CRM et RGPD : Les bonnes pratiques
Dans l’ère actuelle, où les données sont devenues le carburant essentiel propulsant les entreprises vers le succès, la protection de la vie privée occupe une place prépondérante. Le RGPD a transformé le paysage de la collecte, du stockage et du traitement des données personnelles. Cet article vous guide pour concilier exploitation efficace des données de vos contacts et respect de leurs droits et libertés, en particulier dans vos outils CRM.
Assurez-vous que vous avez le droit de traiter les données personnelles présentes dans votre CRM
Cet élément fait référence au principe de licéité. En effet, en tant que responsable du traitement, vous ne pouvez pas enregistrer toutes les données que vous souhaitez dans votre CRM. Votre traitement doit reposer sur une base légale1.
Dans le cadre de la relation commerciale et de la prospection, les entreprises rencontrent principalement quatre bases légales :
- Le consentement, par exemple dans le cadre de prospection en B2C
- L’intérêt légitime, par exemple pour la prospection B2C sur des biens et services analogues, ou en B2B
- Le contrat, par exemple pour traiter l’adresse d’un client pour livrer un produit commandé
- L’obligation légale, par exemple pour l’édition et la conservation d’une facture
Lorsqu’un traitement repose sur le consentement, vous avez l’obligation de conserver une preuve de ce dernier : votre CRM peut être l’outil permettant de le faire.
Limitez les zones de commentaires libres ou définissez des règles d’usage
Lorsque vous traitez des données personnelles vous devez le faire dans un but précis et chaque donnée que vous conservez doit vous permettre d’atteindre une finalité définie au préalable. Si vous détenez des donnés qui ne s’inscrivent pas dans les finalités que vous poursuivez ou qui ne vous sont pas utiles, cela signifie que vous ne respectez pas les principes de minimisation et de proportionnalité des données.
Les zones de commentaires, fonctionnalité largement utilisée au sein des CRM, présentent donc un risque pour le bon respect de ces principes. En effet, les salariés peuvent ajouter des éléments librement, qui ne sont pas forcément nécessaires pour atteindre la finalité poursuivie. Par exemple, inscrire des informations sur l’orientation sexuelle ou l’état de santé d’une personne, ce qui n’est pas nécessaire dans le cadre d’activités liées à la prospection (d’autant plus lorsqu’il peut s’agir de données sensibles). Il est ainsi important de bien cadrer les informations inscrites au sein de votre CRM.
Définissez et appliquez des durées de conservation
Le RGPD impose une conservation des données personnelles limitée dans le temps. En d’autres termes, vous ne pouvez pas conserver les données dans votre CRM de manière indéfinie. Il sera donc nécessaire de définir une durée de rétention2 et de l’appliquer.
En matière de prospection, la CNIL recommande de conserver les données 3 ans3 à compter du dernier contact avec le prospect. A l’issue de cette période, il faudra par principe supprimer le prospect de votre CRM.
L’idéal, pour faciliter l’activité quotidienne des opérationnels utilisant le CRM, est que votre outil vous permette de paramétrer des durées de conservation afin d’assurer une purge automatique des données, en tirant profit des fonctionnalités d’automatisation de votre solution CRM.
Rappelons qu’une durée de conservation est à définir pour chaque donnée au regard de la finalité de traitement. Par exemple, il est possible que votre CRM soit aussi l’outil utilisé pour conserver vos factures client. Le Code du commerce impose une conservation des factures pendant 10 ans4, ce qui signifie que les factures doivent être conservées pendant cette période dans votre CRM. Il faudra alors que vous soyez en mesure de définir plusieurs règles de conservation des données au sein de votre CRM en fonction d’un type de fiche (client / prospect) ou de cas d’usage.
Assurez le droit d’opposition
Toute personne concernée dispose de droits sur ses données. L’un des droits le plus exercé dans le cadre de la prospection commerciale ou des actions marketing est le droit d’opposition : les personnes dont vous traitez des données doivent pouvoir s’opposer à tout moment à recevoir de la prospection de votre part, via un lien hypertexte disponible dans votre mail de prospection par exemple. Si une personne s’oppose à recevoir de la prospection de votre part, il est important de tracer cette information dans votre CRM afin de vous assurer de respecter sa demande dans le temps, et ce par l’ensemble des équipes commerciales et marketing, sous la surveillance du Délégué à la Protection des Données.
Tout comme pour la durée de conservation, des actions automatiques de votre CRM faciliteront l’activité quotidienne de vos collaborateurs, au service, notamment, de l’entretient de la satisfaction client.
Gérez les accès à votre CRM
Un autre principe du RGPD est la sécurité des données. Au sein d’une entreprise, le CRM est souvent un outil accessible à un grand nombre de salariés pour répondre aux besoins opérationnels de chacun des métiers.
Une gestion des habilitations est donc un point crucial dans la gestion de votre CRM : tout le monde ne doit pas avoir accès à l’outil dans son intégralité. Chaque collaborateur doit uniquement accéder aux informations qu’il a besoin de connaître dans le cadre de son activité.
Ceci peut être réalisée par secteur géographique pour les commerciaux, par niveau hiérarchique ou encore par service dans l’entreprise.
Indiquez pour chaque fiche prospect la source de collecte des données
Les personnes concernées disposent d’un droit d’information sur les traitements que vous réalisez. Dans le cadre d’une collecte de données directe vous devez fournir un certain nombre d’information avant de collecter les données, et dans le cadre d’une collecte indirecte, au moment du premier contact et au plus tard dans un délai d’un mois.
Dans le cadre d’une collecte indirecte, l’une des informations à fournir est la source de la collecte.
Il est donc important d’avoir en mémoire cette source pour répondre à votre obligation d’information des personnes, lors du premier contact, ou bien si une personne vous contacte par la suite pour vous demander comment vous avez eu ses données.
Conclusion
Le respect du RGPD dans vos outils CRM est essentiel pour protéger les données personnelles et réduire les risques juridiques. En appliquant :
- La licéité du traitement des données
- Des durées de conservation adaptées
- Le droit d’opposition des personnes
- Une gestion sécurisée des accès et des sources de collecte
…vous assurez à la fois conformité réglementaire et efficacité de vos opérations commerciales. Des solutions comme EQS Privacy Cockpit permettent de centraliser, automatiser et sécuriser ces processus pour simplifier la gestion de vos données personnelles dans votre CRM.
Sources
1 Comment choisir sa base légale, Article par Ola Mohty, experte protection des données chez EQS Group
2 Comment définir la durée de conservation, Article par Ola Mohty, experte protection des données chez EQS Group
3 Guide sur les durées de conservation de la CNIL
4 Article L123-22 du code du commerce sur la durée de conservation des documents, Légifrance
