Quelles données clients conserver — et lesquelles exigent une base propre

Une petite entreprise ne collecte pas de données clients par curiosité, mais parce que l'activité ne tourne pas sans elles. Un rendez-vous demande un nom et un numéro, une facture une adresse, la deuxième séance le résultat de la première. Le RGPD n'interdit rien de cela : il exige que vous puissiez dire, pour chaque entrée, à quoi elle sert.

Tout le reste en découle : la finalité décide de la base légale, la base légale de la conservation, et les deux ensemble de savoir si une note est un aide-mémoire ou une catégorie soumise à des règles plus strictes. Cet article trie cela en trois paniers et montre où passe la frontière. C'est un repère — sur votre cas précis, la CNIL ou un conseil juridique tranchent.

L'article 5 du RGPD pose six principes ; trois vous concernent chaque jour. Limitation des finalités : les données sont collectées pour des finalités déterminées et explicites, et pas traitées ensuite de manière incompatible. Minimisation : seulement ce qui est nécessaire. Limitation de la conservation : seulement tant que la finalité le porte.

S'y ajoute l'article 6, paragraphe 1, et sa liste des motifs rendant un traitement licite. Quatre concernent une entreprise de service : l'exécution d'un contrat, mesures précontractuelles comprises (point b), une obligation légale (point c), l'intérêt légitime (point f), le consentement (point a). En pratique, le consentement se retrouve surtout là où il n'était pas nécessaire.

Ce n'est pas de la systématique gratuite. Qui enregistre un rendez-vous au seul motif d'un consentement se retrouve sans base dès qu'il est retiré — alors que le rendez-vous est nécessaire à la prestation. À l'inverse, le contrat ne porte pas la lettre d'information, si cordiale que soit la relation. La base légale suit la finalité, pas la commodité, et ne s'échange pas après coup.

Triez une fois votre fichier en trois paniers. L'exercice prend une demi-heure et répond ensuite de lui-même à la plupart des questions. Seul le deuxième panier ne relève pas de votre décision : c'est la durée de conservation attachée à ce type de pièce qui en fixe la longueur.

C'est le troisième panier qui donne du travail, non parce qu'il serait interdit mais parce qu'il se remplit sans décision. Un champ « date de naissance » naît parce que le logiciel le propose ; trois ans plus tard, personne ne sait plus s'il servait au message d'anniversaire ou au contrôle de l'âge. Les deux sont licites — avec une base et une durée différentes.

Une particularité de la troisième ligne vous épargne des arbitrages : toute personne peut s'opposer à tout moment à la prospection (article 21, paragraphe 2). Sans motif, sans mise en balance. Ce n'est pas une demande sur laquelle vous statuez : c'est la fin de ce traitement.

C'est ici que la théorie se décide. Une note écrite lors d'un rendez-vous, trois variantes, trois régimes :

• « Couleur 7.3, 40 minutes de pose » — sur la prestation. Contrat, sans difficulté.
• « Revoir les freins arrière au prochain passage » — sur la chose, pas sur la personne. Sans difficulté non plus.
• « Cuir chevelu irrité, intolérance à l'ammoniaque » — sur la santé. Donc un autre article du règlement.

L'article 9, paragraphe 1, interdit par principe le traitement des catégories particulières ; les données de santé y sont nommées. L'article 4, point 15, les définit comme les données révélant l'état de santé, et le considérant 35 retient une acception large — y compris les informations recueillies lors de la fourniture d'un service.

L'interdiction n'est pas la fin mais le début. L'article 9, paragraphe 2, point a, la lève si la personne a donné son consentement explicite. « Explicite » exige ici plus qu'ailleurs : un accord conscient et nommé pour cette information, pas une case sous des conditions générales. Ce n'est pas lourd — une ligne dans la fiche d'accueil disant que l'information est facultative, à quoi elle sert et qu'elle peut être retirée.

La même frontière touche la note sur un enfant (« ne supporte pas le latex »), l'information alimentaire pour une réception, la mobilité réduite. La question est toujours la même : est-ce écrit sur l'état de la personne ou sur la prestation ? Faute de certitude, traitez l'information comme une donnée de santé. C'est le sens d'erreur le moins coûteux.

La minimisation sonne comme un renoncement et se révèle un allègement. Tout champ qui existe finit rempli ; toute entrée devra être tenue à jour, citée dans une demande d'accès et un jour supprimée. Le moment le moins cher pour se débarrasser d'une donnée est celui d'avant sa naissance.

Trois questions avant chaque nouveau champ :

1. Que fais-je différemment si quelque chose y figure ? Si la réponse est « rien », le champ est inutile.
2. Une information plus grossière suffit-elle ? « Majeur : oui » au lieu d'une date de naissance ; « préfère le matin » au lieu des horaires de travail.
3. Qui, dans l'entreprise, doit le voir ? Une note de prestation appartient à la personne qui exécute, pas à un écran de caisse que le client suivant lit par-dessus l'épaule.

La troisième question se règle par le logiciel, pas par la discipline. Là où rendez-vous, notes et factures vivent dans un même système, la séparation par rôles est un paramètre ; répartis entre papiers, calendrier mural et tableur, elle reste une intention. Ce que cela donne pour un salon, le logiciel de salon le montre ; pour un garage, le logiciel de garage. La question reste la même quel que soit l'outil.

Des trois paniers naît un tableau, et ce tableau est déjà le cœur de ce que l'article 30 appelle le registre des activités de traitement : finalités, catégories de données et de personnes, destinataires, durées prévues, description générale des mesures techniques et organisationnelles.

L'article 30, paragraphe 5, prévoit une exception pour les organisations de moins de 250 salariés — qui ne joue presque jamais. Elle tombe dès que le traitement comporte un risque pour les droits et libertés, dès qu'il n'est pas occasionnel, ou dès que des catégories particulières au sens de l'article 9 sont en jeu. Un fichier clients tenu au fil de l'eau n'est pas occasionnel : invoquer l'exception, c'est en règle générale invoquer un critère que l'entreprise ne remplit pas.

Bonne nouvelle : le registre n'est pas une expertise. Un tableau avec une ligne par traitement — rendez-vous, facturation, lettre d'information, candidatures — suffit. Il se tient par écrit, la forme électronique convenant (article 30, paragraphe 3), et ne part à l'autorité de contrôle que sur demande (paragraphe 4).

Un délégué à la protection des données n'en découle pas. L'article 37, paragraphe 1, l'impose dans trois cas qui ne visent typiquement pas une petite entreprise de service : autorité publique, suivi systématique à grande échelle comme activité de base, traitement à grande échelle de catégories particulières comme activité de base. Le droit national peut ajouter ses cas — et c'est là que la France diffère de certains voisins : elle ne fixe aucun seuil d'effectif. Contrairement à l'Allemagne, aucun nombre de personnes ne rend la désignation automatique. La désignation volontaire reste possible, et l'autorité compétente est la CNIL.