En bref
- Le registre des traitements est la première pièce demandée en contrôle. Une ligne par traitement : finalité, base légale, durée. Il se tient dans un tableur, pas chez un avocat.
- Les durées de conservation sont le point faible des bases marketing. Un prospect sans signe de vie depuis quatre ans n’a plus sa place dans votre fichier.
- Vos outils marketing sont des sous-traitants. Emailing, analytics, régie : chacun demande un contrat écrit et une localisation connue.
- L’absence de procédure est le vrai risque. Une demande de suppression sans destinataire identifié dépasse le délai d’un mois sans que personne s’en aperçoive.
Une demande arrive un mardi matin par le formulaire de contact : « supprimez toutes les données que vous avez sur moi ». La personne figure dans la plateforme d’emailing, dans le CRM, dans l’historique de commandes, et dans un fichier transmis l’an dernier à une agence. Qui traite la demande, dans quel délai, et comment prouver ensuite que la suppression a eu lieu partout ?
Dans la plupart des PME que nous accompagnons, cette question crée un silence : personne n’a écrit la procédure, et les données se sont dispersées dans une dizaine d’outils.
Le RGPD est arrivé en mai 2018 comme un sujet juridique. Huit ans plus tard, c’est un sujet d’organisation, et il retombe sur le marketing : ce sont ces équipes qui collectent, segmentent, exportent et relancent.
L’erreur à ne pas commettre Croire qu’une bannière cookies suffit à vous mettre en règle. Elle traite le dépôt des traceurs, soit une case parmi une dizaine. Elle ne dit rien de vos durées de conservation, de vos contrats de sous-traitance, de vos exports de fichiers, ni de votre capacité à répondre à une demande de suppression.
Le consentement est traité ailleurs ici : les solutions de mesure d’audience exemptées, la rédaction d’une demande de consentement, le choix d’une plateforme de gestion du consentement. Voici les cinq chantiers qui viennent après.
Le registre des traitements : la première pièce qu’on vous demandera
Le registre n’est pas un document juridique. C’est l’inventaire de ce que vous faites des données personnelles : une ligne par traitement, tenue par la personne qui connaît réellement les outils.
L’article 30 prévoit une dispense sous 250 salariés, mais elle tombe dès que le traitement n’est pas occasionnel. Une base de prospection alimentée en continu et une newsletter mensuelle sont réguliers : une PME qui fait du marketing tient donc un registre.
C’est la première pièce demandée en contrôle parce qu’elle montre en dix minutes si vous savez ce que vous faites. Un registre absent ouvre la discussion sur toute votre organisation ; un registre tenu la recentre sur quelques points.
Ce qu’on écrit dans une ligne de registre
| Colonne | Ce qu’on y écrit | Exemple : la newsletter |
|---|---|---|
| Finalité | Pourquoi vous traitez ces données, en une phrase | Envoyer une information commerciale |
| Base légale | Consentement, contrat, obligation légale ou intérêt légitime | Consentement recueilli à l’inscription |
| Personnes | Qui se trouve dans le fichier | Clients et prospects inscrits |
| Données | Les champs réellement stockés | Email, prénom, date, ouvertures |
| Destinataires | Qui y accède, quel prestataire les héberge | Marketing, plateforme d’emailing |
| Transferts hors UE | Oui ou non, sur quel mécanisme juridique | À vérifier au contrat |
| Durée | Un chiffre et un déclencheur, jamais « le temps nécessaire » | 3 ans après le dernier contact |
| Sécurité | Les mesures concrètes en place | Comptes nominatifs, double authentification |
Les lignes marketing sont presque toujours les mêmes : newsletter, prospection, comptes clients, mesure d’audience, audiences publicitaires, jeux concours, formulaires, avis clients. Écrire ces huit lignes prend une demi-journée et fait apparaître les traitements orphelins, ceux dont plus personne ne sait pourquoi ils tournent.
Les durées de conservation : le chantier le plus mal tenu
C’est le sujet sur lequel nous trouvons le plus d’écarts en audit : presque toutes les bases que nous ouvrons contiennent des contacts inactifs depuis cinq ou six ans, faute de règle de purge écrite.
Une durée ne se choisit pas dans un barème, elle se déduit de la finalité. Tant que la finalité vit, la donnée se justifie ; quand elle s’éteint, la donnée part en suppression ou en archive à accès restreint.
| Type de donnée | Logique de durée et ordre de grandeur usuel | Déclencheur de suppression |
|---|---|---|
| Prospect non converti | Se justifie tant que la relation est vivante. Usage courant : 3 ans | Dernier contact venant du prospect : ouverture, clic, réponse |
| Client inactif | Sortie des bases de prospection quand la relation s’est éteinte. Usage courant : 3 ans | Dernière commande ou dernier échange |
| Historique de commande | Imposée par les obligations comptables, en archive à accès restreint et non en base marketing. Usage courant : 10 ans | Clôture de l’exercice |
| Navigation et traceurs | Traceur bien plus court que les statistiques qu’il alimente. Usage courant : 13 mois, environ 25 mois pour les données | Dépôt du traceur |
| Preuve de consentement | Tant que le consentement produit ses effets, plus le temps d’en apporter la preuve | Retrait ou désinscription |
Le déclencheur compte plus que la durée. « Trois ans » ne veut rien dire si personne ne sait à partir de quel événement le compte à rebours démarre, ni quel traitement exécute la purge. Une règle qu’aucun script n’applique reste une intention.
En amont, nous avons détaillé comment construire une base d’emails réellement consentants : une base propre à l’entrée rend la purge moins douloureuse à la sortie.
Vos outils marketing traitent vos données pour vous
Plateforme d’emailing, analytics, régie publicitaire, agence : tous manipulent des données dont vous restez responsable. Le règlement les qualifie de sous-traitants et impose un contrat écrit qui encadre ce qu’ils ont le droit d’en faire.
Ce contrat existe chez la plupart des éditeurs, sous forme d’un avenant à accepter dans l’interface. Le travail consiste à vérifier qu’il l’a été, et à en lire quatre points.
- Les instructions. Le prestataire ne traite les données que pour votre compte, jamais pour ses propres finalités.
- Les sous-traitants ultérieurs. Il en a presque toujours : la liste doit être accessible et ses évolutions notifiées.
- La localisation. Où sont hébergées les données et, si elles sortent de l’Union européenne, sur quel mécanisme juridique.
- La fin de contrat. Restitution ou suppression, dans quel délai, avec quelle preuve.
Deux points à ne pas manquer : le prestataire doit vous alerter sans délai en cas d’incident, puisque c’est vous qui notifierez l’autorité. Et sur certaines fonctions publicitaires, la plateforme agit en responsable conjointe et non en sous-traitante, ce qui se documente par écrit.
Les demandes d’exercice de droits : le délai court dès la réception
Accès, rectification, suppression, opposition, portabilité : une personne peut vous écrire par n’importe quel canal, y compris en répondant à une newsletter. Le délai est d’un mois à compter de la réception, prolongeable de deux mois pour une demande complexe, si vous en informez la personne dans le premier mois.
L’opposition à la prospection ne se discute pas et n’a pas à être motivée. Elle doit être effective partout, y compris dans un fichier déjà exporté chez un prestataire ou dans une audience publicitaire déjà chargée.
Le risque n’est pas la demande, c’est l’absence de procédure. Quatre éléments suffisent :
- Une adresse unique de réception, publiée dans la politique de confidentialité et surveillée par une personne nommée.
- Une cartographie des endroits où vit la donnée, qui est le registre relu dans l’autre sens.
- Une vérification d’identité proportionnée, sans réclamer de pièce d’identité par réflexe.
- Un journal des demandes : date de réception, date de réponse, ce qui a été fait et où.
Une demande ignorée finit en réclamation auprès de l’autorité de contrôle. L’examen qui suit ne porte plus sur la demande initiale, mais sur votre organisation entière.
Les violations de données : plus fréquentes qu’on ne l’imagine
Une violation n’est pas seulement une cyberattaque. C’est tout incident entraînant la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données personnelles.
Un fichier client envoyé au mauvais destinataire en est une. Un email adressé à toute une liste en copie visible au lieu de la copie cachée aussi, comme un dossier partagé resté public ou un ancien salarié dont l’accès au CRM n’a jamais été coupé.
Le réflexe à avoir Toute violation se documente en interne, y compris celle que vous ne notifiez pas : nature de l’incident, données touchées, nombre de personnes, conséquences probables, mesures prises. La notification à l’autorité de contrôle intervient dans les 72 heures après en avoir pris connaissance, sauf si l’incident ne présente pas de risque pour les personnes. Si ce risque est élevé, elles sont informées directement.
Le registre des violations est souvent la deuxième pièce demandée. Un registre vide n’est pas un bon signal : il dit surtout que les incidents ne remontent pas.
La check-list marketing en dix points
À faire ce mois-ci
- Lister les outils contenant des données personnelles, tableurs et exports oubliés compris.
- Écrire les huit lignes de registre de vos traitements marketing.
- Fixer une durée et un déclencheur pour chaque base, noir sur blanc.
- Vérifier que l’avenant de traitement des données est accepté chez chaque prestataire.
- Créer l’adresse unique de réception des demandes et la publier.
À installer dans la durée
- Programmer la purge automatique des contacts inactifs plutôt que de la promettre.
- Tenir le journal des demandes de droits, même s’il n’en arrive que trois par an.
- Ouvrir un registre des violations et y consigner le premier incident, aussi mineur soit-il.
- Vérifier chaque trimestre que le consentement remonte correctement dans vos outils de mesure.
- Relire le registre à chaque nouvel outil branché, avant la mise en production.
Le point neuf est plus technique qu’il n’y paraît : un consentement bien recueilli peut être mal transmis aux plateformes, sans que rien n’apparaisse sur un tableau de bord. Nous décrivons la vérification dans notre article sur le tracking qui ment en silence. Datafirefly Limited, société sœur de notre agence, édite aussi des modules de consentement et de conformité pour PrestaShop, WooCommerce et Shopware sur sa marketplace.
Questions fréquentes
Le registre des traitements est-il obligatoire sous 250 salariés ?
La dispense est étroite : elle tombe dès que le traitement n’est pas occasionnel, qu’il présente un risque pour les personnes ou qu’il porte sur des données sensibles. Une base de prospection alimentée en continu n’est pas occasionnelle. Une PME qui fait du marketing tient donc un registre.
Faut-il nommer un DPO dans une PME ?
La désignation n’est obligatoire que dans trois cas : les organismes publics, le suivi régulier et systématique à grande échelle, et le traitement à grande échelle de données sensibles. Une PME classique n’y est généralement pas tenue. Désigner un référent interne, qui tient le registre et reçoit les demandes, reste le plus efficace, et la fonction peut être externalisée.
Peut-on garder un prospect qui n’a jamais répondu ?
Pas indéfiniment. L’usage courant est de conserver la donnée environ trois ans après le dernier contact venant du prospect, puis de la supprimer ou de l’anonymiser. Garder un contact « au cas où » n’est pas une finalité, et un fichier de prospects morts dégrade la délivrabilité de vos emails autant que votre conformité.
Un email envoyé à toute la liste en copie visible est-il une violation de données ?
Oui : chaque destinataire a eu accès aux adresses des autres sans autorisation. Documentez l’incident en interne, évaluez le risque pour les personnes, puis notifiez l’autorité de contrôle si ce risque existe, dans les 72 heures suivant la découverte.
Combien de temps pour répondre à une demande de suppression ?
Un mois à compter de la réception, quel que soit le canal emprunté, avec une prolongation possible de deux mois pour une demande complexe si vous en informez la personne. Le compteur démarre à la réception, pas quand quelqu’un s’en saisit en interne.
Par où commencer si rien n’existe aujourd’hui
Ne commencez pas par la politique de confidentialité. Commencez par la liste de vos outils et par les durées de conservation : ce sont les deux points qui produisent le plus d’effet en une journée de travail, et ils alimentent tout le reste.
La suite se construit au rythme des projets : chaque outil branché, chaque export vers un prestataire est l’occasion d’ajouter une ligne au registre plutôt que de creuser l’écart. C’est ce qui sépare une conformité qui tient d’un dossier reconstitué dans l’urgence, et c’est une brique de votre transformation digitale.
Le registre que vous tenez pour le RGPD a désormais un jumeau : depuis le 2 août 2026, l’AI Act demande le même travail d’inventaire pour vos systèmes d’IA. Rôle, niveau de risque, base légale : les deux réglementations posent les mêmes questions, autant les traiter d’un seul geste.
Un doute sur ce que vos outils marketing conservent, et pendant combien de temps ? En premier rendez-vous, nous listons vos outils, ce qui entre et sort de chacun, et les durées réellement appliquées : c’est là que les écarts apparaissent. Parlons-en.