RGPD et CRM : organiser les données et les campagnes

Une fiche CRM peut servir à exécuter une commande, envoyer une offre et conserver la preuve d’un litige. Ces usages n’ont pas nécessairement la même base légale, la même durée ni les mêmes destinataires. Pour rendre votre CRM conforme, traduisez ces différences en champs nécessaires, droits d’accès, durées et règles d’envoi. Un logiciel ne devient pas conforme par l’ajout d’une case « accord RGPD » : les fiches doivent se comporter comme les finalités annoncées aux personnes.

Partir des finalités plutôt que du nom du logiciel

Le référentiel CNIL 2021-131 propose un cadre pour la gestion commerciale. Il n’est pas contraignant et son périmètre comporte des exclusions, notamment certains secteurs réglementés et des profilages fondés sur des sources tierces ou des traceurs.

Commencez par identifier vos opérations : gestion des demandes, contrats, factures, fidélité, prospection, réclamations et analyses. Un outil peut contribuer à plusieurs traitements ; inversement, un traitement peut traverser plusieurs outils. La fiche registre doit refléter les finalités, sans imposer artificiellement une fiche par logiciel ou par contact.

Pour chaque usage, associez un responsable opérationnel et une règle vérifiable : qui peut accéder, quels champs sont nécessaires, quand la donnée devient inutile et quel système décide des envois.

Choisir une base légale pour chaque usage

L’Art. 6(1) du RGPD prévoit plusieurs fondements, dont le contrat, l’obligation légale, l’intérêt légitime et le consentement. Aucun champ unique « accord RGPD » ne remplace cette analyse.

L’article L. 34-5 du Code des postes et des communications électroniques encadre la prospection électronique. Les règles CNIL de prospection électronique distinguent consentement B2C, exception client sous conditions et prospection B2B pertinente. Le seul fait qu’une personne figure dans le CRM ne permet pas de l’inclure dans une campagne.

Conserver la provenance et informer au bon moment

Séparez une information fournie par la personne d’une donnée reçue d’un courtier, d’un partenaire ou d’une source publique. La CNIL distingue collecte directe et indirecte ; les obligations ne se limitent pas aux formulaires du site.

Pour une collecte directe, l’Art. 13 impose l’information au recueil. Pour une collecte indirecte, l’Art. 14(3) fixe un délai raisonnable maximal d’un mois, avancé notamment à la première communication avec la personne ou à la première transmission à un destinataire lorsque ces événements interviennent avant. Les exceptions de l’Art. 14(5) doivent être justifiées. Voir le texte du RGPD.

Enregistrez la source, le contexte, les informations fournies et les permissions nécessaires. Le guide de traçabilité de l’enrichissement CRM aide à éviter qu’une donnée importée perde sa provenance.

Paramétrer des durées par finalité

La partie conservation du référentiel CNIL 2021-131 propose notamment trois ans pour les données de prospects, à partir de la collecte ou du dernier contact venant de la personne. Pour les données clients utilisées en prospection, le repère est la relation commerciale puis trois ans après sa fin.

Une relance sans réponse ou la simple ouverture d’un email ne doit pas remettre artificiellement ce délai à zéro. Ce repère ne fixe pas la durée de toutes les données de la fiche : factures, réclamations, justificatifs et oppositions suivent des besoins distincts.

Séparez la base active des archives justifiées, par des restrictions physiques ou logiques adaptées. Pour la mise en œuvre, le guide de dernier contact du prospect détaille les événements à rapprocher avant suppression.

Faire respecter l’opposition dans les automatisations

L’Art. 21(2) et (3) interdit de poursuivre le traitement à des fins de prospection après opposition, y compris le profilage qui lui est lié. Une suppression dans une liste ne doit pas être annulée par le prochain import.

La méthode de liste repoussoir et synchronisation CRM explique comment traiter les conflits de statuts et contrôler l’exclusion avant l’envoi. Vérifiez un contact présent dans plusieurs marques, plusieurs listes ou plusieurs outils.

Distinguez cette opposition d’une demande d’effacement : une facture encore nécessaire peut rester conservée, tandis que les circuits commerciaux cessent. Une information minimale d’opposition peut éviter de recontacter la personne sans maintenir toute sa fiche active.

Réduire les notes, les accès et les copies

Limitez les données libres aux éléments objectifs utiles. Les données de santé ou révélant des opinions politiques relèvent notamment de l’Art. 9(1) : leur traitement est interdit en principe, sauf exception applicable. La liberté technique de saisir du texte ne constitue pas une telle exception. Le guide des notes libres dans le CRM propose des règles de rédaction.

Pour les accès, contrôlez les rôles, authentifications, exports et comptes de connexion. Encadrez le prestataire par les engagements d’Art. 28 lorsqu’il traite pour votre compte, et examinez ses éventuelles finalités propres ainsi que les transferts. L’Art. 32 du RGPD impose une sécurité adaptée au risque.

Attribuez enfin la réponse aux demandes de droits à une équipe capable de retrouver notes, pièces, historiques et copies. La réponse intervient dans les meilleurs délais, au plus tard sous un mois en principe ; une prolongation de deux mois suppose les conditions de l’Art. 12(3) et une information motivée dans le premier mois.

Cas pratique : remplacer un interlocuteur sans tout conserver

Scénario fictif. Une PME française assure la maintenance d’équipements de pesage. Son CRM relie les entreprises clientes, les personnes à contacter, les contrats et les interventions. Claire, responsable technique d’un client, signale qu’elle quitte l’entreprise. Elle demande de ne plus être sollicitée et indique le nom de son successeur, Malik.

Le contrat de maintenance continue avec la société cliente. Cela ne justifie pas de conserver Claire comme contact actif. Inversement, supprimer toute trace de son nom dans les documents contractuels pourrait faire disparaître une pièce encore nécessaire. La responsable du service client traite séparément les objets du CRM au lieu de cliquer sur « conserver » ou « supprimer » pour l’ensemble du compte.

La fiche de décision renseignée

Pour Malik, la PME retient dans ce scénario l’intérêt légitime à organiser la maintenance avec l’interlocuteur désigné par son client. Elle documente la nécessité du nom, de la fonction et des coordonnées professionnelles, ainsi que les attentes liées à cette fonction. Elle ne recueille ni numéro privé ni informations familiales. Le contrat entre les deux sociétés ne suffit pas à faire de Malik une partie au contrat au sens de l’Art. 6(1)(b).

La première prise de contact explique la provenance des coordonnées, leur utilisation pour les interventions, les destinataires utiles et les droits, avec accès à la notice complète. Elle intervient ici avant l’échéance d’un mois. Malik n’est pas ajouté automatiquement à la newsletter : la coordination d’un rendez-vous technique et la réception d’offres sont deux usages différents.

Les durées deviennent des règles distinctes

L’administration enregistre la fin du rôle de Claire. Elle ne choisit pas « dernière modification : aujourd’hui » comme nouveau point de départ de toutes les durées. Le compte de l’entreprise reste actif, mais ce statut ne conserve pas indéfiniment chacun de ses anciens interlocuteurs.

Pour la pièce d’intervention, le dossier précise la raison de conservation, l’échéance issue de la règle applicable et le service habilité à la consulter. Si aucun besoin de preuve ni obligation ne subsiste, elle est supprimée selon la procédure prévue. Le tableau n’invente donc pas une durée unique pour tous les documents de maintenance.

Ces décisions appliquent les exigences d’exactitude, de minimisation et de limitation de conservation de l’Art. 5(1)(c), (d) et (e) du RGPD. L’archivage ne devient pas un moyen de laisser les anciennes coordonnées à disposition des commerciaux.

L’archive masquée reste exportable : que faire ?

Dans la suite du cas, l’interface ne montre plus Claire aux commerciaux. Pourtant, un export disponible avec leur rôle restitue encore ses coordonnées et les documents restreints. Le contrôle échoue : masquer une fiche à l’écran ne limite pas réellement son accès.

La responsable informatique suspend cet export et examine les autres accès au même ensemble, notamment les connecteurs et comptes techniques. Elle corrige les permissions pour que les pièces nécessaires restent accessibles au service habilité, sans alimenter la sélection commerciale. Si le CRM ne permet pas cette séparation, elle organise une archive distincte avec les restrictions nécessaires et retire les copies injustifiées du circuit actif.

Un contrôle est ensuite réalisé avec trois rôles : commercial, service contractuel et compte du connecteur marketing. Le commercial doit retrouver le nouveau contact utile mais pas les anciennes coordonnées archivées ; le service contractuel doit accéder à la seule pièce justifiée ; le connecteur ne doit récupérer ni Claire ni les archives. L’administration vérifie aussi les exports, au-delà de la navigation à l’écran.

Tant qu’un accès interdit subsiste, la fonction concernée reste suspendue. La fiche de décision indique l’écart, son responsable, le réglage corrigé et les résultats constatés lors du nouveau contrôle. La réponse à Claire décrit les opérations réalisées et les éléments conservés avec leur justification, sans annoncer un effacement total qui n’a pas eu lieu.

Ce qu’il faut retenir

• Définissez les règles par finalité, pas par fiche ou marque de CRM.
• Conservez les sources et distinguez collecte directe et indirecte.
• Appliquez des durées différentes aux prospects, factures et preuves.
• Faites circuler les oppositions dans les imports et automatisations.

FAQ

Tous les contacts doivent-ils donner leur consentement ?

Non. La base dépend de chaque usage et les règles de prospection du canal concerné. Lorsqu’il est retenu, le consentement doit être libre, spécifique, éclairé, univoque et démontrable ; un champ rempli par le commercial ne le crée pas.

Une fiche client peut-elle rester active dix ans ?

Une obligation de conservation comptable ne justifie pas de garder toute la fiche exploitable pour le marketing. Isolez les justificatifs et appliquez les autres durées aux données commerciales.

Un statut désinscrit suffit-il ?

Il faut vérifier son effet sur tous les outils qui envoient des messages. Une opposition ignorée par une synchronisation reste inefficace en pratique.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.