RGPD et fichier client : les règles simples à respecter en TPE

Le RGPD s’applique-t-il au fichier client d’une petite entreprise ?

Oui. Dès que vous enregistrez le nom, le téléphone ou l'email d'un client, sur papier, tableur ou logiciel, le RGPD s'applique, quelle que soit la taille de l'entreprise.

Le RGPD, c’est le règlement européen sur la protection des données personnelles. Il s’applique depuis le 25 mai 2018. Il vise toutes les entreprises, du grand groupe à l’artisan seul.

Une donnée personnelle, c’est toute information qui permet de reconnaître une personne. Un nom, un numéro de portable, une adresse, un historique d’achat : tout compte.

Ce qui est un fichier client

Un fichier client n’est pas forcément un gros logiciel. C’est toute liste organisée de personnes. Par exemple :

• le carnet du plombier avec les adresses des chantiers ;
• le logiciel de caisse du coiffeur qui garde les fiches clientes ;
• le tableur d’un gîte avec les réservations de l’été ;
• la liste des acheteurs d’une boutique en ligne ;
• les contacts du téléphone professionnel, s’ils servent à l’activité.

Et les clients professionnels ?

Ils sont aussi concernés. Le nom et l’email nominatif d’un gérant ou d’un acheteur sont des données personnelles. En revanche, une adresse générique du type contact@ ou le seul nom d’une société ne visent pas une personne précise.

Pas de panique

Le RGPD ne vous interdit pas de tenir un fichier. Il vous demande de le tenir proprement : savoir pourquoi vous gardez chaque information, combien de temps, et qui y a accès. Si vous découvrez le sujet, commencez par comprendre ce qu’est un CRM et à quoi il sert pour une petite entreprise : c’est souvent l’outil qui rend tout cela plus facile.

Quelles données a-t-on le droit de noter dans un fichier client ?

Seulement les informations utiles à votre activité : identité, coordonnées, achats, devis, préférences de service. Évitez les données sensibles et les commentaires personnels ou désobligeants sur vos clients.

La règle s’appelle la minimisation. En clair : vous ne notez que ce qui sert vraiment. Si une information ne vous aide pas à servir le client, elle n’a rien à faire dans le fichier.

Ce qui est normal de noter

Type de donnée	Exemple concret
Identité	Nom, prénom, civilité
Coordonnées	Téléphone, email, adresse du chantier ou de livraison
Historique	Achats, interventions, devis envoyés
Préférences utiles	Créneau préféré, mode de contact souhaité
Paiement	Factures, échéances (pas le numéro de carte en clair)

Le devis, par exemple, contient déjà les coordonnées utiles. Pour bien le rédiger, la méthode est détaillée dans comment faire un devis quand on est artisan.

Ce qu’il faut éviter

• Les données sensibles : santé, religion, opinions politiques, vie sexuelle, origine. Elles sont interdites par principe, sauf cas précis.
• Les commentaires vexants : « client pénible », « mauvais payeur ». Le client peut demander à voir sa fiche. Il lirait ces mots.
• Les informations sans lien : situation familiale, profession du conjoint, si elles ne servent à rien.

Le cas délicat de la santé

Un coiffeur note qu’une cliente est allergique à un produit. C’est une donnée de santé. Mieux vaut écrire « ne pas utiliser tel produit » et demander l’accord clair de la cliente. Même logique pour un taxi qui note un besoin d’aide pour monter en voiture.

Pour les commentaires, adoptez un réflexe simple : écrivez des faits neutres. « Relancé deux fois pour la facture » plutôt que « mauvais payeur ».

Faut-il déclarer son fichier client à la CNIL ?

Non. La déclaration à la CNIL a disparu en 2018. Elle est remplacée par une logique de responsabilité : vous documentez vous-même ce que vous faites, dans un registre.

Beaucoup de patrons pensent encore qu’il faut remplir un formulaire à la CNIL pour avoir le droit de tenir un fichier. C’était vrai avant le RGPD. Ce n’est plus le cas.

La CNIL, c’est la Commission nationale de l’informatique et des libertés. C’est l’autorité française qui veille au respect des règles sur les données. Elle conseille, contrôle et peut sanctionner.

Ce qui a remplacé la déclaration

Aujourd’hui, vous n’envoyez rien à l’avance. En échange, vous devez pouvoir montrer, en cas de question, que vous respectez les règles. Concrètement :

• tenir un registre de vos fichiers et de leur usage ;
• informer vos clients de ce que vous faites de leurs données ;
• respecter des durées de conservation ;
• protéger le fichier ;
• répondre aux demandes des personnes.

Faut-il nommer un délégué à la protection des données ?

Le délégué, souvent appelé DPO, est une personne chargée de veiller au respect du RGPD. Il est obligatoire pour les organismes publics et pour certaines activités à grande échelle, comme le suivi régulier de personnes ou les données sensibles en masse.

Une boulangerie, un cabinet de plombier ou une petite boutique en ligne n’en ont généralement pas besoin. Le patron reste simplement responsable de son fichier.

Le bon réflexe

Même sans déclaration, gardez une trace écrite de vos choix. Si un client se plaint ou si la CNIL pose une question, vous montrez votre registre et vos mentions d’information. C’est votre meilleure protection.

Faut-il le consentement du client pour l’enregistrer dans son fichier ?

Pas toujours. Pour établir un devis, livrer ou facturer, l'exécution du contrat suffit. Le consentement n'est exigé que dans certains cas, comme la prospection par email des particuliers.

Le RGPD demande une raison valable pour chaque usage des données. Cette raison s’appelle une base légale. Il en existe six, mais quatre concernent vraiment une TPE.

Base légale	Quand l’utiliser	Exemple
Contrat	Pour préparer ou exécuter une vente ou une prestation	Le plombier note l’adresse pour intervenir
Obligation légale	Quand la loi vous impose de garder une information	Conserver les factures
Intérêt légitime	Pour un usage attendu par le client, sans le gêner	Le garagiste rappelle la date de révision
Consentement	Quand la personne doit dire oui avant	La newsletter envoyée à des prospects particuliers

Ce qu’il faut retenir

Vous n’avez pas à faire signer une autorisation pour enregistrer un client qui vous achète quelque chose. Le contrat justifie la collecte.

En revanche, utiliser ces données pour autre chose demande de vérifier la base légale. Envoyer des promotions, partager le fichier avec un partenaire ou publier une photo de chantier sont des usages différents.

Le consentement, quand il est demandé

S’il faut un accord, il doit être libre, clair et donné par un geste actif. Une case précochée ne vaut rien. Une phrase cachée dans les conditions générales non plus.

Exemple : un gîte propose sur son formulaire de réservation une case non cochée « Je souhaite recevoir les offres de dernière minute ». Le client qui la coche a vraiment dit oui. Gardez la date et la manière dont il a accepté : c’est votre preuve.

Peut-on envoyer des emails et des SMS commerciaux à ses clients ?

Oui, à vos clients pour des produits proches de leurs achats, s'ils ont pu refuser. Pour un prospect particulier, il faut son accord préalable. Chaque message doit permettre la désinscription.

La prospection par email et SMS suit des règles précises, qui distinguent les particuliers et les professionnels.

Vers des particuliers

• Prospect sans lien avec vous : il faut son accord avant le premier envoi.
• Client existant : vous pouvez lui écrire sans accord préalable, si l’offre porte sur des produits ou services proches de ce qu’il a acheté. Il doit avoir pu refuser au moment où il a donné son email.

Exemple : une fleuriste peut envoyer à ses clients une offre pour la fête des mères. Elle ne peut pas transmettre leur email à un traiteur ami.

Vers des professionnels

L’accord préalable n’est pas exigé. Il faut informer la personne et lui permettre de refuser. Le message doit avoir un lien avec son métier. Un menuisier peut proposer ses services à un architecte, pas une offre de vacances.

Dans chaque message

• Indiquez clairement qui écrit.
• Ajoutez un moyen simple de se désinscrire, gratuit.
• Retirez immédiatement ceux qui refusent.

La CNIL détaille ces cas dans sa fiche sur la prospection commerciale par courrier électronique. Pour démarrer de bon pied, consultez aussi le guide de l’emailing pour artisans et patrons de TPE.

Et le téléphone ?

Avant d’appeler un particulier qui n’est pas votre client, vérifiez qu’il n’est pas inscrit sur Bloctel, la liste d’opposition au démarchage téléphonique. Depuis 2023, ces appels sont aussi limités à certains horaires en semaine et en nombre. Vérifiez les règles en vigueur avant toute campagne d’appels.

Combien de temps peut-on garder les données d’un client ?

Le temps de la relation commerciale, puis en général trois ans après le dernier contact pour la prospection. Les factures et pièces comptables se conservent dix ans, à part.

Garder les données « au cas où » n’est pas permis. Chaque information a une durée de vie, liée à son usage.

Les repères les plus courants

Donnée	Durée habituelle	Point de départ
Fiche d’un client actif	Durée de la relation	Tant qu’il achète ou vous sollicite
Données pour prospecter un ancien client	3 ans	Fin de la relation ou dernier contact de sa part
Prospect qui n’a jamais acheté	3 ans	Collecte ou dernier contact de sa part
Factures, pièces comptables	10 ans	Clôture de l’exercice
Liste des personnes qui refusent vos messages	Tant que nécessaire	Pour ne plus leur écrire

La CNIL publie ses repères sur les durées de conservation des données. Ils valent pour la plupart des commerces.

Le « dernier contact », c’est quoi ?

C’est une action du client : un achat, une demande de devis, une réponse à un email. Le simple fait que vous lui écriviez ne relance pas le compteur.

Archiver n’est pas garder

Au bout de la durée active, deux choix s’offrent à vous :

• supprimer les données qui ne servent plus ;
• archiver celles que la loi impose de garder, comme les factures, dans un espace à part, consulté seulement en cas de besoin.

Exemple : un artisan du bâtiment garde ses factures et ses dossiers de chantier pour faire face aux garanties légales. Il n’utilise plus ces adresses pour envoyer des promotions après trois ans sans nouvelle.

Le bon rythme

Faites le ménage une fois par an, par exemple en janvier. Un bon logiciel peut repérer automatiquement les fiches sans activité depuis trois ans.

Qu’est-ce que le registre des traitements et comment le tenir ?

Le registre est un document qui liste vos fichiers : à quoi ils servent, quelles données ils contiennent, qui y accède et combien de temps vous les gardez. Un tableur suffit.

Le mot « traitement » désigne tout usage des données : collecter, ranger, consulter, envoyer, supprimer. Le registre recense ces usages.

En théorie, les entreprises de moins de 250 salariés en sont dispensées. Mais la dispense ne joue pas pour un usage régulier. Or un fichier client sert tous les jours. En pratique, tenez-le.

Ce qu’il contient

Pour chaque usage, une ligne avec :

• le nom et les coordonnées du responsable, souvent le gérant ;
• l’objectif : facturation, fidélisation, newsletter, recrutement ;
• les catégories de personnes : clients, prospects, salariés ;
• les catégories de données : identité, coordonnées, achats ;
• les destinataires : comptable, logiciel en ligne, livreur ;
• les éventuels envois hors de l’Union européenne ;
• la durée de conservation ;
• les mesures de sécurité.

Exemple pour une boulangerie

Usage	Données	Destinataires	Durée
Commandes de gâteaux	Nom, téléphone, date	Équipe de vente	3 ans après dernière commande
Carte de fidélité	Nom, email, points	Logiciel de caisse	Durée de l’adhésion
Facturation pro	Raison sociale, contact	Expert-comptable	10 ans

La CNIL propose un modèle gratuit et des explications sur le registre des activités de traitement. Une heure suffit souvent pour une petite entreprise.

Le faire vivre

Le registre n’est pas un papier qu’on range. Mettez-le à jour quand vous ajoutez un outil, une newsletter ou un nouveau prestataire.

Comment informer ses clients de l’usage de leurs données ?

Par une mention courte et claire au moment de la collecte : qui garde les données, pourquoi, combien de temps, qui les reçoit et comment exercer ses droits.

Le client doit savoir ce que vous faites de ses informations. Pas besoin d’un texte juridique de trois pages. Il faut des réponses simples à cinq questions.

Les éléments à donner

• Qui : le nom de votre entreprise et un contact.
• Pourquoi : traiter la commande, envoyer la facture, informer des offres.
• Combien de temps : la durée de conservation.
• Qui reçoit : votre comptable, votre transporteur, votre outil d’emailing.
• Quels droits : voir, corriger, supprimer, refuser la prospection, et se plaindre à la CNIL.

Où le mettre

Lieu de collecte	Forme de l’information
Formulaire du site	Une phrase sous le bouton, avec un lien vers la politique de confidentialité
Devis papier ou PDF	Quelques lignes en bas de page
Comptoir de la boutique	Une affichette près de la caisse
Téléphone	Une phrase à l’oral, puis le détail par email
Boutique en ligne	Une page de politique de confidentialité accessible partout

Exemple de mention courte

« Vos coordonnées servent à traiter votre demande et à vous envoyer nos offres. Elles sont conservées trois ans après notre dernier échange. Vous pouvez les consulter ou les supprimer en écrivant à [votre email]. »

Un cabinet d’avocat, un salon de coiffure ou un électricien peuvent tous partir de cette base, en l’adaptant.

Une erreur fréquente

Copier la politique de confidentialité d’un autre site. Elle décrit ses outils, pas les vôtres. Si elle mentionne des usages que vous ne faites pas, ou oublie les vôtres, elle trompe vos clients.

Que faire quand un client demande à voir ou à supprimer ses données ?

Répondez dans un délai d'un mois, gratuitement. Montrez-lui ses données, corrigez-les ou supprimez-les, sauf celles que la loi vous oblige à garder, comme les factures.

Chaque personne a des droits sur ses données. Ils peuvent arriver par email, par courrier ou au comptoir.

Les droits les plus courants

• Accès : voir tout ce que vous avez sur elle.
• Rectification : corriger une adresse ou un nom erroné.
• Effacement : supprimer ses données quand elles ne sont plus nécessaires.
• Opposition : refuser de recevoir vos offres, à tout moment.
• Portabilité : récupérer ses données dans un format lisible.
• Limitation : geler l’usage de ses données pendant une vérification.

Comment répondre

1. Notez la date de la demande. Vous avez un mois, prolongeable de deux mois si c’est complexe, en prévenant la personne.
2. Vérifiez que c’est bien elle, sans demander de pièces excessives. Une réponse depuis l’email connu suffit souvent.
3. Rassemblez ce que vous avez : fiche, devis, échanges, historique.
4. Répondez par écrit, simplement.

Les limites de l’effacement

Un client demande à tout effacer. Vous supprimez sa fiche et vos listes d’envoi. Mais vous gardez ses factures : la loi l’exige. Expliquez-le-lui clairement.

Le cas du « ne m’écrivez plus »

Retirez-le tout de suite de vos envois. Gardez son email dans une liste d’exclusion, pour qu’il ne revienne pas par un import futur.

Ces demandes sont plus faciles à traiter quand tout est au même endroit. Une fiche client unique, avec l’historique et les relances, aide beaucoup : la méthode est expliquée dans gérer ses clients avec un CRM.

Comment sécuriser son fichier client, sur papier, tableur ou CRM ?

Limitez l'accès aux seules personnes utiles, protégez chaque accès par un mot de passe solide, faites des sauvegardes et choisissez des outils sérieux sur la protection des données.

Le RGPD demande une sécurité adaptée. Pour une TPE, cela tient en quelques gestes simples.

Les bons réflexes

• Un accès par personne : chacun son identifiant, pas un mot de passe partagé sur un post-it.
• Des mots de passe solides, et la double vérification quand l’outil la propose.
• Des sauvegardes régulières, en dehors de l’ordinateur principal.
• Un ordinateur et un téléphone verrouillés, avec mises à jour faites.
• Pas de fichier envoyé en pièce jointe à tout va.
• Un carnet papier rangé, pas laissé sur le comptoir.

Tableur ou CRM ?

Outil	Avantages	Points de vigilance
Cahier	Simple, sans écran	Perte, lecture par des tiers, aucune copie
Tableur	Gratuit ou peu coûteux, souple	Copies multiples, peu de traçabilité
CRM	Accès par utilisateur, historique, purge	Choisir un éditeur sérieux, vérifier l’hébergement

Un CRM, c’est un logiciel de gestion de la relation client. Pour comparer, lisez quel logiciel CRM choisir pour une TPE et ce qu’un CRM gratuit permet vraiment.

Vos prestataires aussi

L’éditeur du CRM, l’outil d’emailing ou l’hébergeur du site manipulent vos données. Ils doivent s’engager par contrat à les protéger. Vérifiez leurs conditions, et où les données sont stockées.

En cas de fuite

Ordinateur volé, piratage, fichier envoyé au mauvais destinataire : c’est une violation de données. S’il existe un risque pour les personnes, vous devez prévenir la CNIL dans les 72 heures. Si le risque est élevé, prévenez aussi les clients concernés.

Peut-on acheter ou louer un fichier de prospects ?

C'est possible, mais risqué. Vérifiez que les personnes ont accepté d'être contactées par des partenaires, surtout les particuliers. Sans preuve claire de cet accord, mieux vaut s'abstenir.

Acheter une liste d’emails semble un raccourci. En pratique, c’est souvent une source d’ennuis.

Ce qu’il faut vérifier avant

• L’origine des contacts : où et comment ont-ils été collectés ?
• L’accord des particuliers : ont-ils accepté, par une case claire, de recevoir des offres de partenaires ?
• La fraîcheur : une liste ancienne contient beaucoup d’adresses inactives.
• Le contrat : le vendeur garantit-il par écrit la conformité du fichier ?

Pour les professionnels, les règles sont plus souples. Les messages doivent toutefois concerner leur métier, et chaque personne doit pouvoir refuser.

Informer les personnes

Quand vous récupérez des données sans les avoir collectées vous-même, vous devez informer les personnes. Faites-le au plus tard lors du premier contact, et dans un délai d’un mois.

Et récupérer des contacts sur internet ?

Copier des emails sur des annuaires, des réseaux sociaux ou des sites, pour les mettre dans une liste d’envoi, pose problème. Une donnée visible en ligne n’est pas libre d’usage pour autant.

L’alternative plus sûre

Construisez votre propre fichier :

• formulaire de devis sur votre site ;
• inscription à la newsletter en boutique ;
• cartes de visite échangées en salon, avec un mot pour prévenir ;
• clients satisfaits qui recommandent.

Un fichier plus petit mais choisi donne de meilleurs échanges. Un électricien qui écrit à vingt clients qui le connaissent obtient des réponses. Mille inconnus, eux, risquent surtout de le signaler comme indésirable.

Quels risques en cas de non-respect du RGPD ?

La CNIL peut avertir, mettre en demeure ou sanctionner, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Le premier risque reste la perte de confiance des clients.

Le montant maximal fait peur. Il est réservé aux cas graves et aux grandes structures. Pour une TPE, les risques sont plus concrets.

Ce qui peut arriver

• Une plainte d’un client auprès de la CNIL, souvent après des emails non désirés.
• Un rappel à l’ordre ou une mise en demeure de corriger vos pratiques dans un délai.
• Une amende, proportionnée à la gravité et à la taille de l’entreprise.
• Un litige avec un client qui demande réparation.

Les situations qui déclenchent des plaintes

Situation	Pourquoi ça coince
Newsletter impossible à quitter	Le droit d’opposition n’est pas respecté
Demande d’accès restée sans réponse	Le délai d’un mois est dépassé
Fichier partagé avec un partenaire	Les clients n’ont pas été informés
Commentaire blessant découvert	Donnée excessive, inutile
Fuite après un vol d’ordinateur	Sécurité insuffisante

Le vrai coût

Un client mécontent parle autour de lui. Un avis négatif en ligne sur un démarchage abusif reste visible longtemps. Pour un coiffeur, un restaurateur ou un artisan de quartier, la réputation compte plus que tout.

La bonne nouvelle

La plupart de ces situations s’évitent avec des gestes simples : un lien de désinscription, une réponse rapide, un ménage annuel. La CNIL accompagne aussi les petites entreprises avec des fiches pratiques. Être de bonne foi et documenter ses choix fait une vraie différence en cas de question.

Comment mettre son fichier client en conformité, étape par étape ?

Faites l'inventaire de vos données, triez l'inutile, fixez des durées, informez vos clients, tenez le registre, sécurisez les accès, puis prévoyez un ménage annuel. Comptez quelques heures.

La mise en conformité d’une TPE ne demande pas un juriste à plein temps. Elle demande de l’ordre.

Les huit étapes

1. Inventaire : listez tous les endroits où dorment des données clients. Téléphone, boîte mail, cahier, tableur, logiciel de caisse, boutique en ligne.
2. Regroupement : rassemblez tout dans un seul outil, si possible.
3. Tri : supprimez les doublons, les fiches sans activité depuis plus de trois ans, les commentaires inutiles.
4. Bases légales : pour chaque usage, notez la raison valable : contrat, obligation légale, intérêt légitime ou consentement.
5. Durées : fixez-les et programmez la purge.
6. Information : ajoutez les mentions sur vos formulaires, devis et en boutique.
7. Registre : remplissez-le avec le modèle de la CNIL.
8. Sécurité : accès personnels, mots de passe, sauvegardes, contrats avec vos prestataires.

Un exemple concret

Une petite boutique en ligne découvre trois fichiers : les commandes, une vieille liste de newsletter et les contacts d’un ancien salon. Elle garde les commandes. Elle relance la newsletter avec une demande d’accord. Elle supprime la liste du salon, sans preuve d’accord.

Se faire aider

Remettre de l’ordre dans un outil existant, c’est un travail que nous faisons souvent. Voyez par exemple le cas de L’Armurerie NéA, dont le site a été remis au propre. Pour le fichier client, notre service de CRM et relation client installe un outil réglé pour vos relances, vos désinscriptions et vos durées de conservation.

Le réflexe annuel

Chaque début d’année, prenez une heure. Purgez les fiches trop anciennes, relisez vos mentions et mettez à jour le registre.