CRM et protection des données : gérer le consentement et la conservation

Protection des données dans le CRM : pourquoi ce n'est pas une archive neutre

La LPD s'applique au traitement des données personnelles de personnes physiques par des privés et des organes fédéraux. Un CRM d'entreprise entre dans son champ d'application lorsqu'il contient des noms, des coordonnées, des notes de contact, l'historique des achats ou des demandes de devis. Cela vaut également pour les interlocuteurs chez les clients entreprises : ils restent des personnes physiques identifiées.

Font exception les données qui ne permettent pas de remonter à une personne déterminée ou identifiable, comme les données agrégées ou anonymisées de manière irréversible.

La LPD s'applique au traitement de données personnelles ayant des effets en Suisse, même si le traitement est effectué à l'étranger. Elle ne s'applique en revanche pas au traitement de données personnelles par des personnes physiques pour un usage exclusivement personnel. Un CRM d'entreprise ne relève pas de cette exception.

Outre la LPD, chaque canton dispose d'une loi cantonale sur la protection des données. Ces lois s'appliquent aux organes cantonaux et communaux ainsi qu'aux institutions privées chargées de tâches publiques. Pour une entreprise privée, la référence reste la LPD fédérale.

Les champs personnalisés, les scores attribués aux contacts, les automatisations d'e-mails, l'enregistrement des appels téléphoniques, les synchronisations avec d'autres outils et les journaux d'interactions doivent être évalués individuellement, selon ce qu'ils révèlent et leur finalité d'utilisation.

Le point de départ est un inventaire opérationnel, pouvant être organisé sous forme de registre des activités de traitement des données. Pour chaque entrée, on indique quelles données entrent dans le système, depuis quelle source, pour quelle finalité, pendant combien de temps, à qui elles sont accessibles et à quels fournisseurs elles sont transmises.

La loi distingue les données personnelles ordinaires des données personnelles dignes d'une protection particulière. Sont particulièrement protégées, entre autres, les données révélant l'origine raciale et ethnique, les données de santé, les convictions religieuses ou philosophiques, les données biométriques pour l'identification et l'appartenance syndicale. Dans un CRM, il suffit d'une note libre dans la fiche contact pour qu'une donnée de ce type y figure.

Consentement dans le CRM : quand il est nécessaire et comment l'enregistrer

Lorsque l'on recueille le consentement, il est utile d'expliquer clairement quelles utilisations du CRM concernent ce choix. Enregistrer la version du texte accepté, la date et le canal de collecte permet de reconstituer l'objet du consentement. Une case unique pour la newsletter, le profilage commercial et la transmission à des tiers rend plus difficile la compréhension du choix exprimé.

Le consentement n'est pas la seule base possible dans toutes les situations.

En l'absence de base légale, les données ne peuvent être traitées et communiquées qu'avec le consentement explicite de la personne concernée (Pro Infirmis).

Lorsque le CRM se fonde sur le consentement, il doit également enregistrer la révocation communiquée par la personne et mettre à jour les activités liées. Ainsi, le choix reste consultable alongside les autres préférences du contact.

Consentement vs. Autres bases juridiques dans le CRM

Options pour la gestion du consentement dans le CRM

Informer avant de collecter : des formulaires aux fiches contact

L'obligation d'informer n'est considérée comme remplie qu'avec la communication d'une série d'informations ; parmi celles-ci figurent l'identité et les coordonnées du responsable du traitement.

L'information doit indiquer, entre autres, la finalité du traitement, les destinataires ou les catégories de destinataires auxquels les données sont communiquées et, si les données ne sont pas collectées auprès de la personne concernée, les catégories de données personnelles traitées.

Si les données sont communiquées à l'étranger, il faut également indiquer le nom de l'État ou de l'organisme international et, selon les cas, les garanties prévues ou l'exception applicable. La LPD parle d'étranger, non de pays tiers.

Le formulaire de contact, la landing page et le script du centre d'appels ne peuvent se limiter à un renvoi générique. Le texte doit être accessible avant l'envoi des données et indiquer qui traite les données et dans quel but.

Celui qui importe des listes externes ne peut s'appuyer sur l'information fournie par la source. Il convient de vérifier que les données ont été collectées avec une information couvrant les finalités du nouveau CRM et que le consentement, s'il est requis, existe.

Même l'ajout d'un champ, d'un score ou d'un outil connecté (newsletter, automatisation, analytics) modifie ce que fait le système. Cela exige de mettre à jour le texte, sinon l'information décrit un traitement différent de celui effectif.

Contacts commerciaux et droit d'opposition

Dans le CRM coexistent opt-in et opt-out. L'opt-in se fonde sur un consentement préalable ; l'opt-out part d'un contact existant et doit garantir la possibilité de s'opposer. Dans les deux cas, le choix doit être enregistré de manière traçable : date, canal (formulaire, téléphone, e-mail, désinscription via un lien), campagne ou liste concernée et personne ayant géré la demande. Une opposition notée seulement comme texte libre dans la fiche contact risque d'être ignorée lors de la prochaine campagne.

Techniquement, l'opposition doit bloquer les contacts. Le contact doit être exclu des listes d'envoi, des automatisations et des exportations vers d'autres outils. Sa présence dans une liste d'exclusion doit être vérifiée avant chaque campagne. Le refus partiel doit aussi être géré : celui qui accepte la newsletter mais pas les appels commerciaux ne constitue ni un refus total, ni un consentement général.

La tenue documentaire des choix compte. Le marketing direct et le droit d'opposition sont des domaines sur lesquels le Préposé fédéral à la protection des données et à la transparence (PFPDT) est intervenu par des enquêtes.

Dans le secteur de la mode, le PFPDT a sanctionné Cream della Cream et Philipp Plein pour marketing direct et non-respect du droit d'opposition. La décision du 17 avril 2026 est devenue définitive après l'expiration du délai de recours.

Conservation dans le CRM : critères de durée et suppression

La durée doit être décidée lors de la conception du projet, pas laissée au hasard. Pour chaque catégorie, il faut établir une durée ou un critère d'expiration : pour un lead jamais converti, cela peut être l'inactivité ; pour un client actif, la fin de la relation ; pour une demande d'assistance, la clôture du dossier. Pour les journaux, le critère peut être la disparition de la finalité opérationnelle.

Celui qui traite les données d'une personne est tenu d'agir dans le respect du droit selon le principe de proportionnalité. Appliqué à la conservation, ce critère impose de ne pas garder les données plus longtemps que ne l'exige la finalité.

Il faut tenir séparée la partie soumise aux obligations de conservation prévues par d'autres normes des données purement commerciales, supprimables plus tôt. Sans cette distinction, la suppression périodique risque d'éliminer ce qui doit être conservé, ou de tout conserver par prudence.

La suppression est elle-même une opération de traitement : le traitement comprend l'obtention, la conservation, l'utilisation, l'adaptation, la divulgation et la suppression des données. Elle doit donc être planifiée comme les autres opérations.

Il faut définir ce qui advient des copies de sauvegarde, des données dans les outils connectés, des exportations dans des feuilles de calcul utilisées pour une seule campagne, des fiches dupliquées ou mal fusionnées. Les contacts jamais convertis et les doublons constituent généralement le volume le plus important et sont les candidats naturels à une expiration courte.

Enfin, le contrôle de cohérence : ce qui est déclaré dans l'information concernant la durée doit correspondre à ce que le système fait réellement. Si la suppression est automatique, il faut vérifier que l'automatisme s'exécute et n'a pas été désactivé. Si elle est manuelle, il faut attribuer l'opération à une personne et en laisser trace. Ainsi, on pourra répondre à une demande de la personne concernée ou à une enquête.

Cycle de vie des données dans le CRM : de la collecte à la suppression

Qui répond de quoi au sein de l'entreprise

Pour chaque opération de traitement, il y a un ou plusieurs organismes responsables de garantir sa conformité aux exigences. En entreprise, cela se traduit par une attribution explicite des tâches liées au CRM.

Il faut établir qui décide quels champs existent et avec quelle finalité, qui gère les consentements et les oppositions, qui exécute et vérifie les suppressions. Il faut aussi définir qui est le point de contact interne pour les personnes concernées et qui contrôle les fournisseurs.

Les mêmes fonctions doivent être attribuées à celui qui administre le système, à celui qui l'utilise pour le marketing et à celui qui l'utilise pour les ventes. Les responsabilités ne coïncident pas avec les droits d'accès.

Avec le fournisseur CRM, il est utile de formaliser le traitement des données et les tâches des parties. Un accord peut préciser les obligations en matière de sécurité et le support du fournisseur, tout en réglementant le recours éventuel à des sous-traitants.

Ces responsabilités se mesurent aux droits que les personnes concernées peuvent faire valoir : les personnes dont les données sont traitées peuvent former des prétentions envers les responsables du traitement. Concrètement, le CRM doit pouvoir produire un extrait complet des données d'une seule personne, y compris les notes et l'historique, corriger ce qui est erroné et supprimer ce qu'il n'est plus licite de conserver.

La protection des données accorde à la personne concernée des droits juridiquement protégés, en particulier celui de recevoir des informations sur quelles données la concernant sont traitées. À certaines conditions, elle peut aussi exiger la rectification, le blocage ou la destruction des données.

Le non-respect de la LPD est punissable par des sanctions allant jusqu'à 250'000 francs suisses.

Il convient de tester le parcours sur une fiche réelle, avec les délais et les personnes impliquées. Mieux vaut cela que de découvrir les limites du système lors de la première demande d'accès.

Sanctions et responsabilités selon la LPD suisse