Fichier de fournisseurs : traiter les entrepreneurs seuls
Fichier fournisseurs : repérez les données des entrepreneurs individuels et contacts, limitez les champs et adaptez l'information RGPD.
Un référentiel d’achats mélange sociétés, indépendants et personnes de contact. Le service considère parfois qu’il ne contient que des « données d’entreprises ». Pourtant, une raison sociale au nom d’une personne, un téléphone direct ou une adresse de domicile peuvent relever du RGPD.
Identifier les personnes derrière les fiches
L’Art. 4(1) vise toute information se rapportant à une personne physique identifiée ou identifiable. Le considérant 14 distingue les données relatives aux personnes morales, sans exclure les données personnelles utilisées dans un contexte professionnel. Source : RGPD.
La CNIL rappelle également que les données des entrepreneurs individuels et des interlocuteurs physiques restent protégées dans les échanges de facturation. Source : CNIL, enjeux de la facturation électronique.
Ce guide concerne la gestion des fournisseurs et des achats. Il ne traite pas la constitution d’une base de prospection.
Classer les champs selon leur fonction
| Champ | Analyse utile | Accès à examiner |
|---|---|---|
| Identité et immatriculation | Distinguer entité et personne physique | Équipes ayant besoin de vérifier le fournisseur |
| Coordonnées du contact | Fonction et canal professionnel approprié | Acheteurs concernés |
| Adresse de domicile professionnel | Nécessité administrative ou contractuelle | Éviter la diffusion élargie |
| Coordonnées bancaires | Paiement et contrôles nécessaires | Équipe financière habilitée |
| Évaluation de prestation | Faits objectifs et pertinents | Décideurs identifiés |
| Pièces justificatives | Obligations précises et durée | Dossier distinct si sensibilité accrue |
Un champ disponible dans un registre public n’est pas automatiquement nécessaire à tous les utilisateurs du référentiel. Les Art. 5(1)(c) et 25(2) imposent de limiter la collecte et l’accessibilité.
Retenir une base légale adaptée à la personne
Pour un entrepreneur individuel partie au contrat, l’Art. 6(1)(b) peut couvrir les données nécessaires à son exécution. Pour le contact salarié d’une société, le contrat passé avec la société n’est pas automatiquement un contrat auquel cette personne est partie. Un intérêt légitime ou une obligation légale peut être pertinent selon l’opération, sous leurs conditions.
Les justificatifs réglementaires demandent d’identifier le texte et le périmètre réellement applicables. Ne collectez pas une pièce d’identité complète pour toute création de fournisseur si aucun besoin précis ne la justifie.
Exemple hypothétique. Un artisan utilise son domicile comme adresse professionnelle. La facturation peut nécessiter une adresse exacte, tandis que l’équipe qui consulte un annuaire interne n’a besoin que du nom d’activité et d’un canal de contact. Une séparation des vues évite de diffuser l’adresse à tous.
Informer et maintenir les contacts exacts
Appliquez l’Art. 13 lors d’une collecte directe et examinez l’Art. 14 pour des données obtenues auprès d’un tiers. Le fait qu’une information figure dans un registre public n’est pas une dispense générale d’information.
Le dossier de provenance des données permet de retrouver l’origine et les usages permis. Une modification reçue doit aussi atteindre les exports et outils dérivés pertinents, selon le processus de rectification des bases dérivées.
Évitez d’écraser une coordonnée corrigée lors de la prochaine synchronisation avec une source ancienne. Conservez les éléments strictement utiles pour comprendre quelle source fait autorité et à quelle date.
Si les coordonnées servent aussi à alimenter un annuaire de professionnels, traitez cette diffusion comme un usage distinct. La séparation des coordonnées professionnelles et personnelles dans un annuaire évite notamment de publier un domicile sans examen préalable.
Fermer une fiche sans conserver tous les usages
La fin de la relation commerciale peut laisser des obligations de conservation de pièces. Elle n’exige pas le maintien indéfini d’un téléphone personnel dans toutes les listes opérationnelles.
Distinguez le dossier comptable, les preuves contractuelles et les contacts actifs. La méthode des archives intermédiaires permet de restreindre les dossiers conservés pour preuve, tout en retirant les champs devenus inutiles aux opérations.
Ce qu’il faut retenir
- Un fichier de fournisseurs peut contenir de nombreuses données personnelles.
- Distinguez l’entrepreneur contractant et le contact d’une société.
- Adaptez chaque champ, accès et durée à sa fonction.
FAQ
Les données publiques sont-elles hors RGPD ?
Non lorsqu’elles concernent des personnes physiques. Leur réutilisation reste soumise aux règles applicables.
Faut-il effacer toutes les factures après la fin du contrat ?
Non. Les obligations de conservation pertinentes doivent être respectées. Elles ne justifient pas, pour autant, la conservation active de toutes les données annexes de la fiche fournisseur.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.