Marketing

CRM RGPD : 3 ans de conservation, opt-ins tracés et accès restreints

6 septembre 2026 Élise Maurel-Vernier 8 min de lecture

Utiliser un CRM conforme au RGPD ne se limite pas à activer quelques réglages. Il faut savoir pourquoi chaque donnée est collectée, sur quelle base elle repose, combien de temps elle est utile et qui peut y accéder. Pour les équipes commerciales et marketing, l’objectif est simple : prospecter, vendre et fidéliser sans exposer l’entreprise à un risque juridique inutile.

Table des matières

Le CRM doit reposer sur une base légale claire

Un CRM contient des données personnelles dès qu’il permet d’identifier directement ou indirectement une personne : nom, email professionnel, téléphone, fonction, historique d’échanges, préférences, réclamations ou notes de suivi. Le RGPD impose que chaque traitement ait une finalité précise et une base légale adaptée.

Les bases légales les plus fréquentes en contexte commercial

Dans un CRM, les bases légales les plus courantes sont le consentement explicite, l’intérêt légitime, l’exécution d’un contrat et l’obligation légale. Le consentement sert souvent pour l’inscription à une newsletter, l’envoi d’offres ciblées ou certaines campagnes automatisées. Il doit être libre, spécifique, éclairé et prouvé, par exemple avec une case non précochée et une trace horodatée.

L’intérêt légitime peut justifier certaines actions de prospection B2B lorsque la personne contactée peut raisonnablement s’attendre à être sollicitée dans un cadre professionnel. Il ne dispense pas d’informer clairement la personne ni de lui offrir un moyen simple de s’opposer. Le contrat couvre la gestion des clients, des commandes, des devis ou des tickets de support. L’obligation légale, elle, concerne notamment certaines pièces comptables ou factures.

Finalité et transparence : deux champs à ne pas négliger

Une donnée collectée pour gérer une demande de démonstration ne peut pas être réutilisée librement pour n’importe quelle campagne. Le CRM doit donc permettre d’indiquer la source de collecte, la finalité du traitement et, si possible, le canal d’information transmis à la personne concernée. Cette traçabilité devient essentielle en cas de contrôle ou de demande d’accès.

Collecter moins, mais collecter mieux

Le principe de minimisation est central : seules les données nécessaires à l’objectif poursuivi doivent être enregistrées. Un CRM conforme n’est pas celui qui accumule le plus d’informations, mais celui qui conserve les bonnes données, au bon endroit, avec le bon niveau de justification.

Guide officiel sur les durées de conservation des données, Découvrez les règles de la CNIL pour définir et limiter la conservation des données personnelles en entreprise.

Les données généralement utiles dans un CRM

Pour une activité B2B, les informations utiles sont souvent limitées : identité professionnelle, coordonnées, entreprise, fonction, secteur, historique des échanges, statut commercial, consentements, préférences de contact et source de collecte. Pour un client, peuvent s’ajouter les éléments nécessaires au contrat, au support, à la facturation ou au suivi de la relation.

Un tableau de correspondance aide à éviter les excès et à harmoniser les pratiques entre les équipes :

Type de donnée	Utilité CRM	Point de vigilance RGPD
Email professionnel	Contact commercial ou service client	Informer la personne et gérer l’opposition
Source de collecte	Prouver l’origine du contact	Indispensable en collecte indirecte
Historique d’échanges	Suivi de la relation	Éviter les commentaires subjectifs ou excessifs
Préférences marketing	Personnalisation des communications	Tracer les opt-ins et opt-outs
Factures	Obligation comptable	Conservation distincte selon la règle applicable

Les données à bannir ou à encadrer strictement

Les données sensibles doivent être évitées dans un CRM, sauf cas très particulier et base juridique solide : santé, opinions politiques, religion, appartenance syndicale, origine supposée, orientation sexuelle ou données biométriques. Elles n’ont généralement aucune place dans une fiche prospect ou client.

Les zones de commentaires libres méritent aussi une attention particulière. Une note comme “prospect difficile, semble fragile financièrement” peut poser problème si elle est subjective, inutile ou discriminante. Mieux vaut créer des champs structurés, former les utilisateurs et rappeler que chaque commentaire doit rester factuel, professionnel et nécessaire à la relation.

Consentement, opposition et préférences : le CRM comme registre vivant

La conformité ne se joue pas uniquement au moment de la collecte. Elle se maintient dans le temps, à mesure que les personnes acceptent, refusent, se désabonnent, demandent une rectification ou s’opposent à certaines communications.

Conserver la preuve du consentement

Lorsqu’un traitement repose sur le consentement, le CRM doit conserver une preuve exploitable : date, formulaire utilisé, version du texte d’information, canal de collecte et finalité acceptée. Un simple champ “oui/non” est rarement suffisant si l’entreprise ne peut pas démontrer dans quelles conditions la personne a consenti.

Pour éviter les ambiguïtés, il est recommandé de séparer les consentements : newsletter, offres partenaires, prospection téléphonique, invitations événementielles, contenu personnalisé. Une personne peut accepter une newsletter et refuser les sollicitations commerciales directes. Le CRM doit refléter cette nuance.

Transformer le droit d’opposition en réflexe opérationnel

Le droit d’opposition doit être simple à exercer et immédiatement visible pour les équipes. Lorsqu’un prospect se désabonne ou refuse d’être recontacté, l’information doit alimenter une liste repoussoir ou un statut bloquant dans le CRM. L’objectif n’est pas seulement de supprimer une adresse d’une campagne, mais d’empêcher qu’elle soit réimportée plus tard par erreur.

C’est souvent là que les écarts se multiplient : une fiche mal qualifiée peut être synchronisée avec l’outil emailing, enrichie par un prestataire, réattribuée à un commercial, puis intégrée dans une séquence automatique. Une seule préférence non respectée se propage alors dans toute la chaîne commerciale. La bonne pratique consiste à placer les signaux RGPD les plus critiques, comme l’opposition ou le retrait de consentement, au niveau le plus central du système, pour qu’ils bloquent les actions en aval plutôt que d’être corrigés campagne par campagne.

Durées de conservation : arrêter le stockage indéfini

Un CRM n’a pas vocation à conserver éternellement toutes les fiches. Le RGPD impose une durée de conservation limitée, cohérente avec la finalité du traitement. Plus une donnée vieillit sans interaction ni justification, plus elle devient difficile à défendre.

Prospects, clients et documents comptables

Pour la prospection commerciale, la CNIL recommande une conservation de 3 ans à compter du dernier contact émanant du prospect. Ce dernier contact peut être une demande d’information, un clic qualifié, une réponse ou une participation à un événement, mais pas nécessairement une relance envoyée automatiquement par l’entreprise.

Pour les clients, la durée dépend de la relation commerciale, du support, de la garantie, des obligations contractuelles ou légales. Les factures doivent être conservées 10 ans selon le Code du commerce, ce qui ne signifie pas que toutes les données marketing associées au client doivent rester actives aussi longtemps dans le CRM.

Automatiser la purge sans perdre la maîtrise

La purge automatique est une bonne pratique si elle est paramétrée avec discernement. Elle peut archiver, anonymiser ou supprimer les fiches selon leur statut : prospect inactif, ancien client, contact opposé, doublon, donnée obsolète. Avant suppression, un workflow peut alerter le responsable de compte ou déclencher une revue manuelle pour les dossiers sensibles.

Il est utile de documenter ces règles dans une politique de conservation : durée retenue, événement déclencheur, type d’action, responsable interne et exception éventuelle. Cette documentation facilite la preuve de conformité et évite les arbitrages improvisés.

Sécurité, accès et preuve de conformité

La conformité CRM repose aussi sur la sécurité. Le RGPD attend des mesures techniques et organisationnelles proportionnées au risque : contrôle des accès, confidentialité, intégrité, disponibilité et capacité à réagir en cas d’incident.

Limiter les accès selon les rôles

Tous les utilisateurs n’ont pas besoin de voir toutes les données. Un commercial peut accéder à son portefeuille, un manager à son équipe, le support aux informations nécessaires au traitement des demandes, le marketing aux segments utiles aux campagnes. Cette gestion des habilitations réduit les risques de consultation abusive, d’export massif ou d’erreur humaine.

Les accès doivent être revus régulièrement, notamment lors d’un départ, d’un changement de poste ou de l’arrivée d’un prestataire. L’authentification renforcée, la journalisation des actions sensibles et la limitation des exports sont des protections concrètes à privilégier. Elles réduisent les écarts avant qu’ils ne deviennent des incidents.

Préparer le contrôle avant qu’il n’arrive

Un CRM RGPD doit permettre de répondre rapidement à une demande d’accès, de rectification, d’effacement ou d’opposition. Dans certains cas, une demande de suppression doit être traitée dans un délai de 30 jours. En cas de violation de données, la notification peut devoir intervenir sous 72 heures. Ces délais imposent des processus clairs, pas seulement de bonnes intentions.

La preuve de conformité repose sur plusieurs éléments : registre des traitements, règles de conservation, historique des consentements, journal d’audit, contrats avec les sous-traitants, procédures internes et éventuelle AIPD lorsque le risque le justifie. Les sanctions RGPD peuvent atteindre 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros. Au quotidien, l’objectif le plus utile reste de construire un CRM fiable, sobre et maîtrisé, dans lequel les équipes savent quoi collecter, quoi éviter et quoi faire lorsqu’une personne exerce ses droits.