RGPD et collecte de données clients : la checklist à vérifier avant votre prochain lancement

Introduction

En quelques mois, une activité digitale change de visage. Un nouveau formulaire de capture apparaît sur le site, une newsletter est lancée, un CRM remplace un tableur, un outil d’emailing s’ajoute au tunnel de vente, et un prestataire américain vient héberger la base de contacts. Chaque brique, prise isolément, semble anodine. Ensemble, elles dessinent pourtant une collecte de données personnelles qui n’a souvent jamais été cartographiée.

Or c’est précisément à ce moment, celui de la croissance, que les angles morts apparaissent. Une réclamation, une demande d’accès un peu insistante ou un contrôle de la Commission nationale de l’informatique et des libertés suffisent alors à révéler des fragilités qui auraient pu être corrigées en quelques heures.

Je vous propose ici une lecture ordonnée de vos obligations, pensée pour un dirigeant ou un infopreneur qui vend en ligne. L’objectif n’est pas de vous noyer sous le Règlement général sur la protection des données, mais de vous donner une grille de vérifications à passer avant votre prochain lancement.

1. Définir une finalité et une base juridique pour chaque collecte

Le RGPD repose sur une logique simple. Vous devez savoir pourquoi vous collectez une donnée avant même de la demander. Chaque traitement doit répondre à une finalité déterminée, explicite et légitime, conformément à l’article 5 du règlement. Récolter des informations « au cas où elles serviraient un jour » est exactement ce que le texte proscrit.

La finalité ne suffit pas. Pour chaque traitement, vous devez également pouvoir désigner une base juridique parmi celles qu’énumère l’article 6. Les plus fréquentes dans un business en ligne sont l’exécution du contrat, lorsque vous traitez les données nécessaires pour livrer une commande ou donner accès à une formation, le consentement, lorsque la personne accepte librement de recevoir vos communications marketing, l’intérêt légitime, à condition qu’il ne porte pas une atteinte disproportionnée aux droits des personnes, et l’obligation légale, qui commande par exemple la conservation de certaines pièces comptables.

Deux réflexes sont à éviter. Le premier consiste à invoquer systématiquement le consentement, y compris là où il n’est pas nécessaire. Le second revient à faire de l’intérêt légitime une justification passe-partout, alors qu’il suppose une véritable mise en balance des intérêts en présence. À mon sens, l’exercice le plus utile reste le plus concret. Reprenez la liste de vos traitements et associez à chacun une finalité en une phrase et une base juridique. Si l’un des deux vous manque, l’ajustement s’impose.

2. Informer clairement les personnes concernées

Collecter des données sans expliquer ce que vous allez en faire revient à faire signer un document sans laisser le temps de le lire. Le règlement impose donc une obligation de transparence, précisée aux articles 12 à 14. Au moment de la collecte, la personne doit comprendre sans effort ce qu’elle accepte.

Votre information doit notamment préciser qui est le responsable du traitement, quelles données sont collectées, pour quelles finalités et sur quelle base juridique, combien de temps elles seront conservées, qui peut y accéder, si des transferts sont réalisés, quels sont les droits des personnes et comment les exercer, ainsi que la possibilité d’introduire une réclamation auprès de la CNIL.

Cette information doit rester accessible. Une politique de confidentialité dissimulée en pied de page ou rédigée dans un vocabulaire technique ne répond pas à l’esprit du texte. Le test est simple. Relisez votre politique comme le ferait l’un de vos clients. Si vous ne comprenez pas immédiatement ce qu’il advient de vos données, simplifiez.

3. Recueillir un consentement conforme et sécuriser la prospection par e-mail

Le consentement est la notion la plus connue du règlement, et l’une des plus mal appliquées. Il n’est pas requis pour tous les traitements, mais uniquement lorsqu’aucune autre base juridique n’est adaptée. Lorsqu’il l’est, l’article 7 impose qu’il soit libre, spécifique, éclairé et univoque. Les cases précochées appartiennent donc au passé, et la personne doit pouvoir le retirer aussi facilement qu’elle l’a donné.

Un point mérite une vigilance particulière, car il échappe souvent aux entrepreneurs du digital. L’envoi d’e-mails commerciaux à des particuliers n’obéit pas au seul RGPD. Il relève aussi de l’article L. 34-5 du Code des postes et des communications électroniques, qui pose un principe de consentement préalable, l’opt-in. L’intérêt légitime ne vous dispense donc pas de recueillir ce consentement pour votre newsletter ou vos offres promotionnelles adressées à des consommateurs.

Deux tempéraments existent néanmoins. Vous pouvez écrire à un client existant au sujet de produits ou services analogues à ceux qu’il vous a déjà achetés, à condition de lui offrir à chaque envoi un moyen simple de se désinscrire. Par ailleurs, la prospection entre professionnels bénéficie d’un régime allégé dès lors que le message est en rapport avec la profession de la personne démarchée. Vous devez enfin être en mesure de démontrer que le consentement a bien été obtenu, ce qui suppose de conserver la date, l’origine et la version du formulaire utilisé.

4. Ne collecter que le nécessaire et fixer des durées de conservation

Le RGPD consacre un principe de minimisation. Vous ne devez collecter que les données réellement utiles à la finalité poursuivie. Un formulaire de contact appelle généralement un nom, une adresse électronique et le contenu de la demande. Réclamer une date de naissance ou un numéro de téléphone sans justification particulière expose votre activité sans contrepartie. J’ajoute une observation d’ordre commercial. Un formulaire trop long décourage vos prospects et pèse sur vos taux de conversion. Ici, la conformité et la performance vont dans le même sens.

Le principe de limitation de la conservation prolonge cette logique. Les données ne doivent pas être conservées au-delà de ce qui est nécessaire au regard de leur finalité. Chaque catégorie de données doit donc être associée à une durée définie à l’avance. Les informations liées à une commande peuvent être conservées le temps de l’exécution du contrat, puis archivées pour répondre aux obligations légales applicables. Les données de prospection ne doivent pas demeurer indéfiniment dans vos bases, et les comptes inactifs méritent un réexamen régulier. Un ménage périodique dans vos fichiers reste l’une des actions les plus simples pour renforcer votre conformité.

5. Tenir un registre des traitements à jour

Le registre des traitements est souvent perçu comme une formalité réservée aux grandes entreprises. C’est une erreur. Prévu par l’article 30 du règlement, il recense les finalités, les catégories de données et de personnes, les destinataires, les sous-traitants, les durées de conservation et les mesures de sécurité. Il constitue le premier document que réclame la CNIL en cas de contrôle, et le meilleur outil pour piloter votre conformité au quotidien.

Une dispense partielle existe pour les organismes de moins de deux cent cinquante salariés. Elle ne joue toutefois que pour les traitements occasionnels, sans données sensibles et sans risque particulier. Or la gestion de vos clients, de vos prospects et de vos salariés constitue un traitement régulier. En pratique, cette dispense ne vous concerne donc quasiment jamais, et la tenue d’un registre demeure la règle. La CNIL met à disposition un modèle de registre qui suffit à la plupart des structures.

6. Encadrer vos sous-traitants et vos transferts hors de l’Union

Votre conformité ne dépend pas seulement de vos pratiques internes. Elle repose aussi sur les outils auxquels vous confiez des données. Solution d’emailing, CRM, hébergeur, plateforme de paiement, outil de prise de rendez-vous. Dès qu’un tiers traite des données pour votre compte, il agit comme sous-traitant. L’article 28 du règlement impose alors la conclusion d’un contrat de sous-traitance, souvent désigné par son sigle anglais DPA, qui encadre précisément ce que le prestataire peut faire de vos données. Cet accord n’a rien de facultatif.

La question des transferts hors de l’Union européenne appelle une attention supplémentaire. Beaucoup d’outils du digital sont américains. Un prestataire des États-Unis certifié au titre du Data Privacy Framework peut recevoir vos données sur le fondement de la décision d’adéquation de la Commission européenne du 10 juillet 2023. À défaut de certification, il faut prévoir d’autres garanties, telles que les clauses contractuelles types. Ce dispositif a été confirmé en première instance par le Tribunal de l’Union européenne, mais sa pérennité demeure discutée. Selon mon analyse, il reste prudent de vérifier la certification de vos outils sensibles et de documenter vos choix, plutôt que d’adosser durablement vos traitements à un cadre encore susceptible d’évolution.

7. Sécuriser les données et garantir l’exercice des droits

L’article 32 du règlement impose des mesures de sécurité adaptées aux risques. Le texte ne fixe pas de liste universelle. Il retient une approche pragmatique, selon laquelle plus les risques sont élevés, plus la protection doit être renforcée. Mots de passe robustes et uniques, double authentification lorsqu’elle est possible, limitation des accès aux seules personnes habilitées, mises à jour régulières, sauvegardes et procédure en cas de violation constituent le socle attendu d’une petite structure.

Le règlement confère enfin aux personnes concernées un véritable pouvoir de contrôle, à travers les droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité prévus aux articles 15 à 22. Encore faut-il qu’elles puissent les exercer simplement. Prévoyez une adresse dédiée et des instructions claires dans votre politique de confidentialité. La bonne question à vous poser est directe. Si un client vous demandait aujourd’hui quelles données vous détenez sur lui, sauriez-vous lui répondre rapidement ?

REPÈRE PRATIQUE 

Pour choisir une base juridique, procédez par élimination. Le traitement est-il indispensable pour délivrer ce que le client a acheté ? Retenez l’exécution du contrat.

La loi vous impose-t-elle de conserver la donnée ? Retenez l’obligation légale.

S’agit-il d’une prospection commerciale adressée à un particulier ? Le consentement s’impose, doublé de l’opt-in de l’article L. 34-5 du Code des postes et des communications électroniques. Ce n’est qu’en dernier recours, et après une mise en balance sérieuse, que l’intérêt légitime trouve sa place.

Erreurs fréquentes

Certaines fragilités reviennent avec régularité chez les entrepreneurs du web.

  1. Conserver des cases précochées, alors que le consentement suppose une action positive de la personne.
  2. Copier une politique de confidentialité trouvée en ligne, sans l’ajuster à ses propres traitements.
  3. Oublier les outils marketing, CRM, pixels publicitaires et solutions d’analyse, qui traitent eux aussi des données personnelles.
  4. Conserver des données sans limite de durée, ce qui augmente l’exposition en cas d’incident.
  5. Recourir à des prestataires sans vérifier leurs garanties ni signer d’accord de sous-traitance.

Checklist avant lancement

Vérifiez que vous pouvez répondre par l’affirmative à chacun de ces points.

  1. La finalité de chaque collecte est définie.
  2. Une base juridique est associée à chaque traitement.
  3. Les personnes concernées sont clairement informées.
  4. Le consentement est recueilli lorsque le RGPD et l’article L. 34-5 du Code des postes et des communications électroniques l’imposent.
  5. Les données collectées sont limitées à ce qui est utile.
  6. Une durée de conservation est fixée pour chaque catégorie de données.
  7. Le registre des traitements est à jour.
  8. Chaque sous-traitant présente des garanties suffisantes et un accord encadre le traitement.
  9. Des mesures de sécurité protègent les données collectées.
  10. Les personnes peuvent exercer facilement leurs droits.

Conclusion

Le RGPD n’a pas vocation à freiner votre développement. Bien intégré à votre fonctionnement, il structure votre activité, rassure vos clients et sécurise vos lancements. Les corrections utiles sont, dans la plupart des cas, rapides à mettre en œuvre, à condition de les identifier avant qu’une réclamation ou un contrôle ne les révèle.

Reste une question, plus stratégique que technique. Votre collecte de données, telle qu’elle fonctionne réellement aujourd’hui, correspond-elle encore à ce que vous voudriez pouvoir démontrer demain ?

 

Vous préparez un lancement, changez d’outil ou souhaitez sécuriser la collecte de données de votre activité digitale ? Faisons le point ensemble.

Romain BRIERE

Avocat au barreau de Grasse

romain.briere@avocat.fr

Prendre rendez-vous : consultation.avocat.fr

Sources et références

  1. Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), article 5 : principes de finalité, de minimisation et de limitation de la conservation.
  2. RGPD, article 6 : bases juridiques du traitement.
  3. RGPD, article 7 : conditions du consentement.
  4. RGPD, articles 12 à 14 : obligation d’information et de transparence.
  5. RGPD, articles 15 à 22 : droits des personnes concernées.
  6. RGPD, article 28 : obligations relatives au sous-traitant et contrat de sous-traitance.
  7. RGPD, article 30 : registre des activités de traitement, avec dispense limitée pour les organismes de moins de 250 salariés.
  8. RGPD, article 32 : sécurité du traitement.
  9. Article L. 34-5 du Code des postes et des communications électroniques : consentement préalable à la prospection directe par voie électronique.
  10. Décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 (EU-US Data Privacy Framework) : adéquation encadrant les transferts vers les organisations américaines certifiées. Le recours dirigé contre cette décision a été rejeté par le Tribunal de l’Union européenne le 3 septembre 2025.