CONFORMITE

RGPD : ce qu'un fichier de prospects vous oblige à faire

Le règlement européen s'applique dès la première ligne. Il n'y a pas de seuil, pas d'exception pour les petites structures, et une base de trois cents contacts est soumise aux mêmes règles qu'une base de trois cent mille.

La bonne nouvelle est que les obligations qui vous concernent réellement tiennent en peu de points. Cet article les expose. Il ne remplace pas l'avis d'un juriste, et si votre activité traite des données sensibles, prenez-en un.

Ce que vous avez le droit de faire

Contacter un professionnel dans le cadre de son activité ne demande pas son accord préalable. C'est ce qui rend la prospection entre entreprises possible.

Trois conditions à cela. Le message doit concerner son métier — on n'écrit pas à un plombier pour lui vendre un logiciel de radiologie. Il doit être adressé à une fonction, pas à une intimité. Et chaque message doit contenir un moyen de s'y opposer.

Vers un particulier, la règle s'inverse : il faut son consentement, donné avant, de façon claire, et vous devez pouvoir prouver qu'il l'a donné.

Ce que vous devez pouvoir faire

Le règlement donne des droits aux personnes de votre base. Chacun se traduit par une capacité concrète de votre outil.

Savoir ce que vous détenez sur elles. Quelqu'un peut vous demander ce que vous avez enregistré à son sujet. Vous devez pouvoir le lui dire, et le lui remettre dans un format lisible.

Faire corriger une erreur. Une adresse fausse, un nom mal orthographié : la correction se fait à la demande.

Être effacé. C'est le droit à l'oubli. Il n'est pas absolu — vous pouvez conserver ce qu'une obligation comptable vous impose de garder — mais pour un simple prospect, il s'applique pleinement.

Ne plus être contacté. C'est le plus fréquent, et le plus simple : un lien de désinscription dans chaque message, et une case en base qui exclut définitivement la fiche des envois suivants.

Ce dernier point mérite une précision. Se désinscrire n'est pas être effacé. Une personne désinscrite doit rester dans votre base, marquée comme telle — sinon vous la réimporterez le mois prochain et vous lui écrirez à nouveau.

Ce que vous ne devez pas garder

C'est l'obligation la plus négligée, et la plus facile à respecter.

Une donnée se conserve le temps de la finalité pour laquelle elle a été collectée. Pour un prospect qui n'est pas devenu client, la norme française retient trois ans, à compter de la collecte ou du dernier contact émanant du prospect. Passé ce délai, la fiche se supprime ou s'anonymise.

Cette dernière précision change tout, et elle est souvent mal comprise : le délai court à partir de ce que la personne a fait, pas de ce que vous lui avez envoyé. Lui écrire tous les six mois ne repousse pas l'échéance. Un clic sur un lien de votre part compte comme un contact ; la simple ouverture d'un courriel, non.

Ce n'est pas seulement une contrainte. Une base pleine de contacts morts fausse tous vos comptes, coûte des crédits d'enrichissement pour rien, et vous fait perdre du temps chaque fois que vous la parcourez.

Regardez la vôtre : combien de fiches n'ont eu aucune interaction depuis deux ans ?

Le registre

Toute organisation qui traite des données personnelles doit tenir un registre de ses traitements. Pour une petite structure, c'est un document, pas un projet.

Il décrit ce que vous collectez, pourquoi, d'où cela vient, qui y a accès, combien de temps vous le gardez et comment c'est protégé. Une page suffit souvent.

Personne ne vous le demandera tant que rien ne se passe. En cas de contrôle ou de plainte, c'est la première chose réclamée.

Où vivent vos données

Deux questions à poser à tout éditeur, et les réponses s'écrivent noir sur blanc.

Où sont hébergées les données ? Un hébergement dans l'Union européenne évite un ensemble de questions juridiques. Hors de l'Union, il faut vérifier sur quel fondement le transfert repose.

Que devient la base si vous partez ? Vous devez pouvoir tout exporter, et l'éditeur doit supprimer ce qu'il détient une fois le contrat terminé.

Ce que cela demande à l'usage

Rien de lourd, si les bonnes habitudes sont prises dès le départ.

Un lien de désinscription dans chaque message d'envoi groupé. Une case « ne plus contacter » sur la fiche, qui exclut réellement des envois suivants. La possibilité d'exporter une fiche pour répondre à une demande d'accès. Et un passage, une ou deux fois par an, pour purger ce qui n'a plus lieu d'être.

C'est tout, et c'est déjà l'essentiel.