Données clients et RGPD : qu’est-ce qui est vraiment obligatoire ?

Le registre : l’obligation que presque tout le monde oublie

C’est le point de départ d’un contrôle, et celui qui surprend le plus. Tout organisme qui traite des données personnelles doit tenir un registre des activités de traitement.

Il existe bien une dispense pour les organismes de moins de 250 salariés — ce qui semble couvrir tout le monde ici — mais elle tombe dès que le traitement n’est pas occasionnel. Un fichier clients ne l’est jamais : il est permanent, par définition. En pratique, le registre est donc à tenir, que vos données soient dans un CRM ou dans un tableur.

La bonne nouvelle, c’est que ce n’est pas un projet. Pour une petite entreprise, le registre tient sur quelques pages et répond à six questions par traitement :

• Quelle est la finalité — gérer les clients, prospecter, facturer, recruter ? Un traitement par finalité.
• Quelles catégories de données sont concernées.
• Quelles catégories de personnes : clients, prospects, salariés.
• Qui a accès aux données, et à qui elles sont transmises — vos prestataires compris.
• Combien de temps elles sont conservées.
• Quelles mesures de sécurité s’appliquent.

La CNIL met à disposition un modèle. Une après-midi suffit à le remplir la première fois, et ensuite c’est une page à relire une fois par an. L’avantage secondaire est réel : en le remplissant, vous découvrez généralement deux ou trois endroits où vous conservez des choses dont vous aviez oublié l’existence.

Notez ce que vous utilisez, pas ce que vous utiliserez peut-être

C’est le principe sur lequel ça dérape le plus souvent en pratique, et il s’appelle la minimisation : vous ne collectez pas plus que nécessaire à votre finalité.

Un nom, une adresse e-mail professionnelle, un numéro de téléphone et ce qui a été convenu — cela, vous en avez besoin. Une date de naissance « au cas où on ferait un jour quelque chose pour les anniversaires », non. Et des remarques sur la santé, les convictions religieuses ou les opinions politiques de quelqu’un sont des données sensibles, soumises à des règles bien plus strictes ; elles n’ont rien à faire dans un outil commercial.

La CNIL ajoute une recommandation concrète sur les champs libres : limitez-les au profit de listes déroulantes proposant des appréciations objectives, et veillez à ce que les commentaires ne soient ni inappropriés, ni subjectifs, ni injurieux. Le test pratique reste le plus simple : le diriez-vous si le client lisait par-dessus votre épaule ? Il a le droit de consulter ses données, donc la situation est réelle.

Obligation de conserver et durée de conservation ne sont pas la même chose

Deux notions qui se mélangent en permanence, et la différence commande ce que vous devez faire.

L’obligation de conservation est un minimum. Dix ans pour les pièces comptables, factures comprises (article L.123-22 du Code de commerce). Cinq ans pour les contrats et la correspondance commerciale (article L.110-4). Et un document qui sert aux deux suit la durée la plus longue. Vous ne pouvez pas y échapper, même si un client le demande.

La durée de conservation sous le RGPD est un maximum. Vous ne gardez pas les données personnelles plus longtemps que nécessaire. Contrairement à beaucoup de pays, il existe ici un repère chiffré, donné par la CNIL : trois ans à compter du dernier contact pour un prospect, et trois ans après la fin de la relation commerciale pour un client.

En pratique, cela veut dire deux régimes côte à côte : vos factures restent dix ans parce qu’il le faut, et la fiche d’un prospect qui n’a jamais répondu part au bout de trois ans parce que plus rien ne la justifie. Le tri est détaillé dans nettoyer son fichier clients.

Ce que votre client peut demander

Cinq droits qui se présentent réellement dans une petite entreprise :

• L’accès. Il peut demander quelles données vous détenez sur lui. Cela suppose que vous puissiez les retrouver — « c’est quelque part dans ma boîte mail » ne suffit pas.
• La rectification. Si quelque chose est faux, vous le corrigez.
• L’effacement. Possible, sauf là où une obligation de conservation s’applique. Vous pouvez donc supprimer un dossier client et garder les factures.
• La portabilité. Il peut demander ses données dans un format structuré, couramment utilisé et lisible par machine — voir récupérer ses données.
• L’opposition à la prospection. S’il ne veut plus recevoir vos envois, vous arrêtez, et cela doit être simple — un clic, pas d’écran de connexion.

Vous avez un mois pour répondre, prolongeable pour une demande complexe. Et un conseil de la CNIL qu’on suit rarement : n’exigez pas systématiquement une copie de pièce d’identité. Si vous pouvez vous assurer autrement que la personne est bien celle qu’elle dit être, faites-le — réclamer une pièce d’identité est en soi une collecte de données supplémentaire.

Quand vous avez besoin d’un contrat de sous-traitance

Si vous utilisez le logiciel de quelqu’un d’autre pour conserver des données clients — un CRM, une messagerie, un outil de comptabilité — ce fournisseur est un sous-traitant et vous êtes le responsable du traitement. Un contrat de sous-traitance va avec, qui dit ce qu’il a le droit de faire des données et ce qui se passe si cela tourne mal.

Un fournisseur correct l’a prêt et n’a pas besoin de le négocier. S’il faut le demander et que la réponse est vague, c’est un signal.

Un cas à part : si vous êtes tenu au secret professionnel — expert-comptable, avocat, profession de santé — le contrat de sous-traitance ne suffit pas. L’article 226-13 du Code pénal relève du droit pénal et ne se règle pas par un contrat administratif. Ce qu’il faut demander est détaillé dans rôles et droits.

Ce que vous pouvez faire aujourd’hui

Vous n’avez pas à en faire un projet. Quatre choses retirent l’essentiel du risque :

1. Remplissez le registre des traitements. Le modèle de la CNIL, une après-midi, et relu une fois par an.
2. Parcourez vos champs de notes et retirez ce que vous n’utilisez pas. Surtout les vieilles remarques devenues personnelles.
3. Écrivez combien de temps vous conservez quoi, et pourquoi. Trois lignes par catégorie suffisent — et avec les repères de la CNIL, vous avez déjà la moitié de la réponse.
4. Vérifiez que vous pouvez supprimer un dossier client sans emporter les factures. Si votre outil ne le permet pas, c’est un vrai problème et non un problème théorique.

Un avertissement sur ce genre de textes

Ceci est une explication, pas un conseil juridique, et c’est écrit par un éditeur de logiciel — nous avons intérêt à ce que vous ne trouviez pas cela compliqué. S’il s’agit de données sensibles, de grands volumes, ou de quelque chose dont vous n’êtes vraiment pas sûr, allez voir la CNIL directement ou demandez à un juriste.