CRM et RGPD : Les bonnes pratiques

Accueil Blog RGPD CRM et RGPD : Les bonnes pratiques

Crédits photo : Freepik

Dans l’ère actuelle, où les données sont devenues le carburant essentiel propulsant les entreprises vers le succès, la protection de la vie privée occupe une place prépondérante. Le Règlement Général sur la Protection des Données a transformé le paysage de la collecte, du stockage et du traitement des données personnelles. Au cœur de cette révolution réglementaire se trouve un défi majeur pour les entreprises : comment concilier l’exploitation efficace des données de vos contacts avec le respect de leurs droits et libertés ?

C’est dans ce contexte complexe que les logiciels de Gestion de la Relation Client jouent un rôle capital. Ces outils, conçus pour optimiser la gestion des données clients et prospects, leur fidélisation et améliorer l’interaction avec ces derniers, se trouvent désormais au carrefour des exigences strictes du RGPD.

Comment pouvez-vous naviguer dans au seins des réglementations tout en tirant pleinement parti des avantages offerts par votre outil CRM ?

Dans cet article, nos experts vous confient leurs conseils et astuces afin d’associer traitement de données à caractère personnel au sein des CRM et leur protection.

Assurez-vous que vous avez le droit de traiter les données personnelles présentes dans votre CRM

Cet élément fait référence au principe de licéité. En effet, en tant que responsable du traitement, vous ne pouvez pas enregistrer toutes les données que vous souhaitez dans votre CRM. Votre traitement doit reposer sur une base légale¹.

Dans le cadre de la relation commerciale et de la prospection, les entreprises rencontrent principalement quatre bases légales :

Le consentement, par exemple dans le cadre de prospection en B2C
L’intérêt légitime, par exemple dans le cadre de prospection B2C sur des biens et services analogues, ou par la prospection en B2B
Le contrat, par exemple dans le cadre du traitement de l’adresse d’un client pour livrer un produit commandé.
L’obligation légale, par exemple dans le cadre de l’édition et de la conservation d’une facture.

+ Lorsqu’un traitement repose sur le consentement, rappelons que vous avez l’obligation de conserver une preuve de ce dernier : votre CRM peut être l’outil permettant de conserver cette preuve.

Limitez les zones de commentaires libres ou définissez des règles d’usage

Lorsque vous traitez des données personnelles vous devez le faire dans un but précis et chaque donnée que vous conservez doit vous permettre d’atteindre une finalité définie au préalable. Si vous détenez des donnés qui ne s’inscrivent pas dans les finalités que vous poursuivez ou qui ne vous sont pas utiles, cela signifie que vous ne respectez pas les principes de minimisation et de proportionnalité des données.

Les zones de commentaires, fonctionnalité largement utilisée au sein des CRM, présentent donc un risque pour le bon respect de ces principes. En effet, les salariés peuvent ajouter des éléments librement, qui ne sont pas forcément nécessaires pour atteindre la finalité poursuivie. Par exemple, inscrire des informations sur l’orientation sexuelle ou l’état de santé d’une personne, ce qui n’est pas nécessaire dans le cadre d’activités liées à la prospection (d’autant plus lorsqu’il peut s’agir de données sensibles). Il est ainsi important de bien cadrer les informations inscrites au sein de votre CRM.

Définissez et appliquez des durées de conservation

Le RGPD impose une conservation des données personnelles limitée dans le temps. En d’autres termes, vous ne pouvez pas conserver les données dans votre CRM de manière indéfinie. Il sera donc nécessaire de définir une durée de rétention² et de l’appliquer.

En matière de prospection, la CNIL recommande de conserver les données 3 ans³ à compter du dernier contact avec le prospect. A l’issue de cette période, il faudra par principe supprimer le prospect de votre CRM.

L’idéal, pour faciliter l’activité quotidienne des opérationnels utilisant le CRM, est que votre outil vous permette de paramétrer des durées de conservation afin d’assurer une purge automatique des données, en tirant profit des fonctionnalités d’automatisation de votre solution CRM.

Rappelons qu’une durée de conservation est à définir pour chaque donnée au regard de la finalité de traitement. Par exemple, il est possible que votre CRM soit aussi l’outil utilisé pour conserver vos factures client. Le Code du commerce impose une conservation des factures pendant 10 ans⁴, ce qui signifie que les factures doivent être conservées pendant cette période dans votre CRM. Il faudra alors que vous soyez en mesure de définir plusieurs règles de conservation des données au sein de votre CRM en fonction d’un type de fiche (client / prospect) ou de cas d’usage.

Assurez le droit d’opposition

Toute personne concernée dispose de droits sur ses données. L’un des droits le plus exercé dans le cadre de la prospection commerciale ou des actions marketing est le droit d’opposition : les personnes dont vous traitez des données doivent pouvoir s’opposer à tout moment à recevoir de la prospection de votre part, via un lien hypertexte disponible dans votre mail de prospection par exemple. Si une personne s’oppose à recevoir de la prospection de votre part, il est important de tracer cette information dans votre CRM afin de vous assurer de respecter sa demande dans le temps, et ce par l’ensemble des équipes commerciales et marketing, sous la surveillance du Délégué à la Protection des Données.

Tout comme pour la durée de conservation, des actions automatiques de votre CRM faciliteront l’activité quotidienne de vos collaborateurs, au service, notamment, de l’entretient de la satisfaction client.

Gérez les accès à votre CRM

Un autre principe du RGPD est la sécurité des données. Au sein d’une entreprise, le CRM est souvent un outil accessible à un grand nombre de salariés pour répondre aux besoins opérationnels de chacun des métiers.

Une gestion des habilitations est donc un point crucial dans la gestion de votre CRM : tout le monde ne doit pas avoir accès à l’outil dans son intégralité. Chaque collaborateur doit uniquement accéder aux informations qu’il a besoin de connaître dans le cadre de son activité.

Ceci peut être réalisée par secteur géographique pour les commerciaux, par niveau hiérarchique ou encore par service dans l’entreprise.

Indiquez pour chaque fiche prospect la source de collecte des données

Les personnes concernées disposent d’un droit d’information sur les traitements que vous réalisez. Dans le cadre d’une collecte de données directe vous devez fournir un certain nombre d’information avant de collecter les données, et dans le cadre d’une collecte indirecte, au moment du premier contact et au plus tard dans un délai d’un mois.

Dans le cadre d’une collecte indirecte, l’une des informations à fournir est la source de la collecte.

Il est donc important d’avoir en mémoire cette source pour répondre à votre obligation d’information des personnes, lors du premier contact, ou bien si une personne vous contacte par la suite pour vous demander comment vous avez eu ses données.