Les données sont celles des plus communes dans les entreprises, le RGPD demande que leur protection devienne pour l’ensemble des sociétés une habitude.
Les données du point de vue du règlement européen
Pour le RGPD, les données d’identité sont :
- la civilité,
- les noms,
- les prénoms,
- les adresses,
- les numéros de téléphone (fixe et/ou mobile),
- les numéros de télécopie,
- les adresses de courrier électronique,
- la date de naissance,
- et plus étonnant le code interne de traitement permettant l’identification du client.
La collecte des données d’identités
La vie des services marketing et commercial va être bouleversé par le RGPD. En effet le grand principe de “Transparence”, vous oblige à faire en sorte sur chaque formulaire de saisie des données d’identités d’expliquer à vos clients/prospects :
- le responsable du traitements (en règle générale, votre entreprise)
- les finalités du traitement
- ces 3 mots sont d’une importance capital puisqu’ils oblige à informer
- lors de la collecte ce à quoi va servir le formulaire de données personnelles.
- Du caractère obligatoire ou facultatif des données personnelles demandées
- Des conséquences si il y en a d’un défaut de réponse.
- Des modalités du droits d’accès à ces données.
- Des destinataires de ces données.
Recueil du consentement exprès lors de l’acquisition de données
C’est le Code des postes et des communications électroniques (CPCE) qui s’applique sur les entreprises depuis 2004, à part dans le cas cité dans l’article 34.5 du CPCE
“la prospection directe par courrier électronique est autorisée si les coordonnées du destinataire ont été recueillies directement auprès de lui, …. à l’occasion d’une vente ou d’une prestation de services, si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale, et si le destinataire se voit offrir, de manière expresse et dénuée d’ambiguïté, la possibilité de s’opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple, à l’utilisation de ses coordonnées lorsque celles-ci sont recueillies et chaque fois qu’un courrier électronique de prospection lui est adressé.”
Dans tous les autres cas vous devez recueillir le consentement explicite sur l’usage des données d’identités. Et de donner à la personne la possibilité de s’opposer de manière simple et dénuée d’ambiguïté à l’usage de ces données d’identités.
Par exemple :
matching du prénom avec une base de données socio-démographique, ou ethnique doit être explicitement refusable.
Il est explicitement annoncé par les CNILs que “L’acceptation des conditions générales d’utilisation n’est donc pas une modalité suffisante du recueil du consentement des personnes”.
Mais une case à cocher dédiée, non pré-cochée est suffisante si les mentions d’informations et d’oppositions sont lisibles, en langage clair et figurer sur les formulaires de collecte.
Durée de conservation des données d’identité
La durée de conservation des données dépend beaucoup des traitements que vous effectuez dessus.
Les données identités dans le cadre de la gestion des clients peuvent être conservée 3 ans.
Les données à caractère personnel relatives aux clients ne peuvent être conservées au-delà de la durée strictement nécessaire à la gestion de la relation commerciale.
Attention, si les codes du commerce, les codes civils et les codes de la consommation ou autre cadres légaux définissent un cadre plus large, dans ce cas votre politique d’archivage doit être adaptée.
Les données des clients utilisées à des fins de commerciale peuvent être conservées pendant un délai de trois ans à compter de la fin de la relation commerciale. Par exemple, à compter d’un achat, de la date d’expiration d’une garantie, du terme d’un contrat de prestations de services ou du dernier contact émanant du client.
Pour les directions informatique
La CNIL conseil créé une base de données d’archives dédiée ou à minima une séparation logique dans la base de données active.
Les données identités dans le cadre de la gestion des Prospects peuvent être conservée 3 ans .
Comme les données clients, les données à caractère personnel relatives à un prospect peuvent être conservées pendant un délai de trois ans à compter de leur collecte ou comme pour les clients 3 ans après le dernier contact émanant du prospect. Sera considéré comme contact une demande de documentation ou un clic sur un lien hypertexte explicite contenu dans un courriel de la part d’un prospect; Bien entendu, l’ouverture d’un courriel ne peut être considérée comme un contact émanant du prospect.
Les données identités des comptes internet.
Si votre site permet la création d’un compte par l’utilisateur, les données doivent être effacées dès que le compte est supprimé à quelques exception près (listées à l’article 5 de la norme.).
Pour être conforme, il faut que vous spécifiez dés l’ouverture des comptes, la durée à partir de laquelle les comptes sont considérés comme inactifs, et le délai de suppression à partir de cette constatation. Attention, vous ne pouvez pas le faire sans avoir essayé de prévenir l’utilisateur du compte, pour qu’il puisse s’opposer à cette suppression.
La CNIL propose à titre indicatif, une durée de deux ans semble par exemple appropriée pour un compte créé sur un site de rencontres.
A date dans le cadre de petites annonces comme leboncoin propose 5 ans “Les données relatives à la gestion de votre compte sont conservées pour une durée de 5 ans à compter de sa suppression et ce, exclusivement à des fins de preuve;”
Au terme des 3 ans, que faire des données personnelles ?
Si vous voulez encore pouvoir le solliciter, vous pouvez recontacter votre clients / prospects pour lui demander si il accepte explicitement de recevoir vos sollicitations commerciales.
En cas de refus les données devront être supprimées. Et si vous avez d’autre obligation légales vis à vis de vos clients archivées.
Désabonnement et opposition à recevoir de la prospection :
Lorsqu’un prospect ou client exerce son droit à se désabonner de votre newsletter ou d’opposition à recevoir de la prospection par tout autre canal (courrier papier, téléphone …). Vous devez conserver au minimum trois ans les données vous permettant en compte ce droit.
Attention, seules les données nécessaires doivent être conservées (en règle générale pour une newsletter, l’email, dans le cadre d’un client à un service l’id-client et ses nom prénoms et adresses.)
