RGPD et CRM : les bonnes pratiques pour gérer vos données clients en PME

Le RGPD est le règlement européen qui encadre l’usage des données personnelles. Pour un CRM, il impose de savoir pourquoi on collecte chaque information, de la protéger, de ne pas la conserver indéfiniment et de répondre aux demandes des personnes concernées. Voici comment s’y conformer simplement en PME.

Pourquoi le RGPD concerne directement votre CRM

Un CRM contient des noms, des adresses email, des numéros de téléphone, l’historique des échanges et parfois des notes très personnelles. Ce sont des données à caractère personnel au sens du règlement, même quand elles concernent le contact d’une entreprise. Dès que vous les enregistrez, vous devenez « responsable de traitement » et vous portez des obligations.

Le sujet n’est pas réservé aux grandes structures. Le RGPD s’applique à toutes les entreprises, quelle que soit leur taille, et les sanctions prévues peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves (article 83 du règlement). Un CRM en ordre reste votre meilleure protection, et un argument de confiance auprès de vos clients.

La bonne nouvelle : un CRM bien tenu rend la conformité plus simple, pas plus lourde. Tout est au même endroit, donc tout est plus facile à contrôler. C’est aussi l’une des raisons de quitter les tableurs éparpillés, où les données circulent sans contrôle.

Les principes à respecter pour vos données clients et prospects

Le règlement repose sur quelques principes très concrets. Les appliquer à votre CRM revient à répondre à cinq questions.

• Pourquoi collectez-vous cette donnée ? Chaque information doit servir une finalité précise : suivre une affaire, établir un devis, envoyer une newsletter. Une donnée sans usage n’a rien à faire dans la base.
• Est-elle nécessaire ? C’est le principe de minimisation. Si vous n’avez pas besoin de la date de naissance d’un contact pour travailler avec lui, ne la demandez pas.
• Sur quelle base légale ? Le suivi d’un client existant relève de l’exécution du contrat. La prospection commerciale peut relever de l’intérêt légitime en B2B, ou du consentement selon le canal utilisé.
• Combien de temps la gardez-vous ? Une donnée ne se conserve pas indéfiniment. Il faut fixer une durée et la respecter.
• Est-elle protégée ? Accès limités, mots de passe solides, sauvegardes : la sécurité fait partie de l’obligation.

Notez ces réponses dans un document simple : c’est le début de votre registre des traitements, que le RGPD demande de tenir à jour. Pour une PME, une page par type de traitement (gestion des clients, prospection, support) suffit souvent à démarrer.

Consentement et prospection : ce qui change selon le canal

C’est la zone où les PME se posent le plus de questions. Les règles dépendent du canal et de la cible. En B2B, l’envoi d’emails à une adresse professionnelle est en général possible sans consentement préalable, à condition que le message ait un rapport avec l’activité du destinataire, que la personne ait été informée et qu’elle puisse se désinscrire facilement. En B2C, l’accord préalable est la règle pour l’email et le SMS.

Dans tous les cas, deux réflexes évitent la plupart des erreurs : mentionner la source de chaque contact dans la fiche, et garder la preuve de son accord quand il est nécessaire. Enregistrer dans la fiche la date et l’origine du consentement, par exemple depuis un formulaire web, sert de preuve en cas de contrôle. Si vous lancez des campagnes, notre guide sur le CRM marketing détaille comment relier campagnes et base de contacts proprement, et la fonctionnalité gestion marketing montre comment centraliser emailings et formulaires.

Durée de conservation : savoir quand supprimer ou anonymiser

Garder toutes les fiches pour toujours est tentant, mais contraire au règlement. Pour les prospects, la CNIL recommande une conservation de trois ans à compter du dernier contact ou de la dernière action commerciale de leur part. Pour les clients, les données restent nécessaires le temps de la relation contractuelle, puis peuvent être archivées pendant les durées légales applicables (obligations comptables, garanties, prescription).

Concrètement, définissez trois statuts dans votre CRM : actif, inactif, à purger. Une fois par an, parcourez les fiches sans activité depuis la durée choisie, puis supprimez-les ou anonymisez-les. C’est exactement l’esprit du nettoyage régulier de la base : une base à jour est aussi une base conforme.

Droits des personnes : être capable de répondre sous un mois

Toute personne dont vous détenez les données peut demander à les consulter, les corriger, les faire effacer, s’opposer à leur usage ou les récupérer. Vous disposez en principe d’un mois pour répondre. Le piège classique tient à l’éparpillement : si les informations sont réparties entre un tableur, une messagerie et un logiciel de facturation, retrouver tout ce que vous savez d’une personne devient un casse-tête.

Avec un référentiel unique, la demande se traite en quelques minutes : vous recherchez la fiche, vous exportez ou vous supprimez, puis vous consignez la réponse. C’est un des atouts de la gestion des contacts centralisée. Préparez aussi un modèle de réponse et désignez une personne chargée de ces demandes, même si elle n’y consacre que quelques heures par an.

Sécurité et hébergement : protéger la base au quotidien

La sécurité ne se résume pas à un antivirus. Quatre mesures font l’essentiel du travail :

• des droits d’accès par profil, pour que chaque collaborateur ne voie que ce dont il a besoin ;
• des mots de passe robustes, idéalement complétés par une double authentification ;
• des sauvegardes régulières, testées, et stockées à part ;
• la suppression des comptes des collaborateurs qui quittent l’entreprise, le jour de leur départ.

En cas d’incident (perte d’un ordinateur, accès frauduleux, fuite), le règlement impose de notifier la CNIL dans un délai de 72 heures après en avoir pris connaissance, lorsque la violation présente un risque pour les personnes. Mieux vaut avoir prévu qui prévient qui avant que cela n’arrive.

Le lieu d’hébergement compte également. Un CRM hébergé dans l’Union européenne, par un éditeur soumis au droit européen, simplifie l’encadrement des transferts de données hors UE. Nous avons détaillé ce point dans notre article sur la souveraineté numérique. Vérifiez aussi le contrat qui vous lie à votre éditeur : il agit comme sous-traitant, et le RGPD exige que cette relation soit encadrée par écrit.

Par où commencer : un plan en cinq étapes

Inutile de tout refaire d’un coup. Voici une séquence réaliste pour une PME :

• Cartographier les données présentes dans le CRM et les outils connectés.
• Trier : supprimer les champs inutiles et les fiches périmées.
• Documenter les finalités, les bases légales et les durées dans un registre.
• Informer : mentions légales sur les formulaires, lien de désinscription dans chaque email.
• Sécuriser et former : droits d’accès, mots de passe, sensibilisation des équipes.

Si votre base est encore en cours de structuration, commencez par notre guide sur la base de données clients, qui aborde déjà les bases de la fiabilité et de la protection. Pour approfondir les définitions, la CNIL met à disposition sur son site des modèles de registre et des fiches pratiques destinés aux petites structures.

Ce qu’il faut retenir

Se mettre en conformité RGPD avec son CRM revient surtout à de la méthode : savoir pourquoi on garde chaque donnée, la protéger, la supprimer à temps et pouvoir répondre aux demandes. Quelques heures de travail bien placées valent mieux qu’un grand chantier jamais lancé. Un registre à jour, une base propre et des accès maîtrisés suffisent déjà à couvrir l’essentiel, et à rassurer vos clients sur la manière dont vous traitez leurs informations.