CRM et loi sur la protection des données : gérer les consentements, le droit d’information et l’effacement

Le CRM comme collecte centrale de données : principes et risques

Depuis le 1er septembre 2023, la loi révisée sur la protection des données (LPD) est en vigueur en Suisse. Un CRM centralise les coordonnées, les données contractuelles et de facturation, la correspondance, l’historique des achats et les réactions aux campagnes. Si ces informations concernent une personne identifiée ou identifiable, leur traitement est soumis à la LPD. Les principes du traitement sont imposés par la loi ; ils ne sont pas optionnels.

La licéité exige une base légale – consentement ou intérêt prépondérant. La bonne foi impose un traitement transparent et une déclaration de protection des données à jour. La proportionnalité signifie ne collecter que les données nécessaires et minimiser les champs obligatoires. La finalité exige de documenter l’objectif d’utilisation dans le CRM.

L’exactitude suppose un nettoyage régulier des données. La limitation de la conservation exige l’effacement une fois la finalité atteinte, par exemple via des délais de suppression automatiques. La sécurité des données requiert des mesures techniques et organisationnelles telles que le chiffrement et les contrôles d’accès.

Le risque de responsabilité ne touche pas seulement l’entreprise : un article spécialisé sur le CRM et la LPD souligne que les violations peuvent être sanctionnées par des amendes allant jusqu’à 250'000 francs contre la personne physique responsable – et non contre l’entreprise. L’article de WEKA Recht sur les systèmes CRM mentionne un autre risque : le profilage et les analyses par IA peuvent déclencher une analyse d’impact relative à la protection des données (AIPD).

La conformité à la LPD dans le CRM n’est pas un acte unique, mais un processus continu. Les principes doivent être ancrés dans la technique, les processus et l’organisation – dans les définitions de champs, les rôles, les cycles de suppression et les contrôles récurrents.

Risques de responsabilité liés à la LPD et cadre juridique

Bases légales et consentements : quelle base pour quelle utilisation du CRM ?

Tous les traitements dans le CRM ne nécessitent pas un consentement explicite. L’exécution du contrat – adresse de livraison, données de facturation, communication liée au contrat – couvre une grande partie des données CRM dans le domaine B2B. Elle se passe de consentement séparé.

Le cross-selling et l’upselling auprès de clients existants s’appuient sur un intérêt prépondérant, à condition que le client ne s’y soit pas opposé et que la pondération des intérêts soit documentée. En revanche, les newsletters, les campagnes marketing adressées aux non-clients et le profilage exigent un consentement explicite et éclairé.

Les obligations légales peuvent même imposer la conservation – les pièces comptables, par exemple, doivent être conservées dix ans. Cette obligation prime sur le droit à l’effacement.

Il est décisif d’assigner une base légale par catégorie de données : pour chaque finalité de traitement – gestion contractuelle, support, facturation, newsletter, profilage – on détermine sur quelle base légale elle repose. Cette assignation figure dans une vue d’ensemble documentée et est examinée pour chaque nouvelle finalité, chaque nouveau champ et chaque nouvelle intégration, avant toute collecte de données.

Lorsque le consentement sert de base, les exigences sont plus strictes que pour les autres bases légales : il doit être explicite et éclairé, documenté dans le CRM et révocable à tout moment. Celui qui le noie dans les petites lignes avec d’autres déclarations ou l’active par défaut ne peut pas s’en prévaloir.

Documenter les consentements dans le CRM de manière traçable et révocable

Un consentement n’a de valeur que celle de sa documentation. Pour chaque consentement accordé doivent figurer au minimum la finalité concrète (par exemple newsletter ou transmission à des partenaires commerciaux), la date, le canal de collecte (formulaire web, téléphone, salon, e-mail double opt-in), la version du texte de consentement et le statut.

Si le texte change ultérieurement, l’ancienne version reste liée au consentement donné à l’époque. Un nouveau consentement n’est demandé que si la finalité précédente n’est plus couverte.

Les mêmes informations doivent figurer dans les demandes d’information : quiconque conteste avoir jamais donné son consentement ne peut être servi correctement que si la date, la source et la version du texte sont prouvables. À défaut de preuve, c’est l’affirmation de la personne concernée qui prévaut sur celle du responsable du traitement en cas de litige.

La révocation doit être aussi simple que l’octroi et avoir un effet immédiat dans le CRM : blocage du contact pour la finalité concernée, dissolution des segments et automatisations fondés sur ce consentement, journalisation de la révocation avec la date. La révocation d’un consentement marketing n’élimine toutefois pas les autres bases légales : les données liées au contrat subsistent sur la base de l’exécution du contrat ou des obligations légales, tant qu’elles sont encore nécessaires à cette fin.

Répondre aux demandes d’information dans un délai de 30 jours

Selon la LPD, toute personne peut exiger des informations auprès du responsable du traitement sur le point de savoir si des données personnelles la concernant sont traitées, et le cas échéant demander leur effacement ou leur rectification. La demande n’a pas besoin d’être motivée.

Les informations sont généralement fournies gratuitement dans un délai de 30 jours. Si une demande entraîne un effort disproportionné, des frais allant jusqu’à 300 francs sont possibles.

Pour le CRM, cela signifie qu’une seule personne doit pouvoir faire des recherches, exporter et présenter de manière compréhensible l’ensemble des systèmes, champs, campagnes et liens la concernant.

Selon les indications du Préposé fédéral à la protection des données et à la transparence (PFPDT), les informations comprennent au minimum l’identité et les coordonnées du responsable du traitement, les données personnelles traitées et la finalité du traitement. S’y ajoutent la durée de conservation ou, si elle n’est pas déterminable, les critères permettant de la fixer, ainsi que les informations disponibles sur l’origine des données, dans la mesure où elles n’ont pas été obtenues directement auprès de la personne concernée.

Il convient également de nommer les destinataires ou les catégories de destinataires. Si des destinataires se trouvent à l’étranger, l’État et les garanties prévues ou l’application d’une exception doivent être indiqués. En cas de décision individuelle automatisée, il faut informer de son existence et de la logique sous-jacente.

Les informations peuvent être refusées, restreintes ou différées, notamment en raison d’intérêts privés ou publics prépondérants ; le responsable du traitement doit motiver cette décision. Pour les organes fédéraux, une décision est rendue, contre laquelle un recours est possible. Dans les litiges selon la LPD, aucun frais de justice n’est mis à la charge des parties, ce qui facilite la mise en œuvre des droits des personnes concernées.

En pratique, le processus compte plus que la situation juridique : point de contact défini, vérification de l’identité de la personne demanderesse, formulaire standard pour la réponse, liste de contrôle des mentions obligatoires et un calcul des délais qui mesure les 30 jours à partir de la réception.

L’article de WEKA Recht souligne que les droits des personnes concernées, tels que l’information et la remise des données, doivent pouvoir être satisfaits dans un délai de 30 jours. Une fonction d’exportation par personne est donc un critère d’achat pour tout CRM.

Effacement et conservation : mettre en œuvre la limitation de la conservation en pratique

La limitation de la conservation signifie : les données doivent être effacées dès que la finalité est atteinte – mis en œuvre via des délais de suppression automatiques. Le principe d’exactitude exige en outre un nettoyage régulier des données, afin que les adresses, fonctions et canaux de contact restent à jour. Les deux font partie de la même routine : un contact qui n’a pas réagi depuis des années n’est utile ni au marketing ni à une éventuelle demande d’information.

À l’intérêt à l’effacement s’opposent les obligations légales de conservation : les pièces comptables, par exemple, doivent être conservées dix ans, et cette obligation prime sur le droit à l’effacement. Un concept d’effacement distingue donc les catégories de données – données de leads et marketing sans lien contractuel, données contractuelles et de communication, données de facturation et comptables. Pour chaque catégorie, la base de conservation, le délai, le rôle responsable et le mécanisme d’effacement sont définis ; dans le CRM, il est visible à quelle catégorie appartient chaque jeu de données.

Les demandes de rectification et d’effacement suivent le même schéma : identifier la personne dans tous les systèmes, rassembler les données et finalités concernées, vérifier si une obligation de conservation ou un intérêt prépondérant s’y oppose, rectifier ou effacer les données et documenter la mesure avec la date. Si une demande est rejetée en tout ou partie, cela doit être motivé – de manière traçable et en lien avec la restriction concrète.

Techniquement, cela signifie : l’effacement ne concerne pas seulement l’enregistrement actif, mais aussi les segments, les listes de campagnes, les liens, les cycles de sauvegarde et les exports. Si les sauvegardes dépassent les délais de conservation, il faut prévoir que les jeux de données effacés soient à nouveau supprimés lors d’une restauration – sinon ils reviennent à chaque restore.

Sous-traitance et CRM cloud : sécuriser les prestataires et l’export des données

Si l’entreprise exploite son CRM chez un prestataire, celui-ci traite des données personnelles pour le compte de l’entreprise. Selon l’article de WEKA Recht sur les systèmes CRM, un contrat de sous-traitance avec le fournisseur de CRM est impératif.

Il règle l’objet et la durée du traitement, la finalité, les catégories de données et de personnes concernées, ainsi que les mesures de sécurité du sous-traitant. Doivent également être réglés le recours à des sous-traitants avec réserve d’approbation, l’assistance pour les demandes d’information, de rectification et d’effacement, la restitution ou l’effacement des données après la fin du contrat, le lien d’instruction et les droits de contrôle. Cela permet au responsable du traitement de vérifier le respect des obligations.

Selon la même source, les exports de données vers des États tiers comme les États-Unis sont particulièrement critiques ; de tels transferts nécessitent le Swiss-U.S. Data Privacy Framework ou des clauses contractuelles types. Pour les demandes d’information, cela est directement pertinent : si des destinataires se trouvent à l’étranger, la personne concernée doit être informée de l’État et des garanties prévues ou de l’application d’une exception.

Celui qui exploite le CRM avec des serveurs aux États-Unis, des accès support depuis des États tiers ou des outils marketing externes note donc, pour chaque flux de données, où vont les données et sur quoi repose le transfert.

Le profilage et les analyses par IA peuvent déclencher une analyse d’impact relative à la protection des données (AIPD) – dans le CRM, par exemple le scoring de leads, la segmentation automatisée avec référence à la personnalité ou les algorithmes de suggestion qui préparent des décisions. Si un tel traitement intervient, la finalité, la nécessité, les risques pour les personnes concernées et les mesures allégeantes doivent être examinées par écrit avant que la fonctionnalité ne passe en production.

Les dépendances vis-à-vis des prestataires doivent également être examinées contractuellement et techniquement : où se trouvent les données, qui y a accès, comment les sous-traitants sont déclarés, à quelle vitesse les données peuvent être exportées lors d’un changement de prestataire et effacées chez l’ancien prestataire. De tels points font partie de l’appel d’offres, pas de la renégociation.

Liste de contrôle pour des processus CRM conformes à la LPD

Accès et sécurité : les autorisations basées sur les rôles limitent l’accès aux jeux de données nécessaires à une tâche. Le chiffrement en transit et au repos protège les données ; les accès et les exports sont journalisés. Un processus pour le départ des collaborateurs ferme les comptes immédiatement. Le chiffrement et les contrôles d’accès sont les mesures techniques et organisationnelles couramment citées dans le CRM pour le principe de sécurité des données.

Minimisation des données et finalités : limiter les champs obligatoires au strict nécessaire pour le processus concerné. N’utiliser les champs de texte libre qu’avec une indication de finalité documentée. Consigner visiblement la finalité d’utilisation pour chaque traitement dans le CRM et enregistrer la base légale pour chaque finalité – exécution du contrat, intérêt prépondérant, obligation légale ou consentement explicite. Chaque nouvelle source intégrée (formulaires, chat, stand de salon, outil de newsletter) est examinée quant à sa finalité et sa base légale avant connexion.

Cycle de vie : définir et automatiser les délais de suppression par catégorie de données ; nettoyer régulièrement les données ; documenter le processus d’information et d’effacement avec calcul des délais et réponses standard ; effectuer au moins une fois par an un test à blanc. Une information qui ne peut pas être compilée en 30 jours est une erreur de processus – pas un cas isolé.

Contrats et organisation : tenir à jour le contrat de sous-traitance avec le fournisseur de CRM et tous les outils contenant des données personnelles ; documenter les transferts vers des pays tiers avec l’État et la garantie ; vérifier, en cas de profilage ou d’analyses assistées par IA, si une analyse d’impact relative à la protection des données est nécessaire.

Les rôles doivent être nommément désignés : qui décide des finalités, qui répond aux demandes d’information, qui valide les effacements. Toutes les personnes ayant accès au CRM sont formées à ces processus. La configuration est vérifiée périodiquement, car chaque nouvelle automatisation, chaque nouveau champ et chaque nouvelle intégration peuvent modifier l’appréciation.