Oui, la RGPD s'applique même si vous travaillez exclusivement avec d'autres entreprises. Le règlement ne regarde pas qui est votre client, mais ce que vous traitez : dès lors que vous enregistrez le nom, l'adresse e-mail, le numéro de téléphone ou la fonction d'une personne de contact, vous traitez une donnée personnelle. Le fait que cette personne de contact appelle ou envoie des e-mails au nom d'une entreprise ne change rien pour la loi.
La confusion naît parce que les gens associent la RGPD aux données de consommateurs : commandes, comptes clients, infolettres. Mais une adresse de facturation avec le nom d'un acheteur, une entrée CRM avec le numéro de téléphone mobile d'une personne de contact, ou un échange de courriels avec un fournisseur relèvent tous des mêmes règles. Il s'agit de données concernant une personne physique, non du type de relation que vous entrettenez avec cette entreprise.
Ce qui change et ce qui ne change pas en B2B
Le fait de travailler dans un environnement B2B ne change pas l'essence de la RGPD, mais change sa portée pratique. Beaucoup d'obligations qui semblent lourdes avec les données de consommateurs, comme demander le consentement pour le marketing ou expliquer pourquoi vous collectez des données, ont souvent une application différente et plus légère pour les données de contact professionnelles. Par exemple, il y a souvent un intérêt légitime plus évident à contacter une personne de contact au sujet d'une mission en cours que dans le cas d'un consommateur aléatoire. Cela n'empêche pas que vous deviez pouvoir expliquer pourquoi vous conservez ces données et pendant combien de temps.
Ce qui ne change pas non plus : l'obligation de conserver ces données de manière sécurisée, et le droit de la personne de contact elle-même de demander quelles données vous avez enregistrées la concernant. Un acheteur chez un client peut en théorie faire une demande d'accès, tout comme un client particulier. La RGPD ne fait aucune distinction selon qui pose la question.
Exemples pratiques
Une entreprise d'installation qui travaille exclusivement avec d'autres entreprises a généralement un CRM rempli de noms, numéros de téléphone et adresses e-mail de personnes de contact chez les clients et fournisseurs. Un responsable RH qui conserve des CV de candidats traite des données personnelles, même si le poste vacant concerne une fonction technique au sein d'une entreprise B2B. Un responsable d'administration qui fait signer une liste de présence aux visiteurs enregistre également les noms de personnes qui viennent au nom d'une autre entreprise.
Dans aucun de ces cas, il ne s'agit de données de consommateurs au sens classique, et pourtant elles relèvent du même règlement. La distinction qui compte en pratique n'est pas B2B par rapport à B2C, mais plutôt : s'agit-il d'une personne physique identifiable, ou de données entièrement anonymisées ou purement commerciales comme un numéro de Chambre de commerce ou une adresse générique info@ sans nom.
Ce que cela signifie pour votre registre des activités de traitement
Parce que les données de contact professionnelles relèvent de la RGPD, elles doivent aussi figurer dans votre registre des activités de traitement : d'où elles proviennent, pourquoi vous les conservez, qui y a accès et combien de temps vous les conservez. Chez beaucoup de petites et moyennes entreprises, c'est justement cette catégorie qui est oubliée, car l'attention se porte sur les dossiers du personnel ou les données des clients finaux. Sur la base de connaissances avec explications pour chaque situation vous trouverez plus de contexte sur le moment où les données sont considérées comme des données personnelles et quand elles ne le sont pas.
Si vous utilisez des outils SaaS pour votre CRM, vos courriels ou votre facturation, ces outils traitent souvent aussi ces données de contact professionnelles. C'est pertinent pour les contrats de traitement que vous avez ou devriez avoir avec ces fournisseurs, et pour la question de savoir quel outil traite exactement quelles données. Via les questions les plus fréquemment posées sur la RGPD en pratique vous lisez comment cela s'inscrit dans vos obligations plus larges.
Que votre situation spécifique relève de certaines exceptions, ou quelle base légale s'applique précisément à votre mode de fonctionnement, c'est quelque chose qui varie d'une entreprise à l'autre et sur lequel vous devriez consulter un juriste ou la Commission Nationale de l'Informatique et des Libertés en cas de doute. Ce qui s'applique en revanche à pratiquement chaque entreprise : si vous enregistrez des données personnelles de personnes de contact sans savoir exactement lesquelles et pourquoi, c'est un bon point de départ pour vous mettre en conformité.
Vérifier par vous-même où vous en êtes
Voulez-vous rapidement voir quels flux de données dans votre entreprise sont concernés, y compris les coordonnées commerciales des clients et des fournisseurs ? Effectuez l'analyse rapide gratuite ou lisez d'abord comment gdpria.eu structure l'information de la réglementation de la protection des données et des autorités de contrôle, et créez un compte professionnel si vous souhaitez que votre registre soit constitué à partir des outils que vous utilisez déjà.