CHAPITRE 7 / Prospecter sa future clientèle

COURS 7.3 / La protection des données

Praticiens-entrepreneurs, vous vous apprêtez à « casser la baraque », à dégoter 100 clients et plus A partir de ce moment-là, comme nombre d’entreprises, vous vous devez d’être « RGPD compliant », c’est-à-dire en conformité avec le Règlement Général sur la Protection des Données des résidents de l’Union européenne.

1 - RGPD : définition et objectifs

Le Règlement Général sur la Protection des Données est un texte qui renforce considérablement les droits des citoyens de l’Union européenne :

  • en leur donnant une plus grande visibilité sur leurs données ;
  • en leur apportant une meilleure maîtrise sur l’utilisation qui en est faite.

Ce règlement impacte l’ensemble des acteurs proposant des biens et services sur le marché européen, et donc bien-sûr les micro-entrepreneurs !

La réforme poursuit trois objectifs :

  • renforcer les droits des personnes, notamment par la création d’un droit à la modification / suppression / portabilité des données personnelles ;
  • responsabiliser les acteurs traitant des données ;
  • crédibiliser cette évolution réglementaire grâce à une coopération renforcée entre les autorités nationales et européennes de protection des données.

Une donnée est considérée comme personnelle dès lors qu’elle permet d’identifier directement ou indirectement une personne physique.

Il y a deux grands types de données personnelles :

  • les données personnelles « courantes » : nom, prénom, identifiant client, numéro de téléphone, mail, adresse postale, adresse IP, photo, enregistrement vocal, empreinte.
  • les données personnelles « sensibles » : informations sur la santé, les distinctions physiques et psychiques, orientation sexuelle et religieuse, opinions politiques et philosophiques, préférences syndicales.

Le traitement de données personnelles correspond à toute opération (collecte, enregistrement, extraction, consultation, modification, diffusion, destruction…) visant à récupérer/sélectionner des informations afin de les utiliser dans un but précis (ex : une publicité ciblée).

Attention, le RGPD s’applique au traitement de données qu’il soit informatisé ou en version papier.

Oui, toutes les entreprises sont concernées par le RGPD.  Les micro-entrepreneurs également à partir du moment où ils collectent, stockent, utilisent des données à caractère personnel. Dans ce cas, les entreprises sont dites « responsables de traitements ».

Le Règlement est applicable à partir du 25 mai 2018 (article 99.2) dans tous les pays de l’Union européenne.

4 - Les grandes lignes du règlement

Le règlement, pour ce qui concerne un praticien, peut être résumé selon ces grands principes :

  • Principe de communication : le praticien doit expliquer, lorsqu’il collecte des données, en des termes simples et compréhensibles par tous, la finalité, le destinataire et le délai de conservation des données.
  • Principe de minimisation : le praticien doit uniquement récolter les informations qui sont pertinentes par rapport à l’utilisation finale (pas de collecte de données superflues).
  • Recueil du consentement : le praticien doit être en mesure de recueillir un consentement clair des utilisateurs (information claire avec case à cocher de consentement).
  • Droit d’accès et de portabilité : l’utilisateur doit pouvoir exercer librement son droit d’accès, de modification, de portabilité (récupération de ses données pour les conserver ou les transmettre) ainsi que son droit d’opposition à certains types de traitement (profilage). le praticien doit donc informer les utilisateurs des moyens mis à sa disposition pour accéder à ses données (via leur espace personnel sur votre site internet, par un message sur une adresse email dédiée, par un courrier postal, etc.).
  • Principe d’information : en cas de vol ou de perte des données (vol de l’ordinateur, cyberattaque, etc.), le praticien a 72 heures pour avertir les utilisateurs et la CNIL (Commission nationale de l’informatique et des libertés).

5 - Mode d’emploi pour les praticiens

Déclarer son fichier client à la CNIL

Déclarer son fichier auprès de la Commission nationale informatique et libertés (CNIL) se fait gratuitement par internet et ne prend que quelques minutes. Toutes les entreprises ne font pas cette démarche, or elle est importante, notamment en cas d’éventuelle plainte d’un de vos prospects, qui pourrait par exemple être excédé par vos emailings.

Cartographier votre situation actuelle

L’objectif est de créer un registre vous permettant d’avoir une vue d’ensemble sur les données personnelles que vous avez récoltées sur vos prospects et clients.

Dans un premier temps, listez sur des fiches distinctes chaque outil vous permettant de récolter des données (ex : le formulaire de contact sur le site, le formulaire d’inscription à la newsletter, au blog de votre site, le formulaire papier de participation à une tombola, etc.).

Puis, pour chaque outil, précisez ces informations :

  • la finalité de la récolte des données (ex : envoi d’une newsletter mensuelle) ;
  • le type de données utilisées (nom, adresse, âge…) ;
  • le ou les personnes(s) dans votre organisation ayant accès aux données ;
  • la durée de conservation des données.

Enfin, assurez-vous que les solutions externes que vous utilisez pour exploiter ces informations personnelles respectent le RGPD (ex : solution de paiement en ligne, plateforme dédiée aux envois de SMS, d’emailings, plateforme pour un jeu-concours, solutions en ligne de gestion de clientèle, de facturation, etc.).

Trier les données personnelles

Pour chaque fiche créée dans votre registre, vérifiez :

  • si les données récoltées sont vraiment nécessaires en fonction de la finalité du traitement ;
  • si vous traitez de données sensibles (car elles sont soumises à une réglementation spécifique) ;
  • si la façon dont ont été récoltées ces données est bien conforme au RGPD : si ça n’est pas le cas, vous devez renoncer à ces informations ou demander à nouveau leur consentement aux propriétaires desdites données.

Informer les internautes

Une fois que vous avez mis à jour vos outils de recueil et de traitement des données, vous devez :

  • indiquer clairement pour chaque support permettant de collecter des données personnelles : l’objectif de la récolte, le temps de conservation, les modalités permettant au consommateur d’y accéder, le destinataire final des données ;
  • permettre aux utilisateurs d’exercer leurs droits d’accès et de portabilité : prévoyez une adresse mail ou un formulaire spécifique pour les recours, intégrez un bouton visible de désabonnement dans votre newsletter…
  • communiquer sur le cycle de vie des données (combien de temps elles seront stockées).

Sécuriser les données personnelles

Les conséquences d’un vol ou d’une perte de données peuvent avoir des conséquences désastreuses pour les utilisateurs et pour l’image de votre entreprise. Vous devez tout mettre en place pour garantir leur sécurité :

  • sauvegardez vos données dans plusieurs endroits et plusieurs supports sécurisés ;
  • protégez vos supports par un mot de passe complexe ;
  • mettez à jour régulièrement vos logiciels d’antivirus et mots de passe ;
  • sur votre site, sécurisez au maximum les comptes clients en ligne ;
  • enfin, assurez vous que seules les personnes autorisées peuvent avoir accès aux données collectées.

En complément de ce module, vous pouvez consulter un guide édité par la CNIL en partenariat avec la Banque publique d’investissement (BPI), un guide spécialement conçu pour les TPE-PME.

Amendes dissuasives en cas de manquement : votre entreprise encourt, selon le manquement constaté, jusqu’à 2 % ou 4 % de votre chiffre d’affaires mondial, dans la limite de 10 ou 20 millions d’euros…