CRM, RGPD et prospection B2B : ce qu'une PME doit respecter en France
Base légale, information des personnes, droit d'opposition, durées de conservation, sous-traitance : les règles du RGPD et de la prospection entre professionnels applicables à votre CRM.
Dans un CRM de PME, la prospection auprès de professionnels est possible sans consentement préalable lorsque le message concerne la fonction de la personne, à condition de l'avoir informée de l'utilisation de ses données, de lui offrir un moyen simple de s'opposer et de respecter son opposition. Cette règle découle du RGPD, appliqué par la CNIL, et du Code des postes et des communications électroniques. Les contacts de particuliers obéissent à un régime plus strict, fondé sur le consentement. Ce guide résume les obligations essentielles pour un CRM, les pièges fréquents et les bonnes pratiques de gestion des données. Il ne remplace pas un avis juridique.
Pourquoi votre CRM est un traitement de données personnelles
Dès que vous enregistrez le nom, l'e-mail professionnel, le téléphone ou la fonction d'une personne, même agissant au nom d'une entreprise, vous traitez des données personnelles. Votre entreprise est responsable de traitement et doit respecter les principes du RGPD : finalité déterminée, licéité, minimisation, exactitude, limitation de la conservation, sécurité. Le CRM est donc un outil de conformité autant qu'un outil commercial.
Étape 1 : définir les finalités et la base légale
Écrivez pour quelles raisons vous utilisez les données : gestion de la relation commerciale avec les clients, prospection, suivi des devis, facturation. À chaque finalité correspond une base légale prévue par l'article 6 du RGPD. Pour un CRM de PME, les plus courantes sont :
- l'exécution d'un contrat ou de mesures précontractuelles : suivi d'un devis demandé par un prospect, gestion d'un client ;
- l'intérêt légitime : prospection commerciale auprès de professionnels, sous réserve de mettre en balance vos intérêts et les droits des personnes ;
- le consentement : par exemple pour une newsletter à des particuliers, ou lorsque la réglementation l'exige ;
- l'obligation légale : conservation des factures et des pièces comptables.
Étape 2 : respecter les règles de prospection
Les règles dépendent du canal et de la qualité du destinataire. Pour les prospects professionnels, le principe retenu par la CNIL est le suivant (à vérifier sur son site, car les recommandations évoluent) :
| Canal | Prospect professionnel (B2B) | Particulier (B2C) |
|---|---|---|
| Sans consentement préalable si l'offre est en rapport avec la fonction du destinataire, avec information et possibilité simple de s'opposer | Consentement préalable, avec exceptions limitées pour les clients et produits analogues | |
| Téléphone avec opérateur | Possible avec information et droit d'opposition | Possible sauf inscription à la liste d'opposition Bloctel |
| SMS ou automate d'appel | Mêmes règles que l'e-mail, à vérifier selon la situation | Consentement préalable |
| Courrier postal | Possible avec droit d'opposition | Possible avec droit d'opposition |
Dans tous les cas, chaque message de prospection par voie électronique doit permettre de se désabonner facilement, mentionner l'identité de l'émetteur et ne pas masquer l'expéditeur. Le désabonnement doit être pris en compte rapidement et reporté dans le CRM pour que personne ne relance la personne par un autre canal.
Les contacts d'entrepreneurs individuels et de professions libérales sont des cas à part : la CNIL les assimile en général à des professionnels lorsqu'ils sont sollicités en cette qualité, mais vérifiez la doctrine à jour avant de lancer une campagne.
Étape 3 : informer les personnes
Les articles 13 et 14 du RGPD imposent d'informer les personnes : identité du responsable, finalités, base légale, destinataires, durée de conservation, droits, droit d'introduire une réclamation auprès de la CNIL, et, quand les données n'ont pas été collectées auprès de la personne, la source. Dans la pratique, une PME informe :
- sur son site, par une politique de confidentialité accessible ;
- dans le premier message de prospection, par une mention courte renvoyant à cette politique ;
- sur les formulaires de contact, devis et inscriptions.
Quand vous récupérez des données depuis une source publique (site web de l'entreprise, annuaire professionnel), vous devez informer la personne au plus tard lors du premier contact, ou au plus tard dans un délai d'un mois.
Étape 4 : gérer les droits des personnes
Une personne peut demander l'accès à ses données, leur rectification, leur effacement, la limitation du traitement, et s'opposer à la prospection. L'opposition à la prospection est un droit absolu : vous devez l'honorer. Prévoyez dans le CRM :
- un champ ou une étiquette « opposition à la prospection » qui exclut automatiquement la personne des campagnes ;
- une procédure pour répondre dans le délai d'un mois, éventuellement prolongeable dans certains cas ;
- la possibilité d'exporter ou de supprimer une fiche et les données associées, y compris dans les sauvegardes selon leur cycle de rotation.
Ne supprimez pas totalement une personne qui s'est opposée si cela vous empêche de respecter son choix : conservez le strict minimum nécessaire (une liste d'opposition) pour ne plus la solliciter.
Étape 5 : fixer des durées de conservation
Les données ne peuvent pas être conservées indéfiniment. Pour les prospects, la CNIL recommande en général une durée de trois ans à compter du dernier contact émanant du prospect (par exemple une demande de documentation ou un clic dans un message). Pour les clients, les données sont conservées pendant la relation contractuelle, puis archivées pendant les durées légales applicables (par exemple pour les pièces comptables). Vérifiez les durées exactes dans les recommandations de la CNIL et dans les textes applicables. Exemple d'application : une fiche de prospect sans aucune interaction depuis plus de trois ans est anonymisée ou supprimée lors d'une revue annuelle. Beaucoup de CRM permettent de filtrer les fiches inactives pour faciliter cette purge.
Étape 6 : encadrer le sous-traitant
L'éditeur de votre CRM est un sous-traitant au sens de l'article 28 : un contrat doit encadrer son intervention. Il doit comprendre l'objet et la durée, la nature des données, les mesures de sécurité, l'assistance aux droits des personnes, la notification des violations, la gestion des sous-traitants ultérieurs et le sort des données à la fin du contrat. Pour les transferts hors Union européenne, vérifiez le mécanisme juridique utilisé. Voir notre guide sur les critères éditeur français ou international.
Étape 7 : documenter
Le registre des activités de traitement (article 30) est en pratique nécessaire pour un CRM, car le traitement n'est pas occasionnel. Il décrit la finalité, les catégories de données et de personnes, les destinataires, les durées et les mesures de sécurité. La CNIL met à disposition un modèle de registre pour les petites structures. Conservez aussi les preuves : accord de sous-traitance, politique de confidentialité, procédure de gestion des demandes.
Sécurité et violations de données
Appliquez des mesures proportionnées : mots de passe robustes, authentification à deux facteurs, droits d'accès limités selon le rôle, sauvegardes, désactivation rapide des comptes des salariés partis. En cas de violation de données susceptible de présenter un risque pour les personnes, vous devez la notifier à la CNIL dans un délai de soixante-douze heures après en avoir pris connaissance, et informer les personnes concernées si le risque est élevé. Les sanctions peuvent atteindre vingt millions d'euros ou 4 % du chiffre d'affaires mondial pour les manquements les plus graves ; la CNIL tient compte de la taille de l'entreprise et de la bonne foi.
Exemple de mention d'information (à adapter)
« Vos coordonnées professionnelles sont utilisées par [nom de l'entreprise] pour vous proposer ses services en rapport avec votre activité. Vous pouvez vous opposer à ces messages à tout moment en cliquant sur le lien de désinscription ou en écrivant à [adresse]. Plus d'informations dans notre politique de confidentialité. » Ce texte est un exemple et ne constitue pas un modèle validé juridiquement.
Quand consulter un professionnel
Une campagne massive, l'achat de fichiers, des données sensibles ou un projet de profilage justifient l'avis d'un juriste ou d'un délégué à la protection des données. La CNIL propose des guides, un service de questions pour les professionnels et des modèles gratuits.
Questions fréquentes
Puis-je acheter un fichier de contacts professionnels ?
C'est possible sous conditions, mais vous restez responsable : vérifiez l'origine des données, les informations transmises aux personnes et les conditions de réutilisation. Un fichier douteux est un risque juridique et d'image.
Dois-je demander le consentement pour prospecter un professionnel par e-mail ?
Pas en principe si le message est en rapport avec sa fonction et si les règles d'information et d'opposition sont respectées. Les règles évoluent : vérifiez le site de la CNIL.
Un CRM gratuit dispense-t-il de ces règles ?
Non. Les obligations pèsent sur votre entreprise quel que soit le prix de l'outil.
Sources
- CNIL — prospection commerciale, registre des traitements, durées de conservation, violations de données.
- Légifrance — texte du RGPD et du Code des postes et des communications électroniques.
- Service-Public Entreprendre — informations pour les professionnels.
