Rendre son CRM conforme au RGPD, concrètement

Dès qu’un CRM enregistre un nom, un email ou un historique d’échanges, il traite des données personnelles, et le Règlement général sur la protection des données s’applique. Ce n’est pas une formalité réservée aux grands groupes : une TPE avec deux cents contacts est concernée autant qu’un groupe de mille salariés.

Cette page laisse de côté la théorie juridique pour aller à l’essentiel : les obligations qui touchent réellement un fichier client dans un CRM, et la façon de les traduire dans les réglages de l’outil. La conformité se joue d’ailleurs dès le paramétrage initial de votre CRM, pas après coup. Un avertissement utile avant de commencer : ce qui suit donne des repères généraux, pas un avis juridique adapté à votre cas. Pour une situation sensible, un DPO ou un avocat spécialisé reste indispensable.

Tout commence par une base rangée

Avant toute question de droit, une évidence : on ne protège bien que ce qui est rangé. Un CRM dont les données sont éparpillées, dupliquées et mal qualifiées est impossible à mettre en conformité, parce qu’on ne sait même pas ce qu’on détient. La première étape consiste donc à structurer votre fichier client proprement : un contact par fiche, des champs définis, une source connue pour chaque donnée. Tout ce qui suit suppose ce travail fait.

Chaque donnée repose sur une base légale

Le RGPD interdit de collecter des données personnelles au cas où. Chaque traitement doit s’appuyer sur l’une des bases légales prévues par le texte. Pour un CRM, trois suffisent à couvrir presque tous les cas.

L’exécution d’un contrat, d’abord : vous gérez les données d’un client parce que vous le servez. C’est la base la plus solide, elle ne se discute pas.

L’intérêt légitime ensuite, qui couvre une grande partie de la prospection B2B. Vous pouvez contacter un professionnel dans le cadre de son activité, à condition que le message soit pertinent et qu’il puisse s’y opposer facilement. C’est la base la plus utile au commercial, et la plus souvent mal comprise.

Le consentement enfin, requis notamment pour la prospection par email vers des particuliers. Un consentement valable est libre, spécifique, éclairé et univoque : une case à cocher laissée vide au départ, pas une ligne noyée dans des conditions générales. Et il doit être traçable, c’est-à-dire que vous devez pouvoir prouver quand et comment chaque personne a dit oui.

Dans tous les cas, deux obligations accompagnent la collecte. Informer la personne, via une politique de confidentialité claire et une mention au point de collecte. Et ne demander que ce qui sert : un formulaire qui réclame dix champs pour « nourrir la base » collecte neuf données que vous ne pourrez pas justifier.

Combien de temps conserver les données

Une donnée ne se garde pas indéfiniment. Le principe du RGPD est simple : on conserve une donnée le temps nécessaire à sa finalité, puis on l’archive ou on la supprime. En pratique, deux repères structurent un CRM.

Pour un prospect, la CNIL retient une durée d’usage de trois ans à compter du dernier contact, qu’il s’agisse d’un clic, d’une réponse ou d’un échange. Passé ce délai sans réaction, la fiche s’archive puis se supprime.

Pour un client, la durée court pendant toute la relation commerciale, prolongée par les obligations légales : les documents comptables et les factures se conservent dix ans, par exemple. La donnée commerciale active et la donnée conservée à titre de preuve ne suivent pas le même calendrier, et c’est normal.

Le bon réflexe est de fixer ces durées par écrit, finalité par finalité, puis de les faire appliquer par l’outil plutôt que par la mémoire. Un CRM correct sait archiver ou signaler automatiquement les fiches qui ont dépassé leur durée.

Le registre des traitements

C’est l’obligation la plus oubliée des PME, et l’une des plus simples. Le registre des traitements recense, pour chaque usage de données personnelles, ce que vous faites et pourquoi. Il est obligatoire dès que le traitement n’est pas occasionnel, ce qui est exactement le cas d’un CRM utilisé au quotidien. C’est d’ailleurs l’oubli le plus fréquent que je rencontre : un outil rempli tous les jours, et pas l’ombre d’un registre.

Concrètement, c’est un tableau. Pour chaque traitement, par exemple la prospection, la gestion des clients ou le service après-vente, vous notez la finalité, les catégories de données, les personnes concernées, les destinataires, la durée de conservation et les mesures de sécurité. La CNIL met à disposition un modèle gratuit qui couvre largement le besoin d’une PME. Tenir ce registre à jour prend une heure par an, et il change tout le jour d’un contrôle : il prouve que vous savez ce que vous détenez.

Les droits des personnes

Toute personne dont vous détenez les données dispose de droits, et votre CRM doit vous permettre de les honorer rapidement. Les principaux : accéder à ses données, les rectifier, les faire effacer, s’opposer à leur usage (notamment à la prospection) et les récupérer dans un format réutilisable, ce qu’on appelle la portabilité.

En pratique, répondre à une demande suppose trois capacités que tout CRM sérieux offre : retrouver toutes les données d’une personne en une seule recherche, les exporter proprement, et les supprimer ou les anonymiser. Vous disposez d’un mois pour répondre. Une limite utile à connaître : le droit à l’effacement ne prime pas sur vos obligations comptables. Vous pouvez refuser de supprimer une facture, tout en cessant d’utiliser la donnée à des fins commerciales.

La demande la plus fréquente, en pratique, est l’opposition à la prospection : un contact qui ne veut plus rien recevoir. La bonne réponse n’est pas de supprimer sa fiche, mais de la marquer comme « ne pas contacter » et de l’exclure de toutes vos campagnes. Un CRM bien paramétré gère cet état d’un clic et le respecte automatiquement, ce qui évite la faute classique : recontacter dans six mois une personne qui avait demandé l’arrêt.

Paramétrer le CRM pour rester conforme

La conformité ne vit pas dans un classeur, elle vit dans les réglages de l’outil. Cinq paramétrages font l’essentiel du travail.

• Les droits d’accès : chaque utilisateur ne voit que les données utiles à son rôle. Un commercial n’a pas besoin de toute la base, et limiter les accès limite les risques.

• Les durées et la purge : configurez l’archivage ou la suppression automatique des fiches qui dépassent leur durée de conservation, plutôt que de compter sur un nettoyage manuel qui n’arrive jamais.

• Le suivi du consentement : un champ dédié, daté, qui enregistre l’accord de chaque contact et son origine. C’est lui qui vous permettra de prouver le consentement le jour où on vous le demandera.

• La traçabilité : activez le journal qui enregistre qui a consulté ou modifié quoi. Utile en cas d’incident, et dissuasif en interne.

• La minimisation : ne créez pas de champ que vous ne saurez pas justifier. Moins de données collectées, c’est moins de données à protéger.

Sécurité des données et violation

Le RGPD impose de protéger les données par des mesures appropriées. Pour un CRM, cela se traduit par des règles de bon sens : des mots de passe solides, l’authentification à deux facteurs, des accès retirés dès qu’une personne quitte l’entreprise, et des sauvegardes régulières. La plupart de ces mesures sont natives dans les outils sérieux ; encore faut-il les activer.

Reste le scénario qu’on préfère éviter : la fuite de données. Si votre base est compromise, par piratage, par envoi massif accidentel ou par vol d’identifiants, vous avez deux obligations. Notifier la CNIL dans les 72 heures lorsque la fuite présente un risque pour les personnes. Et informer les personnes concernées elles-mêmes si ce risque est élevé. Le retard ou le silence aggravent la situation bien plus que l’incident, sans parler des sanctions, qui peuvent peser lourd pour une PME. Mieux vaut préparer ce réflexe à froid, savoir qui prévient qui et dans quel délai, que de l’improviser le jour venu.

Hébergement et transfert des données

Reste la question du lieu où vivent vos données. Tant qu’elles sont hébergées dans l’Union européenne, elles bénéficient de la protection du RGPD sans formalité supplémentaire. Dès qu’un outil héberge ou traite les données hors UE, notamment aux États-Unis, des garanties s’imposent, comme les clauses contractuelles types ou un mécanisme d’adéquation reconnu, et la responsabilité finale vous revient. Opter pour des CRM hébergés en France simplifie nettement cette question des transferts, sans pour autant vous dispenser du reste.

Quel que soit l’outil, l’éditeur est votre sous-traitant au sens du RGPD, et cette relation se contractualise. Exigez un contrat de sous-traitance, ou DPA, qui précise ce que l’éditeur fait de vos données et les garanties qu’il apporte. Ajoutez d’ailleurs la réversibilité et ce DPA à vos questions à poser à l’éditeur avant de signer : ces points se négocient à l’entrée, jamais à la sortie.