Quels sont les impacts du RGPD sur les entreprises BtoB ?

Oui, le RGPD transforme très concrètement la manière dont une entreprise BtoB prospecte, vend, recrute, utilise un CRM ou délègue ses outils numériques. Dès qu’un fichier contient le nom d’un interlocuteur, son adresse e-mail professionnelle nominative, son numéro direct, son identifiant de connexion ou des données de navigation, il contient des données personnelles. L’entreprise doit pouvoir expliquer pourquoi elle les utilise, sur quelle base juridique, pendant combien de temps, qui y accède et comment elles sont protégées.

Le point souvent mal compris est le suivant : le BtoB n’est pas une zone hors RGPD. En revanche, la prospection par e-mail auprès de professionnels peut généralement reposer sur l’intérêt légitime, sans consentement préalable, lorsque la sollicitation est en rapport avec leur métier et qu’ils peuvent s’y opposer facilement. Une campagne indifférenciée, des données achetées sans contrôle ou une case précochée ne deviennent pas licites parce que les destinataires travaillent en entreprise.

Le RGPD s’applique‑t‑il à votre activité BtoB ?

Le règlement s’applique aux entreprises établies dans l’Union européenne qui traitent des données personnelles, quelle que soit leur taille. Il peut aussi viser une société située hors de l’UE lorsqu’elle propose des biens ou services à des personnes dans l’UE ou suit leur comportement. Une PME de conseil, un éditeur SaaS, un grossiste, un cabinet de recrutement ou un industriel sont donc concernés au même titre qu’un site de commerce en ligne.

Donnée personnelle

C’est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Un e-mail générique comme contact@entreprise.fr n’identifie pas, en principe, une personne ; prenom.nom@entreprise.fr, un numéro de ligne directe, un cookie, une adresse IP ou une fiche CRM le peuvent.

Les données relatives à une personne morale ne sont pas, à elles seules, couvertes par le RGPD : raison sociale, numéro SIREN, adresse du siège ou chiffre d’affaires d’une société. Mais une fiche client mêle presque toujours données d’entreprise et données de personnes : nom du décideur, historique des échanges, devis consultés, préférences ou notes commerciales. C’est ce mélange qui fait entrer le CRM dans le champ du règlement.

Prospection BtoB : consentement ou intérêt légitime ?

Le consentement est une base juridique possible, mais il n’est pas le réflexe automatique en BtoB. Pour l’e-mail professionnel, la CNIL admet couramment la prospection fondée sur l’intérêt légitime lorsque le message porte sur des produits ou services en lien avec la profession du destinataire. Une société qui propose un logiciel de gestion à un directeur administratif et financier se trouve dans un cadre bien plus défendable qu’une entreprise qui lui envoie une offre sans rapport avec sa fonction.

Cela ne dispense pas d’obligations. Dès la collecte ou le premier e-mail, le contact doit savoir qui le sollicite, pour quelle finalité, comment ses données ont été obtenues si elles viennent d’un tiers, et comment s’opposer aux prochains envois. Le lien de désinscription doit être visible, fonctionnel et gratuit. Une liste d’opposition doit être conservée pour éviter de recontacter par erreur les personnes désabonnées : c’est une conservation justifiée, non une contradiction.

Quelles obligations opérationnelles le RGPD impose‑t‑il ?

Le principe central est celui d’accountability, ou responsabilité démontrable : l’entreprise ne doit pas seulement être conforme, elle doit être capable de le prouver. Il faut notamment tenir une documentation à jour, attribuer les rôles, organiser les réponses aux personnes concernées et vérifier les pratiques des prestataires. Une politique de confidentialité publiée sur le site est utile, mais elle ne remplace ni un registre, ni des contrats, ni des mesures de sécurité.

Le registre des activités de traitement est l’outil de départ. Il recense, pour chaque traitement, la finalité, les catégories de personnes et de données, les destinataires, les durées de conservation, les transferts éventuels hors de l’UE et les mesures de sécurité. Les organisations de moins de 250 salariés ne sont pas automatiquement dispensées : l’exemption est étroite et ne couvre notamment pas les traitements non occasionnels, ce qui est précisément le cas d’un CRM ou d’une paie utilisée au quotidien.

Chaque traitement doit aussi reposer sur une base juridique : exécution d’un contrat pour gérer un compte client ou un abonnement ; obligation légale pour la facturation et certaines archives ; intérêt légitime pour certains usages commerciaux ou de sécurité ; consentement lorsqu’il est réellement requis ; défense d’un droit en justice dans un contentieux. La base juridique se choisit avant la collecte. Elle ne se change pas après coup parce qu’un contrôle survient.

Mettre un CRM et sa prospection BtoB en conformité : les 6 étapes

Sous-traitants, transferts hors UE et contrats BtoB : qui est responsable ?

Dans un contrat BtoB, le client n’est pas automatiquement responsable de traitement et le fournisseur automatiquement sous-traitant. Le responsable de traitement décide des finalités et des moyens essentiels du traitement. Le sous-traitant traite des données pour son compte, sur instruction. Un prestataire qui réutilise des données à ses propres fins ou décide seul de certains usages peut devenir responsable distinct, voire responsable conjoint pour une opération donnée. Les rôles doivent être analysés dans les faits, pas seulement désignés par une clause.

Un contrat de sous-traitance RGPD doit préciser au minimum l’objet et la durée du traitement, sa nature, ses finalités, les catégories de données et de personnes, les obligations du sous-traitant, les mesures de sécurité, l’encadrement des sous-traitants ultérieurs, l’assistance pour les droits et violations, les audits, ainsi que la restitution ou suppression des données. Une phrase vague du type « les parties respectent le RGPD » ne suffit pas.

Examinez aussi le lieu réel de traitement. Un fournisseur européen peut recourir à un support ou à une infrastructure hors Espace économique européen. En cas de transfert vers un pays sans décision d’adéquation, des garanties appropriées sont nécessaires, souvent les clauses contractuelles types de la Commission européenne, complétées par une évaluation du transfert et, si besoin, des mesures techniques ou organisationnelles. Demandez la liste des sous-traitants et les pays concernés avant de signer.

Violations de données, DPO et sanctions : les risques à anticiper

Une violation de données ne signifie pas seulement un piratage spectaculaire. Un ordinateur portable perdu, un fichier de prospects envoyé au mauvais destinataire, un compte CRM partagé ou un accès conservé par un ancien salarié peuvent constituer une violation de confidentialité. L’entreprise doit documenter tout incident. Si la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance. En cas de risque élevé, les personnes concernées doivent aussi être informées, sauf exception.

La désignation d’un délégué à la protection des données, ou DPO, est obligatoire notamment pour les organismes publics, les organisations dont les activités de base impliquent un suivi régulier et systématique à grande échelle, ou le traitement à grande échelle de données sensibles. Beaucoup de PME n’y sont pas légalement tenues, mais doivent tout de même désigner un responsable interne de la conformité et pouvoir joindre une compétence juridique et technique lorsque les traitements deviennent complexes.

La CNIL peut prononcer des rappels à l’ordre, des injonctions de mise en conformité, une limitation ou une suspension de traitement, ainsi que des amendes. Selon le manquement, les plafonds peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, ou 20 millions d’euros ou 4 % pour les infractions les plus graves. En pratique, une entreprise BtoB risque également un audit client, la perte d’un appel d’offres, la résiliation d’un contrat ou une atteinte durable à sa réputation. Conservez donc les preuves : registre, analyses, contrats, formations, paramétrages et journal des incidents.