Données clients et RGPD : que faire en tant qu'indépendant

Dès qu'un indépendant garde un carnet de clients, une liste de contacts ou un historique de chantiers, il traite des données personnelles. Le règlement européen sur la protection des données (RGPD) s'applique, même à une activité d'une seule personne. Cette page reprend les obligations lues sur la page de Service-Public et les précautions que la CNIL demande pour l'usage des outils d'IA. Elle ne remplace pas une analyse de votre situation.

Les obligations lues sur la page officielle

La page de Service-Public sur les obligations RGPD, vérifiée le 26/04/2024, indique les points suivants pour une entreprise qui gère des fichiers clients :

• Informer les personnes. Le responsable du traitement doit informer toute personne dont les données sont collectées. La page indique que le défaut d'information est puni d'une amende pénale de 1 500 € pour les entrepreneurs individuels.
• Tenir un registre. Il est obligatoire pour les entreprises de moins de 250 salariés lorsque le traitement est non occasionnel, ce qui inclut la gestion des clients. Il peut être écrit dans le format de votre choix.
• Définir une durée de conservation. Elle doit être fixée dès la mise en place du fichier. Une fois l'objectif atteint, les données doivent être supprimées.
• Assurer la sécurité. Les mesures (mots de passe, HTTPS, sauvegardes) doivent être proportionnées aux risques.
• Garantir les droits. Accès, rectification, effacement, portabilité et opposition. Pour une demande d'accès, le responsable dispose d'un mois.

Ce que l'IA aide à faire

• Préparer un modèle de registre : une ligne par fichier (clients, prospects, devis), avec la finalité, les catégories de données, la durée de conservation et les personnes qui y accèdent. Vous complétez les champs.
• Rédiger une mention d'information à placer sur un devis ou un formulaire : qui vous êtes, pourquoi vous collectez les données, combien de temps vous les gardez, comment exercer ses droits.
• Rédiger une réponse type à une demande d'accès ou d'effacement, à relire avant envoi.
• Repérer les données personnelles dans un texte que vous lui soumettez, avec des exemples fictifs.

Ce qu'il ne faut pas faire

• Ne collez pas votre fichier clients dans un outil grand public. La CNIL conseille de ne jamais partager sur ce type de service des informations confidentielles telles que des données personnelles. Un fichier réel doit rester dans vos outils, pas dans une fenêtre de saisie.
• Ne laissez pas l'outil fixer la durée de conservation. Vous la déterminez en fonction de votre activité et de vos obligations, puis vous la notez.
• Ne considérez pas un registre rédigé par l'IA comme terminé. Un registre sert à rendre des comptes ; il doit correspondre à ce que vous faites réellement.

Les précautions avec un outil d'IA

La CNIL, dans ses questions-réponses sur l'IA générative, donne plusieurs repères pratiques :

• Un utilisateur ne devrait soumettre que des informations qu'il est autorisé à partager.
• Pour un usage non confidentiel, un service grand public peut être envisagé, à condition d'éviter de créer un compte avec une adresse électronique personnelle.
• Si l'outil le permet, il est possible de désactiver la réutilisation des données d'usage par le fournisseur.
• Les résultats peuvent être inexacts tout en paraissant plausibles : il ne faut pas les reprendre tels quels.

Liste de vérification

• Liste des fichiers qui contiennent des données de clients ou de prospects.
• Registre écrit, avec une durée de conservation pour chaque fichier.
• Mention d'information présente sur les devis et formulaires.
• Procédure écrite pour répondre à une demande d'accès dans un mois.
• Mots de passe robustes et sauvegardes testées.
• Aucune donnée réelle de client dans un outil grand public.
• Réglage de l'outil vérifié : réutilisation des données désactivée si possible.

Ce qui n'est pas repris ici

Les durées de conservation propres à chaque type de document, les modèles de registre et les sanctions au-delà de l'amende citée ne sont pas repris dans cette page, faute de lecture de la source correspondante. Voir la source officielle sur cnil.fr et sur Service-Public avant de fixer une durée.

Pour les professions dont le secret est protégé, voir le guide sur le secret professionnel. Pour les règles de prospection par mail, voir le guide sur la prospection.