RGPD dans le CRM : fixer les durées de conservation et purger les contacts sans casser l’historique commercial

Le DPO a fixé une règle : les prospects sans échange depuis trois ans sortent du CRM. Le responsable CRM lance la suppression un vendredi. Le lundi, le rapport « CA par source 2021 » affiche trois affaires gagnées sans contact et une source « inconnue » (exemple fictif). Personne n’a enfreint la règle, et tout le monde a perdu une information qu’il fallait garder.

Le RGPD ne demande pas d’effacer des ventes. Il demande de ne pas conserver, plus longtemps que nécessaire, des données qui désignent une personne. Entre les deux, il y a une méthode : une durée par catégorie, un point de départ fiable, l’anonymisation plutôt que la suppression, une purge testée puis tracée. Cet article la décrit du côté de l’outil ; il ne remplace pas l’avis de votre DPO.

Ce que le RGPD demande à un CRM

La fiche d’une entreprise n’est pas une donnée personnelle ; celle de son interlocuteur l’est, car un nom, un e-mail nominatif ou une ligne directe désignent une personne physique.

Une durée par finalité, pas une durée unique

Le RGPD ne fixe aucune durée en années. Son article 5 pose deux principes : ne collecter que les données nécessaires (la minimisation, article 5.1.c) et ne les conserver « sous une forme permettant l’identification » que le temps nécessaire à la finalité poursuivie (la limitation de la conservation, article 5.1.e). C’est à l’entreprise de fixer la durée, de l’indiquer, dans la mesure du possible, dans son registre des traitements (article 30) et de pouvoir démontrer qu’elle l’applique (article 5.2).

Les mots « sous une forme permettant l’identification » comptent : une donnée qui ne permet plus d’identifier personne n’est plus soumise à cette limite. C’est tout l’intérêt de l’anonymisation.

Les repères de la CNIL pour les prospects et les clients

La CNIL a publié un référentiel consacré aux traitements de gestion des activités commerciales. Ses repères :

• Les prospects. Leurs données peuvent être conservées trois ans à compter de leur collecte ou du dernier contact émanant du prospect. Une demande de documentation ou un clic sur un lien d’un e-mail compte comme un contact ; une simple ouverture d’e-mail, non.
• Les clients. Leurs données sont conservées pendant la relation commerciale, puis peuvent l’être trois ans à compter de la fin de cette relation, à des fins de prospection.
• Les pièces comptables. Elles suivent leur durée légale de conservation, en archivage intermédiaire, séparées de la base utilisée au quotidien.

Ce sont des repères, pas un barème : la durée retenue doit rester justifiée par l’usage que vous faites des données.

Effacement et opposition : deux demandes qui n’appellent pas le même geste

Une personne peut demander l’effacement de ses données (article 17) ou s’opposer à leur utilisation pour la prospection (article 21). La première demande appelle une suppression, sauf exception prévue par le texte, comme une obligation légale de conservation. La seconde appelle l’arrêt des sollicitations.

Si vous effacez tout ce qui concerne une personne qui s’est opposée, vous ne savez plus qu’elle s’est opposée, et le prochain import de salon la recrée. Il faut garder le minimum pour ne plus la solliciter : une liste repoussoir où la CNIL recommande de garder une empreinte (un hachage) de l’adresse plutôt que l’adresse. Dans les deux cas, le RGPD prévoit une réponse dans un délai d’un mois, prolongeable de deux mois selon la complexité et le nombre de demandes (article 12.3).

Une durée par catégorie de contacts

Un CRM mélange au moins quatre populations, et chacune a son compteur. C’est ce que construit le calendrier proposé en tête d’article.

Le prospect qui n’a jamais acheté

Le repère de la CNIL court depuis la collecte ou le dernier contact venu de lui. Une réponse à un e-mail, un formulaire rempli ou un rendez-vous accepté viennent de la personne. Un e-mail envoyé ou une inscription à une séquence automatique viennent de vous.

Le client et l’ancien client

La question se pose à la fin de la relation commerciale, et c’est là que manque la définition. Est-ce la dernière commande, la fin du contrat, la dernière facture réglée ? Écrivez-le, une fois, avec la finance. À l’échéance, l’interlocuteur est anonymisé ; l’entreprise cliente et ses affaires restent.

Le contact qui s’est désinscrit

On supprime ce qui ne sert plus et on garde, dans la liste repoussoir, ce qui empêche de le solliciter à nouveau. La CNIL recommande de conserver ces informations au moins trois ans ; la durée retenue se fixe avec le DPO et se documente.

Ce qui obéit à d’autres règles

Les factures et les pièces comptables relèvent du Code de commerce, qui impose de conserver les documents comptables et les pièces justificatives pendant dix ans (article L123-22). Le nom d’un acheteur sur une facture n’empêche pas d’anonymiser sa fiche dans le CRM.

Le bon point de départ : le dernier contact réel

Les CRM proposent surtout deux dates qui ne conviennent pas. La date de création de la fiche fait purger des contacts encore actifs. La date de « dernière activité » peut compter ce que vous faites : dans HubSpot, elle tient compte des notes, des appels et des e-mails commerciaux suivis. Avec des relances régulières, un prospect muet n’atteint jamais l’échéance, et la base ne se purge pas.

La date qui fait foi est celle du dernier échange venu de la personne. Elle se construit à partir de champs qui existent déjà, ou presque :

• La dernière réponse à un e-mail. Un e-mail reçu de la personne, pas envoyé à elle.
• Le dernier formulaire rempli. Téléchargement, demande de contact, inscription.
• La dernière réunion tenue. Un rendez-vous qui a eu lieu.
• La dernière commande. Pour les clients, elle date aussi la fin de la relation.

Le champ « dernier contact réel » prend la plus récente de ces dates. Encore faut-il qu’elles soient justes : des formulaires reliés à la mauvaise fiche ou des imports qui écrasent les dates faussent toute la purge. C’est un sujet de qualité des données CRM, à régler avant de supprimer quoi que ce soit.

Anonymiser plutôt que supprimer

Une suppression retire la personne et ce qui s’y rattache. Une anonymisation retire ce qui la désigne et garde ce qui sert l’historique.

Ce qu’une suppression casse

• Les affaires orphelines. L’affaire peut survivre à son contact, mais elle perd ce qui la reliait à une source, à une campagne ou à un commercial.
• Les rapports par source. Le chiffre d’affaires d’une année passée change après coup, sans explication.
• Les synchronisations. Un contact supprimé dans le CRM peut être recréé le lendemain par l’ERP ou l’outil d’emailing, sans son historique.

Fusionnez aussi les doublons avant de purger. Sinon, vous anonymisez une copie et gardez l’autre.

Anonymiser n’est pas pseudonymiser

Remplacer le nom par un identifiant et garder quelque part la table de correspondance, c’est pseudonymiser. Une donnée pseudonymisée reste une donnée personnelle (article 4.5 et considérant 26). Anonymiser, c’est rendre la réidentification impossible en pratique, de façon irréversible. L’avis 05/2014 du G29, remplacé depuis par le CEPD, retient trois critères : ne plus pouvoir isoler une personne, relier ses enregistrements ni déduire avec une forte probabilité une information à son sujet.

Piège propre au B2B : « Directeur financier, ACME France, Lyon » désigne une seule personne, même sans nom (exemple fictif). Effacer le nom ne suffit pas : il faut généraliser ce qui, combiné, identifie.

Ce qui reste sur la fiche et ce qui part

Reprenons la fiche de Claire Dubois, chez ACME France (exemple fictif). Le nom, le prénom, l’e-mail, le téléphone, l’adresse IP et les notes libres partent. La fonction devient le service, la ville devient la région. Restent l’entreprise, les affaires, les montants, les dates, la source et l’étape du cycle de vente. La fiche ne désigne plus personne, et le rapport de 2021 reste juste.

Le RGPD demande d’effacer des personnes, pas des ventes.

Chez Mirakl, turnK a retiré les doublons et les informations obsolètes d’une base HubSpot synchronisée avec Salesforce et posé des règles d’usage des propriétés et des workflows. Ce n’était pas un projet de durées de conservation, mais la leçon est la même : on ne retire de la donnée qu’en sachant ce qui en dépend, et on écrit des règles pour que le ménage tienne.

Purger dans HubSpot et Salesforce

Dans HubSpot

HubSpot distingue la suppression restaurable d’un contact (90 jours en corbeille) de sa suppression définitive, prévue pour le RGPD et ouverte à tous les comptes, qui se fait fiche par fiche, jamais en masse. Pour une purge récurrente, la sélection repose sur un segment fondé sur le champ du dernier contact réel, et l’action sur un workflow qui efface ou réécrit les champs identifiants (éditions Professional et Enterprise).

Dans Salesforce

Salesforce propose un objet dédié aux préférences de confidentialité, Individual, relié aux contacts, aux pistes et aux comptes personnels. La sélection passe par des rapports filtrés sur le dernier contact réel. L’anonymisation consiste à réécrire les champs identifiants, par un flux ou par Privacy Center, qui masque des champs et demande une licence dédiée.

Dans les outils reliés

Une demande d’effacement traitée dans le CRM seul est à moitié traitée. Pour chaque outil qui reçoit une copie des contacts, il faut savoir si l’effacement s’y propage ou s’il se fait à la main :

• L’outil d’emailing. Il garde souvent ses propres listes et ses propres désinscriptions.
• L’ERP ou l’outil de facturation. Le contact y figure sur des pièces qui ont leur propre durée de conservation.
• Le support client. Les tickets portent des noms et des échanges entiers.
• Les exports et les tableurs. Une extraction faite pour un comité il y a deux ans est encore une copie.
• Les sauvegardes. Elles expirent selon leur propre cycle, qu’il faut connaître et documenter.

Ce recensement est le même que celui d’une intégration CRM : quel système est maître, et ce qui se passe quand une fiche disparaît d’un côté.

Une purge en cinq étapes

Une purge réussie ne se voit pas : les bons contacts partent, les rapports ne bougent pas, et l’on peut prouver ce qui a été fait.

1. L’inventaire. Les catégories de contacts présentes dans le CRM, et la liste des outils qui en reçoivent une copie.
2. Des règles écrites. Pour chaque catégorie, le point de départ, la durée et le geste à l’échéance : supprimer, anonymiser ou garder le minimum. Le DPO les valide, la finance relit ce qui touche à l’historique.
3. Un point de départ fiable. Le champ du dernier contact réel, construit et contrôlé, avec les doublons fusionnés.
4. Un essai. Sur un échantillon ou dans un environnement de test, avec un rapport témoin relevé avant et comparé après. Les totaux de chiffre d’affaires doivent être identiques ; seuls les noms ont disparu.
5. L’automatisation et le journal. La purge tourne à intervalle fixe, et chaque passage est consigné : date, règle appliquée, nombre de fiches traitées, geste effectué. Ce journal est la preuve qu’exige le principe de responsabilité.

Par où commencer ? Par votre calendrier en tête d’article : il dit quelle catégorie traiter en premier. Si une migration est en vue, purgez avant de migrer : notre guide de migration de Salesforce vers HubSpot conseille déjà de dédoublonner et de trier avant la reprise.

Le cadre juridique reste l’affaire de votre DPO. Le travail sur les données — fiabiliser le dernier contact, anonymiser sans casser les rapports, propager l’effacement dans les outils reliés — est celui que mènent nos consultants CRM.