RGPD, pourquoi cela concerne aussi les commerciaux

Qu'est-ce que le RGPD ?

Le RGPD, Règlement Général sur la Protection des Données, est le nouveau règlement du parlement européen et du Conseil de l'Union Européenne visant à harmoniser la gouvernance des informations personnelles au sein des pays membres de l'Union Européenne et a pour objectif de sécuriser et protéger les données personnelles que possèdent les entreprises.

Toutes les entreprises qui gèrent, stockent et déplacent des données personnelles (clients, fournisseurs, salariés, etc.), sont concernées.

Concrètement, un client pourra par exemple à partir du 25 mai 2018 accéder gratuitement à ses données personnelles et demander quel usage l'entreprise en fait une fois collectées ou encore exiger de l'entreprise d'effacer ses données...

Quelle démarche mettre en place ?

Il est indispensable de sensibiliser l'ensemble des collaborateurs sur les nouvelles règles liées à la règlementation, et prendre conscience des impacts qu'elle aura sur les processus de l'entreprise.

Parmi les mesures majeures figure la désignation, pour certaines entreprises, d'un Délégué à la Protection des Données (DPO, Data Protection Officer). Sa mission principale est de s'assurer que l'entreprise soit en conformité avec le cadre légal relatif aux données personnelles.

Pour certaines entreprises, le recours à la création d'un comité de pilotage " RGPD " peut suffire. Il peut s'agir par exemple, des membres du Comité de Direction ou du Comité exécutif, qui aura pour mission de superviser les actions de mise en conformité établies par chaque direction. Néanmoins, la contribution du service juridique de l'entreprise peut s'avérer utile, voire nécessaire.

Par où commencer ?

Avant tout, il convient de faire un état des lieux de la situation actuelle afin de prévoir les actions à mener et construire sa feuille de route. Pour commencer, il faut identifier où sont les données personnelles au sein de l'entreprise, qui les utilisent, comment et à quelle fin.

Ensuite, il faut différencier données personnelles et données sensibles. Les données à caractère personnel concernent toutes les informations relatives à une personne physique identifiée, ou identifiable (nom, prénom, email, téléphone, photo, etc.). Bien que le recueil et les traitements de ces données soient fortement encadrés, la collecte de ces informations est légale.

Les données dites sensibles concernent l'origine raciale ou ethnique, les opinions politiques, philosophiques ou religieuses, l'appartenance syndicale, la santé ou la vie sexuelle. Par principe, la collecte et le traitement de ces données sont interdits, sauf consentement spécifique ou cas particuliers. Il est également interdit de stocker des commentaires inappropriés sur un individu, du type insultes ou jugement de valeur.

Quel impact sur les CRM ?

La plupart des CRM disposent de zones de texte libre, dans lesquelles les utilisateurs peuvent saisir des commentaires liés à un individu (client, fournisseur, ou personnel par exemple). Il faut donc être en mesure d'identifier les données sensibles souvent présentes dans les zones de commentaires libres des applications métier de l'entreprise.

La mise en conformité d'une entreprise passe aussi par la mise en conformité de ses outils et l'utilisation qui en est faite. il est important d'identifier les données personnelles stockées dans Le CRM et de s'assurer que ce dernier permet de répondre aux exigences du RGPD : recueil du consentement, traçabilité des modifications, droit d'accès aux données et droit à la portabilité, et aussi droit à l'oubli et traitements d'anonymisation.

La CNIL recommande de limiter le recours aux zones de commentaires libres et de favoriser l'utilisation de menus déroulants. Cependant, l'utilisation de ces zones permet d'assurer le suivi d'un dossier client ou de personnaliser la relation commerciale. Dans ce cas, la CNIL préconise la réalisation d'audits réguliers et le recours à des outils automatiques. On peut par exemple utiliser des solutions de type datamining, text mining permettant d'identifier et de monitorer en temps réel (ou en différé), les données sensibles dans les zones de commentaires libres des applications de l'entreprise. Ainsi, toute saisie non conforme pourra être détectée et corrigée en temps réel.

Ce que cela va changer pour les commerciaux ?

Dès lors que les commerciaux s'apprêtent à collecter une donnée sur un client ou un prospect, ils devront se poser un certain nombre de questions afin de s'assurer d'être conforme avec les droits des personnes et les obligations des entreprises. Il est donc important que les services commerciaux soient sensibilisés aux obligations qui s'imposent à eux lors de la saisie de données personnelles, notamment dans le cas de collecte directe (art.13 du RGPD), comme c'est souvent le cas pour les commerciaux. D'après l'article 13, le commercial devra fournir un certain nombre d'informations lors de la collecte de données personnelles à la personne concernée.

Ce que cela va changer pour les clients & prospects ?

Bien qu'il puisse apparaitre comme une contrainte lourde pour les entreprises, ce nouveau règlement peut être une réelle opportunité de nouer des relations bien plus qualitatives avec les clients et les prospects. En effet, la digitalisation et les nouvelles technologies ont permis aux entreprises de collecter un volume considérable de données personnelles et sensibles, pour lesquelles les personnes concernées n'avaient plus aucune maîtrise, ni contrôle. Le RGPD impose d'informer les clients et prospects sur l'usage qu'il est fait de leurs données personnelles. Ce qui impose donc plus de transparence, et donc un climat de confiance qui sera bénéfique dans la relation client-fournisseur.

Quelles sanctions ?

Alors que la CNIL ne pouvait aller au-delà d'une amende de 150 000 euros, elle pourra dès mai 2018 infliger des sanctions pouvant aller jusqu'à 20 millions d'euros et 4 % du chiffre d'affaires annuel mondial.

L'auteur:

Diplômée d'un Master en Marketing de l'ESSEC-IMD et forte d'une expérience de plus 20 ans dans le marketing et la communication sur le plan international, Lucette Gaillard Commisso a pris la Direction Marketing et Communication de Coheris en 2014. Depuis 2016, elle a la responsabilité du pôle Data Intelligence et Connaissance Clients de Coheris.

L'équipe de Datascientists qu'elle dirige a en charge les projets de datamining et d'analyse de données des clients de Coheris.

En complément:

RGPD: devez-vous nommer un DPO pour être en conformité?

CNIL: Les 6 étapes pour réussir son projet RGPD