Données clients et RGPD : qu’est-ce qui est vraiment obligatoire ?

Le registre : l’obligation que presque tout le monde oublie

C’est le point de départ d’un contrôle, et celui qui surprend le plus. Tout organisme qui traite des données personnelles doit tenir un registre des activités de traitement.

Il existe bien une dispense pour les organismes de moins de 250 salariés — ce qui semble couvrir tout le monde ici — mais elle tombe dès que le traitement n’est pas occasionnel. Un fichier clients ne l’est jamais : il est permanent, par définition. L’APD le formule sobrement : « Quelques dispenses très limitées existent à cette obligation prévue à l’article 30 du RGPD. » En pratique, le registre est donc à tenir, que vos données soient dans un CRM ou dans un tableur.

Ce n’est pas un document à déposer quelque part. C’est une documentation interne — l’APD la décrit comme « un outil de contrôle pour l’APD », et elle ajoute que ce registre doit être produit à la première demande (article 30.4 du RGPD). Autrement dit : personne ne vous le réclame jusqu’au jour où quelqu’un vous le réclame, et ce jour-là vous avez peu de temps.

La bonne nouvelle, c’est que ce n’est pas un projet. Pour une petite entreprise, le registre tient sur quelques pages et répond à six questions par traitement :

• Quelle est la finalité — gérer les clients, prospecter, facturer, recruter ? Un traitement par finalité.
• Quelles catégories de données sont concernées.
• Quelles catégories de personnes : clients, prospects, salariés.
• Qui a accès aux données, et à qui elles sont transmises — vos prestataires compris.
• Combien de temps elles sont conservées.
• Quelles mesures de sécurité s’appliquent.

Une après-midi suffit à le remplir la première fois, et ensuite c’est une page à relire une fois par an. L’avantage secondaire est réel : en le remplissant, vous découvrez généralement deux ou trois endroits où vous conservez des choses dont vous aviez oublié l’existence.

Et ne le rangez pas dans la catégorie des formalités sans conséquence. L’APD est explicite : l’absence de registre, ou une mauvaise exécution de cette obligation, peut être sanctionnée — jusqu’à 10 000 000 EUR, ou 2 % du chiffre d’affaires annuel mondial pour une entreprise (article 83 du RGPD). Ce sont des plafonds, pas des tarifs, et ils ne sont pas faits pour une entreprise de cinq personnes. Mais c’est la première chose qu’on vous demandera.

Notez ce que vous utilisez, pas ce que vous utiliserez peut-être

C’est le principe sur lequel ça dérape le plus souvent en pratique, et il s’appelle la minimisation : vous ne collectez pas plus que nécessaire à votre finalité.

Un nom, une adresse e-mail professionnelle, un numéro de téléphone et ce qui a été convenu — cela, vous en avez besoin. Une date de naissance « au cas où on ferait un jour quelque chose pour les anniversaires », non. Et des remarques sur la santé, les convictions religieuses ou les opinions politiques de quelqu’un sont des données sensibles, soumises à des règles bien plus strictes ; elles n’ont rien à faire dans un outil commercial.

Le test pratique pour un champ de notes tient en une phrase : le diriez-vous si le client lisait par-dessus votre épaule ? Il a le droit de consulter ses données, donc la situation est réelle — et une appréciation sur une personne (« type difficile », « paie toujours en retard ») est une donnée personnelle comme une autre. Elle tombe sous le droit d’accès, et elle ne se range pas dans un tiroir « interne ».

Obligation de conserver et durée de conservation ne sont pas la même chose

Deux notions qui se mélangent en permanence, et la différence commande ce que vous devez faire.

L’obligation de conservation est un minimum, et pour vos pièces TVA elle est de sept ans. Le point de départ compte autant que le chiffre : ces sept ans se comptent à partir du 1er janvier de l’année qui suit la délivrance de la pièce. Une facture de mars 2026 reste donc en place jusqu’à fin 2033.

Et ce chiffre vient de changer, ce qui explique que vous en lirez encore un autre un peu partout. La loi du 20 novembre 2022 l’avait porté de sept à dix ans. La loi du 18 décembre 2025 l’a ramené à sept — à l’article 60 du Code de la taxe sur la valeur ajoutée, « le mot dix est remplacé par le mot sept » —, et elle s’applique aux taxes devenues exigibles depuis le 1er janvier 2023. Autrement dit, la parenthèse des dix ans est refermée, y compris pour le passé. Beaucoup de pages d’information n’ont pas encore été mises à jour ; si vous en trouvez une qui annonce dix ans, c’est la date de la page qu’il faut regarder.

Deux exceptions traînent en plus, et elles ne viennent pas de cette loi-ci : les factures d’investissements que vous amortissez sur plusieurs années se gardent plus longtemps — on cite sept ans après le dernier amortissement — et les pièces relatives à un bien immobilier quinze ans. Si vous êtes dans un de ces deux cas, c’est la question à poser à votre comptable plutôt qu’à un article.

La durée de conservation sous le RGPD est un maximum. Vous ne gardez pas les données personnelles plus longtemps que nécessaire à votre finalité. Et ici, contrairement à ce que vous lirez dans les sources françaises, il n’y a pas de chiffre. La CNIL publie un repère — trois ans après le dernier contact pour un prospect, trois ans après la fin de la relation commerciale pour un client — mais c’est une ligne française, pas le texte du règlement, et l’APD ne la reprend pas. En Belgique, vous fixez vous-même une durée et vous devez pouvoir expliquer pourquoi elle est raisonnable.

En pratique, cela veut dire deux régimes côte à côte : vos factures restent sept ans parce qu’il le faut, et la fiche d’un prospect qui n’a jamais répondu part plus tôt parce que plus rien ne la justifie. Le tri est détaillé dans nettoyer son fichier clients.

Soyez prudent quand vous comparez avec de l’information française, parce qu’elle est abondante et qu’elle est dans votre langue. En France, la conservation est échelonnée — dix ans pour les pièces comptables, cinq ans pour la correspondance commerciale — et il existe en plus le repère de trois ans de la CNIL. Rien de tout cela ne vaut ici. Garder une pièce trois ans parce qu’un article français le dit, c’est jeter quatre ans trop tôt.

Ce que votre client peut demander

Cinq droits qui se présentent réellement dans une petite entreprise :

• L’accès. Il peut demander quelles données vous détenez sur lui. Cela suppose que vous puissiez les retrouver — « c’est quelque part dans ma boîte mail » ne suffit pas.
• La rectification. Si quelque chose est faux, vous le corrigez.
• L’effacement. Possible, sauf là où une obligation de conservation s’applique. Vous pouvez donc supprimer un dossier client et garder les factures sept ans.
• La portabilité. Il peut demander ses données dans un format structuré, couramment utilisé et lisible par machine — voir récupérer ses données.
• L’opposition à la prospection. S’il ne veut plus recevoir vos envois, vous arrêtez, et cela doit être simple — un clic, pas d’écran de connexion.

L’APD rappelle trois choses sur la manière d’y répondre, et chacune se rate facilement. Vous avez un mois, prolongeable de deux mois pour une demande complexe, à condition d’avoir prévenu la personne dans le mois. Vous ne pouvez réclamer aucun paiement pour l’exercice de ces droits — sauf si la demande est manifestement infondée ou excessive, et alors les frais doivent correspondre au coût administratif réel. Et si vous ne donnez pas suite, vous devez le dire dans le mois, avec les motifs, et signaler à la personne qu’elle peut introduire une plainte auprès de l’APD ou saisir un tribunal.

Un conseil qu’on suit rarement : n’exigez pas systématiquement une copie de pièce d’identité. Si vous pouvez vous assurer autrement que la personne est bien celle qu’elle dit être, faites-le — réclamer une pièce d’identité est en soi une collecte de données supplémentaire.

Quand vous avez besoin d’un contrat de sous-traitance

Si vous utilisez le logiciel de quelqu’un d’autre pour conserver des données clients — un CRM, une messagerie, un outil de comptabilité — ce fournisseur est un sous-traitant et vous êtes le responsable du traitement. Un contrat de sous-traitance va avec, qui dit ce qu’il a le droit de faire des données et ce qui se passe si cela tourne mal.

Un fournisseur correct l’a prêt et n’a pas besoin de le négocier. S’il faut le demander et que la réponse est vague, c’est un signal.

Un cas à part : si vous êtes tenu au secret professionnel — expert-comptable, avocat, profession de santé —, le contrat de sous-traitance ne suffit pas. Le secret professionnel relève du droit pénal, pas du droit des contrats, et un document administratif ne vous en délie pas. Ce qu’il faut demander en plus à votre fournisseur est détaillé dans rôles et droits.

Où vous atterrissez si ça tourne mal

L’autorité compétente est l’Autorité de protection des données, l’APD — pas la CNIL, même si c’est elle que vous trouvez en premier quand vous cherchez en français. C’est là qu’aboutit la plainte d’un client, et c’est là que vous allez vérifier quelque chose vous-même : l’APD publie des explications destinées aux PME.

Une violation de données se notifie à l’APD dans les septante-deux heures après en avoir pris connaissance, et aux personnes concernées elles-mêmes si elle présente un risque élevé pour elles. La règle est européenne ; ce qui est belge, c’est la manière de le faire, et elle est stricte sur deux points.

1. La notification passe par le portail de l’APD. L’Autorité est formelle : « Les notifications qui nous sont envoyées par e-mail ne seront pas traitées. » Un mail envoyé dans l’urgence ne compte donc pas comme une notification. Créez le compte entreprise avant d’en avoir besoin, pas le jour où ça brûle.
2. La langue compte. La notification doit être introduite dans une des trois langues nationales — français, néerlandais ou allemand. Les annexes techniques peuvent être en anglais. Si ces exigences ne sont pas respectées, la notification est considérée comme irrecevable.

Ce que vous pouvez faire aujourd’hui

Vous n’avez pas à en faire un projet. Quatre choses retirent l’essentiel du risque :

1. Remplissez le registre des traitements. Une après-midi, relu une fois par an — et c’est la première pièce que l’APD demandera.
2. Parcourez vos champs de notes et retirez ce que vous n’utilisez pas. Surtout les vieilles remarques devenues personnelles.
3. Écrivez combien de temps vous conservez quoi, et pourquoi. Trois lignes par catégorie suffisent — et ne confondez pas les sept ans de vos pièces TVA avec la durée RGPD pour le reste, qui est plus courte et que vous fixez vous-même.
4. Vérifiez que vous pouvez supprimer un dossier client sans emporter les factures. Si votre outil ne le permet pas, c’est un vrai problème et non un problème théorique.

Un avertissement sur ce genre de textes

Ceci est une explication, pas un conseil juridique, et c’est écrit par un éditeur de logiciel — nous avons intérêt à ce que vous ne trouviez pas cela compliqué. S’il s’agit de données sensibles, de grands volumes, ou de quelque chose dont vous n’êtes vraiment pas sûr, allez voir l’APD directement ou demandez à un juriste.

Et une mise en garde propre à la lecture en français : la plupart des pages que vous trouverez sur ce sujet sont françaises. Sur le RGPD lui-même, elles sont utiles — c’est le même règlement. Sur l’autorité et sur les durées, elles sont fausses pour vous. Quand un texte en français cite la CNIL, le Code de commerce ou un délai de trois ans, c’est le signe qu’il ne parle pas de la Belgique.