RGPD et automatisation : ce qu’une TPE doit vérifier

Automatiser un formulaire, un CRM, des e-mails ou un chatbot ne change pas les règles du RGPD, mais multiplie les endroits où passent les données de vos clients. Avant de brancher un outil, une TPE doit vérifier six points : son registre des traitements, le contrat avec chaque prestataire, la durée de conservation, le lieu d’hébergement des données, la façon de répondre aux demandes des personnes et la sécurité des accès. Le plus simple est de le faire au moment où l’on construit l’automatisation.

Une automatisation relie des outils entre eux : le formulaire de contact envoie la demande dans un tableur, le CRM crée la fiche du client, l’outil d’e-mail envoie la confirmation, parfois une IA résume le message. À chaque étape, des données personnelles sont copiées ou stockées chez un prestataire différent. Là où il y avait un fichier, il y en a parfois quatre ou cinq. C’est l’occasion de remettre de l’ordre, pas une raison de renoncer.

Tenir un registre des traitements, même court

Le registre est la liste de vos fichiers et de ce que vous en faites (article 30 du RGPD). Le texte prévoit une dispense pour les structures de moins de 250 salariés, mais elle ne s’applique pas dès qu’un traitement n’est pas occasionnel, présente un risque pour les personnes ou porte sur des données sensibles. La gestion des clients et des fournisseurs n’a rien d’occasionnel : la CNIL estime que cette dispense est limitée à des cas très particuliers et qu’une TPE qui traite des données personnelles doit tenir un registre.

Pour chaque traitement, le registre indique notamment :

• l’objectif (répondre aux demandes de devis, envoyer une lettre d’information, facturer…) ;
• les catégories de personnes et de données concernées ;
• les destinataires, y compris les outils et prestataires qui reçoivent les données ;
• les éventuels transferts hors de l’Union européenne ;
• les durées de conservation ;
• une description générale des mesures de sécurité.

La forme est libre, papier ou électronique. La CNIL propose un modèle simplifié au format tableur, pensé pour les petites structures. Chaque nouvelle automatisation y ajoute une ligne, ou complète une ligne existante avec les nouveaux outils.

Un contrat avec chaque prestataire qui touche aux données

Votre CRM, votre outil d’e-mailing, votre hébergeur, la plateforme d’automatisation (n8n, Make, Zapier) ou le service d’IA traitent des données pour votre compte : au sens du RGPD, ce sont des sous-traitants. L’article 28 impose de ne choisir que des prestataires qui présentent des garanties suffisantes, et de signer avec chacun un contrat qui prévoit notamment qu’il :

• ne traite les données que sur vos instructions documentées ;
• garantit la confidentialité des personnes autorisées à y accéder ;
• met en place les mesures de sécurité nécessaires ;
• ne fait pas appel à un autre sous-traitant sans votre autorisation écrite préalable ;
• vous aide à répondre aux demandes des personnes et en cas d’incident ;
• supprime ou vous restitue les données à la fin de la prestation, selon votre choix ;
• vous fournit les informations qui prouvent qu’il respecte ses obligations.

Chez beaucoup d’éditeurs de logiciels, ce contrat existe déjà sous le nom de « DPA » (Data Processing Agreement) ou d’avenant RGPD, parfois intégré aux conditions générales, parfois à accepter à part. Il suffit de le retrouver, de vérifier qu’il couvre bien l’offre que vous utilisez, et de le ranger avec le registre. Le prestataire qui construit l’automatisation et garde un accès à vos outils entre aussi dans ce cadre.

Le piège classique : un compte gratuit ouvert « pour tester », qui finit par recevoir les vraies données des clients. Vérifiez que l’offre utilisée au quotidien est bien celle couverte par le contrat.

Fixer une durée de conservation, et l’appliquer

Le RGPD interdit de garder les données plus longtemps que nécessaire au regard de l’objectif (article 5). Sauf texte particulier, c’est à vous de fixer la durée. La CNIL donne des repères dans son référentiel sur la gestion des activités commerciales :

• prospects : trois ans à compter de la collecte ou du dernier contact venant du prospect ;
• clients, pour la prospection : pendant la relation commerciale, puis trois ans après sa fin ;
• données de facturation : dix ans, en application du Code de commerce.

Ces référentiels ne sont pas contraignants : vous pouvez retenir une autre durée si vous pouvez la justifier. Ici, l’automatisation aide vraiment : une tâche planifiée peut archiver ou supprimer les contacts arrivés au terme de la durée retenue, au lieu de compter sur la mémoire de chacun. Pensez aussi aux copies qu’on oublie : historique des exécutions de la plateforme d’automatisation, pièces jointes restées dans la boîte mail, exports dans un tableur.

Savoir où vont les données

Beaucoup d’outils sont édités hors d’Europe, souvent aux États-Unis. Le RGPD n’interdit pas ces transferts, mais il exige qu’ils soient encadrés. Deux cas reviennent le plus souvent :

• le pays bénéficie d’une décision d’adéquation de la Commission européenne : le transfert est possible sans outil supplémentaire. Pour les États-Unis, la décision du 10 juillet 2023 ne couvre que les entreprises américaines certifiées, inscrites sur la liste tenue par le ministère américain du Commerce ;
• sinon, il faut des garanties appropriées, le plus souvent les clauses contractuelles types adoptées par la Commission européenne, que les éditeurs intègrent en général à leur contrat.

À vérifier pour chaque outil : où sont hébergées les données, si l’éditeur est certifié ou fournit ces clauses, et la mention du transfert dans votre registre et votre politique de confidentialité. Ce cadre peut bouger : le précédent accord avec les États-Unis, le Privacy Shield, a été invalidé par la Cour de justice de l’Union européenne en juillet 2020. Quand un hébergement en Europe existe, le choisir limite cette dépendance ; n8n, par exemple, peut être installé sur un serveur situé en Europe.

Informer les personnes et répondre à leurs demandes

Au moment de la collecte (formulaire, chatbot, prise de rendez-vous), les personnes doivent être informées (article 13) : qui vous êtes, pourquoi vous collectez leurs données et sur quelle base, à qui elles sont transmises, combien de temps vous les gardez, quels sont leurs droits, et qu’elles peuvent réclamer auprès de la CNIL. Une mention courte sous le formulaire, qui renvoie vers la politique de confidentialité, est la forme habituelle.

Une personne peut ensuite demander à accéder à ses données, à les corriger, à les effacer ou s’opposer à la prospection. Vous avez un mois pour répondre, délai prolongeable de deux mois si la demande est complexe ou si les demandes sont nombreuses, à condition de prévenir la personne dans le premier mois (article 12). Avec des données réparties dans plusieurs outils, mieux vaut s’y préparer :

• savoir dans quels outils une personne peut figurer (c’est le rôle du registre) ;
• prévoir un scénario « effacer ce contact partout » plutôt que de fouiller chaque outil à la main ;
• transmettre automatiquement une opposition à la prospection à l’outil d’e-mailing.

Enfin, si une automatisation prend une décision importante pour quelqu’un (refuser un dossier, écarter une candidature), l’article 22 du RGPD donne le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé lorsqu’elle produit des effets juridiques ou l’affecte de manière significative. Il existe des exceptions (contrat, loi, consentement explicite), mais la personne doit alors pouvoir obtenir une intervention humaine. Prévoir une validation humaine est donc la précaution la plus simple.

Sécuriser les accès et prévoir l’incident

Une automatisation manipule des clés d’accès et des connexions à vos outils. Les bonnes pratiques : comptes à votre nom, accès limités à ce qui est nécessaire, retirés à la fin d’une mission, double authentification quand l’outil la propose, aucune clé copiée dans un e-mail ou un document partagé.

En cas de fuite (formulaire exposé, envoi au mauvais destinataire, compte piraté), le RGPD prévoit de notifier la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si l’incident n’est pas susceptible de présenter un risque pour les personnes (article 33). Si le risque est élevé, les personnes concernées doivent aussi être prévenues (article 34). Et chaque incident, même sans notification, est consigné dans un registre des violations.

Avant de mettre une automatisation en service, une liste de contrôle simple :

1. le traitement figure au registre, avec les outils utilisés ;
2. chaque outil qui reçoit des données a son contrat de sous-traitance ;
3. la durée de conservation est fixée, et une tâche l’applique ;
4. le lieu d’hébergement est connu, et les transferts hors Union européenne sont encadrés ;
5. la mention d’information est en place sur le formulaire ou le chatbot ;
6. vous savez retrouver et effacer une personne dans tous les outils.

Ces repères sont généraux et ne constituent pas un conseil juridique. Pour une situation particulière, rapprochez-vous de la CNIL (cnil.fr) ou d’un professionnel du droit.

Pour aller plus loin

Les précautions prises sur chaque projet Axion Studio (comptes à votre nom, accès révocables, fin de projet propre) sont détaillées sur la page Sécurité et données. Si vous branchez une IA sur vos échanges, lisez aussi les 6 règles pour utiliser l’IA avec des données clients, et pour un assistant sur votre site, l’article Chatbot sur le site d’une TPE : utile ou gadget ?. Les métiers qui manipulent beaucoup de données personnelles sont concernés au premier chef : voir les pages professions libérales et agences immobilières. Un doute sur une automatisation existante ? Écrivez-moi, je vérifie ces points techniques pendant l’audit gratuit de 30 minutes (ce n’est pas un audit juridique).

Sources : texte du RGPD, chapitre II (article 5), chapitre III (articles 12, 13 et 22) et chapitre IV (articles 28, 30, 33 et 34) sur cnil.fr, CNIL, le registre des activités de traitement, CNIL, appliquer le RGPD dans une TPE ou PME, CNIL, travailler avec un sous-traitant, CNIL, les durées de conservation des données, CNIL, référentiels sur la gestion des activités commerciales, CNIL, transférer des données hors de l’UE, CNIL, adéquation des États-Unis.