour les cas complexes ou pour les périodes de forte activité. Quatrièmement, un journal des demandes reçues et des réponses apportées : date de la demande, nature du droit exercé, identité du contact, actions effectuées, date et contenu de la réponse. Ce journal est la preuve de votre conformité en cas de contrôle. Testez cette procédure au moins une fois par an pour vous assurer qu’elle fonctionne dans les faits.
