Données clients RGPD : que conserver, combien de temps, quels risques

Sommaire

Quelles données clients le RGPD encadre-t-il ?

Sur quelle base légale traiter les données clients

Prospection B2B et B2C : règles de consentement différentes

Durée de conservation des données clients RGPD

Droits des clients et délais de réponse

Sécurité, sous-traitants et registre des traitements

Contrôles CNIL et sanctions encourues par l'entreprise

FAQ

Pour aller plus loin

Une entreprise accumule des données clients dans son CRM, son logiciel de facturation et ses outils de prospection. Le RGPD (Règlement général sur la protection des données) encadre chacun de ces usages : il exige une base légale, une durée de conservation limitée et des mesures de sécurité. Pour un DSI, la conformité des données clients RGPD se traduit en paramétrages concrets : champs de consentement, purges automatiques, contrats avec les éditeurs.

Quelles données clients le RGPD encadre-t-il ?

Le RGPD encadre toute donnée qui identifie directement ou indirectement une personne physique, y compris chez un client professionnel. L'adresse prenom.nom@societe.fr d'un acheteur est une donnée personnelle ; le numéro SIREN de sa société ne l'est pas.

Le traitement désigne toute opération sur ces données : collecte, stockage, consultation, export ou suppression. Une synchronisation entre le CRM et l'outil d'emailing constitue donc un traitement à documenter.

Sur quelle base légale traiter les données clients

Le RGPD impose de rattacher chaque traitement à une base légale, c'est-à-dire au fondement juridique qui autorise l'usage des données. Pour un fichier client :

• Exécution du contrat : traiter la commande, livrer, facturer.
• Obligation légale : conserver les factures et les pièces comptables.
• Intérêt légitime : prospecter un client existant ou prévenir la fraude, si l'intérêt de l'entreprise ne l'emporte pas sur les droits du client.
• Consentement : accord libre, spécifique et éclairé, requis notamment pour la prospection électronique des particuliers.

La base légale se choisit avant la collecte. En effet, un client peut retirer son consentement à tout moment, alors que la base contractuelle cesse avec le contrat. Un même fichier mobilise ainsi plusieurs bases selon la finalité, c'est-à-dire l'objectif de chaque usage. Le référentiel de la CNIL relatif à la gestion des activités commerciales (délibération n° 2021-131 du 23 septembre 2021) détaille ces finalités et les bases associées.

Le choix d'une base légale pour chaque usage du fichier client détermine les durées de conservation et les droits que les clients pourront exercer.
Consulter un avocat en protection des données

Prospection B2B et B2C : règles de consentement différentes

La prospection par email obéit à 2 régimes selon que le destinataire est un particulier ou un professionnel.

En B2C, le principe est le consentement préalable (opt-in) : le particulier accepte les messages commerciaux avant le premier envoi. Une exception vise les clients existants, sollicités pour des produits analogues, s'ils ont pu s'y opposer lors de la collecte.

En B2B, le régime repose sur l'information et le droit d'opposition (opt-out) : le professionnel est informé et peut refuser les envois. Le message doit toutefois porter sur sa fonction : proposer un logiciel de paie à un DRH est admis, une offre de voyage personnel ne l'est pas.

Par conséquent, le CRM doit enregistrer pour chaque contact la source de collecte, la date et le statut de consentement ou d'opposition.

Durée de conservation des données clients RGPD

Le RGPD ne fixe aucune durée chiffrée : il impose de conserver les données le temps nécessaire à la finalité. La CNIL a traduit ce principe en durées de référence pour la durée de conservation des données clients :

Une réponse du prospect à un email relance le délai, alors qu'un envoi de l'entreprise ne le relance pas.

À l'échéance, les données sont supprimées ou anonymisées, c'est-à-dire rendues définitivement non rattachables à une personne. Celles encore utiles pour une obligation légale ou un contentieux passent en archivage intermédiaire : une base séparée, à accès restreint. Une politique de conservation des données clients conforme au RGPD suppose donc des purges automatisées dans chaque outil, y compris les exports et les sauvegardes.

Droits des clients et délais de réponse

L'entreprise doit répondre à toute demande d'exercice des droits dans un délai de 1 mois à compter de sa réception. Ce délai peut être prolongé de 2 mois selon la complexité ou le nombre de demandes, à condition d'en informer le client dans le premier mois (article 12 du RGPD).

• Accès : copie des données détenues et informations sur leur usage.
• Rectification : correction d'une donnée inexacte.
• Effacement : suppression lorsque la donnée n'est plus nécessaire ou que le traitement est illicite.
• Opposition : arrêt de la prospection, sans justification.
• Portabilité : remise des données dans un format structuré et lisible par machine.

Le droit à l'effacement a des limites : une facture conservée au titre de l'obligation comptable de 10 ans ne peut pas être supprimée sur demande. Pour tenir le délai, l'équipe IT doit localiser toutes les données d'un client à partir d'un identifiant unique, dans le CRM comme dans les outils tiers.

Un délai de réponse de 1 mois suppose une procédure interne et une cartographie à jour des données clients.
Échanger avec un avocat spécialisé en protection des données

Sécurité, sous-traitants et registre des traitements

L'entreprise protège les données clients par des mesures adaptées au risque : habilitations, chiffrement, journalisation des accès, sauvegardes testées. En cas de violation de données, c'est-à-dire de perte, d'accès non autorisé ou de divulgation, elle la notifie à la CNIL dans les 72 heures après en avoir pris connaissance (article 33 du RGPD).

Les éditeurs de CRM, hébergeurs cloud et prestataires d'emailing sont des sous-traitants : ils traitent les données pour le compte de l'entreprise. Le RGPD impose un contrat qui fixe leurs obligations : instructions documentées, confidentialité, sécurité, sort des données en fin de contrat et droit d'audit.

Le registre des traitements recense chaque traitement avec sa finalité, les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité. Il sert de base de travail lors d'un contrôle de la CNIL.

Contrôles CNIL et sanctions encourues par l'entreprise

La CNIL contrôle une entreprise à la suite d'une plainte, d'une violation notifiée ou de sa propre initiative, sur place, en ligne ou sur pièces. Sur un fichier client, elle vérifie :

1. Base légale documentée pour chaque finalité.
2. Information des clients et prospects lors de la collecte.
3. Durées de conservation appliquées et purges effectives.
4. Sécurité des accès et contrats avec les sous-traitants.
5. Traitement des demandes dans les délais.

L'amende administrative peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83 du RGPD). Son montant tient compte de la gravité, de la durée du manquement et de la coopération de l'entreprise. Par ailleurs, un client peut demander réparation devant le juge du préjudice causé par un traitement non conforme.

FAQ

Combien de temps conserver les données d'un prospect ?

Les données d'un prospect se conservent 3 ans à compter de la collecte ou du dernier contact émanant de lui, selon le référentiel de la CNIL. Au terme de ce délai, l'entreprise peut le recontacter pour obtenir son accord ; à défaut, elle supprime les données.

Faut-il un consentement pour prospecter un professionnel par email ?

Non, la prospection B2B repose sur l'information du destinataire et son droit d'opposition. Le message doit toutefois concerner sa profession et contenir un lien de désinscription.

Un client peut-il exiger la suppression de ses factures ?

Non, les pièces comptables relèvent d'une obligation légale de conservation de 10 ans. L'entreprise peut en revanche supprimer les données qui ne servent plus à la gestion du contrat ni à la prospection.

Que faire en cas de fuite de données clients ?

L'entreprise notifie la violation à la CNIL dans les 72 heures après en avoir pris connaissance. Elle documente l'incident et informe les personnes concernées lorsque le risque pour elles est élevé.

Le RGPD s'applique-t-il aux contacts d'une entreprise cliente ?

Oui, dès que la donnée identifie une personne physique, comme un nom ou un email nominatif. Seules les données de la personne morale, comme la raison sociale, sortent du champ du RGPD.

Pour aller plus loin

Référentiel relatif aux traitements de données mis en œuvre aux fins de gestion des activités commerciales - Légifrance

Questions-réponses sur les référentiels gestion des activités commerciales et impayés - CNIL

Guide pratique : les durées de conservation - CNIL

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin, qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire, de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.