Un commerçant qui conserve des noms, des adresses électroniques ou un historique d’achats traite des données personnelles. Le RGPD s’applique aussi aux petites boutiques, qu’elles utilisent un logiciel spécialisé ou un simple tableur.
La conformité repose sur des choix concrets : expliquer les usages, limiter les informations collectées et protéger les accès. Pour organiser ces obligations, il faut d’abord identifier les principes essentiels.
A retenir :
- Base légale adaptée à chaque finalité du traitement
- Collecte limitée aux informations réellement nécessaires
- Durées de conservation définies et appliquées
- Droits des clients accessibles et demandes suivies
- Accès sécurisés et procédure d’incident documentée
RGPD et données clients : les principes à appliquer en commerce
Une fois les données recensées, le commerçant doit justifier chaque usage et l’expliquer clairement aux personnes concernées. Cette exigence vaut pour une boutique en ligne comme pour un magasin de quartier.
Choisir une base légale et préciser la finalité du traitement
Pour chaque fichier ou outil, définissez la finalité du traitement avant la collecte : livrer une commande, établir une facture ou envoyer une lettre d’information. Selon la CNIL, le traitement doit aussi reposer sur une base légale appropriée, comme le contrat, une obligation légale, l’intérêt légitime ou le consentement.
Le consentement n’est donc pas la réponse automatique à toute situation. Une commande peut nécessiter l’adresse de livraison au titre du contrat, tandis qu’une newsletter promotionnelle exige généralement un accord valable et révocable.
Pour une prospection adressée à un professionnel, l’intérêt légitime peut être envisagé si le message concerne son activité et s’il peut s’opposer simplement. Il faut informer la personne et respecter immédiatement son refus.
Bases légales utiles en commerce :
- Commande et livraison : exécution du contrat
- Factures : obligation légale
- Newsletter : consentement recueilli sans ambiguïté
- Prospection professionnelle : intérêt légitime évalué et opposition facile
Réduire la collecte et expliquer les usages
La minimisation des données consiste à ne demander que ce qui sert réellement l’objectif annoncé. Une boutique qui expédie un colis a besoin d’une adresse, mais ne devrait pas réclamer une date de naissance sans raison précise.
La transparence suppose d’indiquer qui utilise les informations, pourquoi, combien de temps elles seront conservées et comment exercer ses droits. Selon la CNIL, ces éléments doivent être présentés de façon accessible, notamment au moment de la collecte.
La durée de conservation dépend de l’usage : les données de prospects inactifs sont généralement conservées au plus trois ans après le dernier contact, tandis que les pièces comptables suivent leurs propres obligations légales. Il faut distinguer les données commerciales des documents archivés pour répondre à une obligation réglementaire.
Repères de conservation :
Catégorie
Repère pratique
Point de vigilance
Prospects inactifs
Jusqu’à trois ans après le dernier contact
Prévoir une purge ou un tri périodique
Clients actifs
Durée nécessaire à la relation commerciale
Séparer les usages de prospection
Factures
Conservation comptable selon les obligations applicables
Accès restreint aux archives
Newsletter
Selon la finalité et l’activité du contact
Retirer les personnes désabonnées des envois
Droits des clients et conservation : organiser les demandes
Une collecte bien encadrée réduit les risques, mais les clients doivent aussi pouvoir agir sur leurs informations. Le commerçant a besoin d’une procédure simple pour recevoir, vérifier et traiter les demandes.
Répondre aux droits des personnes dans les délais
Les droits des clients comprennent notamment l’accès, la rectification, l’effacement, la limitation, la portabilité et l’opposition, selon les conditions prévues par le RGPD. Les demandes doivent en principe recevoir une réponse dans un délai d’un mois.
Un commerçant peut désigner une adresse de contact dédiée et tenir une trace des demandes reçues, des vérifications effectuées et des réponses apportées. Une suppression ne signifie toutefois pas toujours l’effacement immédiat de toute pièce : certaines données doivent rester archivées pour satisfaire une obligation légale.
Étapes pour traiter une demande :
- Enregistrer la date et la nature de la demande
- Vérifier l’identité sans collecter d’informations excessives
- Repérer les données dans les outils utilisés
- Répondre dans le délai applicable et conserver une trace
Tenir un registre des traitements et encadrer les prestataires
Le registre des traitements décrit les usages des données, les catégories de personnes concernées, les destinataires et les durées prévues. Selon la CNIL, il constitue un outil de pilotage utile pour comprendre les flux et démontrer la démarche de conformité.
Un logiciel de caisse, un outil de courriel ou un hébergeur peut agir comme sous-traitant. Le commerçant doit vérifier les garanties proposées et formaliser les obligations du prestataire dans un contrat conforme au cadre du RGPD.
Un délégué à la protection des données n’est pas obligatoire pour chaque commerce. Sa désignation devient nécessaire dans certaines situations prévues par le règlement ; dans les autres cas, un référent interne peut coordonner les pratiques.
Rubriques à inscrire au registre :
- Objectifs poursuivis et base légale retenue
- Catégories de données et de personnes concernées
- Destinataires, prestataires et transferts éventuels
- Durées de conservation et mesures de protection
Sécurité des données : prévenir et gérer les incidents
Le registre aide à repérer les informations sensibles et leurs destinataires ; l’étape suivante consiste à réduire les risques d’accès abusif. Des gestes simples peuvent déjà éviter qu’un compte compromis expose tout le fichier client.
Protéger les accès au CRM et aux fichiers clients
La sécurité des données repose sur des mesures proportionnées aux risques : comptes individuels, mots de passe robustes, authentification renforcée et droits d’accès limités aux besoins professionnels. Un export client ne devrait pas rester sur un ordinateur partagé ou dans une boîte de courriel personnelle.
Un commerçant doit également vérifier les sauvegardes et savoir qui peut consulter ou télécharger les fichiers. Lors du choix d’un CRM, examinez les conditions d’hébergement, les engagements du prestataire et les modalités de restitution ou de suppression des données.
Contrôles de sécurité prioritaires :
- Comptes distincts et accès selon les fonctions
- Authentification renforcée pour les outils principaux
- Sauvegardes testées et procédures de récupération
- Révision régulière des accès des anciens collaborateurs
Préparer la notification des violations de données
En cas de fuite, de perte ou d’accès non autorisé, documentez rapidement les faits et évaluez les conséquences pour les personnes. Si la violation présente un risque pour leurs droits et libertés, le responsable doit la notifier à la CNIL dans les conditions prévues par le RGPD, généralement sous 72 heures après en avoir pris connaissance.
Une procédure écrite doit préciser qui alerter, quelles informations réunir et comment limiter l’incident. Si le risque est élevé pour les personnes, celles-ci doivent également être informées dans les conditions applicables.
Pour une petite équipe, le meilleur point de départ reste un inventaire des fichiers, une règle de conservation compréhensible et une personne chargée des demandes. Ces habitudes rendent la protection plus concrète au quotidien.
Source : CNIL, « La gestion commerciale », CNIL ; CNIL, « Le registre des activités de traitement », CNIL ; Règlement (UE) 2016/679 du Parlement européen et du Conseil.
Comprendre l'Europe comme un continent pluriel, pas un bloc uniforme
Qu'il s'agisse de patrimoine culturel, de géopolitique, de migrations ou d'inégalités économiques, chaque évolution mérite d'être comprise dans sa complexité plutôt que réduite à un slogan. Saisir les tensions réelles de chaque sujet permet d'en tirer des repères concrets : mémoire, dialogue et solidarité face aux défis à venir.
Pour aller plus loin
- Suivre les sources institutionnelles (Commission européenne, Eurobaromètre, UNESCO) plutôt qu'un seul chiffre isolé
- Comparer les grands défis européens selon leur urgence et leur impact citoyen
- Distinguer les annonces politiques des évolutions culturelles et sociales réellement mesurées
- Anticiper les conséquences des mutations démographiques, migratoires et climatiques à moyen terme
