RGPD et données clients : que pouvez-vous conserver en tant qu'entrepreneur ?

📋 En bref : Un entrepreneur peut conserver les données clients tant qu'elles sont nécessaires à une finalité claire et reposent sur une base juridique valable. Dans la situation belge générale, les factures et pièces comptables se conservent 10 ans; pour les autres données personnelles, fixez un délai adapté à chaque finalité. Sécurisez les données et traitez soigneusement les demandes d'accès ou d'effacement.

Le RGPD (Règlement Général sur la Protection des Données) s'applique à toute entreprise qui traite des données personnelles. En tant qu'entrepreneur de construction, vous traitez des données de clients, d'employés et de sous-traitants. Cela signifie que le RGPD s'applique à vous.

Ça semble plus lourd que ça ne l'est. Pour un entrepreneur avec 5 à 20 employés, il s'agit d'hygiène de base, pas d'un cauchemar juridique.

Que pouvez-vous conserver ?

Vous pouvez conserver les données dont vous avez besoin pour votre travail. Nom, adresse et coordonnées des clients : nécessaires pour les devis, les factures et la communication. Numéro de TVA : nécessaire pour la facturation. Coordonnées bancaires : nécessaires pour les paiements. Photos du chantier : nécessaires pour la documentation et la preuve.

La règle de base : conservez ce dont vous avez besoin, aussi longtemps que vous en avez besoin, et pas plus.

Combien de temps pouvez-vous conserver ?

Factures et pièces comptables : dans la situation belge générale, conservez-les 10 ans. Les autres données clients n'ont pas de délai général fixe : ne les gardez pas plus longtemps que nécessaire pour la finalité poursuivie et documentez la base juridique ainsi que le délai. Un intérêt commercial éventuel ne justifie pas automatiquement une conservation illimitée.

Mais si un client demande la suppression de ses données et que vous n'avez ni projet en cours ni obligation légale de conservation, vous devez le faire.

Ce que vous ne pouvez pas faire

Partager des données avec des tiers sans raison. Vendre votre liste de clients à une société de marketing n'est pas autorisé. Partager vos données clients avec un fournisseur à des fins commerciales non plus.

Utiliser les données dans un autre but que celui pour lequel elles ont été collectées. Vous avez l'adresse e-mail du client pour le devis. L'utiliser pour lui envoyer chaque semaine une newsletter sans son consentement n'est pas OK.

Conserver plus de données que nécessaire. Vous n'avez pas besoin de la date de naissance de votre client pour une rénovation. Ne la conservez pas.

Que devez-vous faire concrètement ?

Sachez quelles données vous conservez. Données clients, données employés, données fournisseurs. Dans quel système se trouvent-elles ? Qui y a accès ?

Sécurisez-les raisonnablement. Un Excel sur un ordinateur partagé sans mot de passe n'est pas raisonnable. Un logiciel avec des identifiants par utilisateur est raisonnable. Un dossier client dans une armoire fermée à clé est aussi raisonnable.

Informez vos clients. Vous n'avez pas besoin d'écrire 20 pages de politique de confidentialité. Une courte politique de confidentialité sur votre site web ou dans vos conditions générales suffit : quelles données vous collectez, dans quel but, combien de temps, et comment le client peut vous contacter pour des questions.

Répondez aux demandes. Si un client demande quelles données vous détenez sur lui, vous devez pouvoir le montrer. S'il demande la suppression et que vous n'avez pas de raison légale de conserver, vous devez supprimer.

En pratique

La plupart des entrepreneurs n'ont pas à s'inquiéter du RGPD, tant qu'ils appliquent l'hygiène de base : ne conserver que le nécessaire, sécuriser raisonnablement, et respecter les demandes des clients.

Limitez dans votre logiciel l'accès aux données clients selon le rôle et l'organisation. Lorsque les données personnelles ne sont plus nécessaires, supprimez-les ou anonymisez-les conformément à votre politique de conservation, tout en gardant intactes les factures et pièces comptables légalement requises pendant le délai applicable de 10 ans.

Le RGPD n'est pas un monstre. C'est du savoir-vivre élémentaire avec un cadre légal.