RGPD : ce qu'un artisan du bâtiment doit savoir

Un devis, une adresse de chantier, un numéro de téléphone noté dans la camionnette : dans le bâtiment, les données personnelles de vos clients passent entre vos mains tous les jours. Le règlement général sur la protection des données (RGPD) s’applique à toutes les entreprises qui les utilisent, quelle que soit leur taille, y compris à un artisan qui travaille seul. Pour une petite entreprise, l’essentiel repose sur quelques réflexes simples.

Quelles données sont concernées ?

Toute information qui permet d’identifier une personne est une donnée personnelle : le nom et l’adresse d’un client, l’adresse d’un chantier chez un particulier, un numéro de téléphone, une adresse e-mail ou une photo sur laquelle une personne est reconnaissable. Les informations sur vos salariés sont aussi concernées : paie, plannings, géolocalisation des véhicules.

Utiliser ces données, c’est les « traiter » : les collecter, les saisir dans un logiciel de devis, les transmettre à votre comptable, ou simplement les conserver dans un classeur.

Tenir un registre des traitements

Le registre est un document qui recense les usages que vous faites des données personnelles : gestion des clients et des devis, paie, prospection, etc. Pour chacun, il précise notamment l’objectif poursuivi, les catégories de données, les destinataires et la durée de conservation.

Les entreprises de moins de 250 salariés bénéficient d’une dispense, mais elle est très limitée. Selon la CNIL, doivent tout de même figurer au registre les traitements non occasionnels, comme la gestion des clients, des prospects, des fournisseurs ou de la paie, ainsi que les traitements susceptibles de comporter un risque, comme la géolocalisation ou la vidéosurveillance. En pratique, un artisan doit donc tenir un registre. La CNIL propose un modèle simplifié, pensé pour les petites structures.

Ce que vous gardez, et combien de temps

Le RGPD impose de ne collecter que les données nécessaires et de ne pas les garder indéfiniment.

• Prospects (devis restés sans suite, demandes de renseignements) : la CNIL admet une conservation de trois ans à compter de la collecte ou du dernier contact émanant de la personne.
• Clients : les données utiles sont conservées pendant la relation commerciale, puis le temps des obligations légales. Les factures, comme les autres pièces comptables, se conservent dix ans (article L123-22 du Code de commerce).

Faites régulièrement le tri : un ancien tableau de prospects oublié sur un ordinateur reste un fichier de données personnelles.

Informer vos clients

Vos clients doivent savoir qui utilise leurs données, dans quel but, pendant combien de temps, et comment exercer leurs droits : accès, rectification, effacement, notamment. Une mention courte sur vos devis et sous le formulaire de contact de votre site, complétée par une politique de confidentialité plus détaillée, permet de répondre à cette obligation. La CNIL publie des exemples de mentions d’information à adapter à votre situation.

Prospection par e-mail et par SMS

Envoyer une offre commerciale par e-mail ou par SMS à un particulier suppose, en principe, son consentement préalable, par exemple au moyen d’une case à cocher qui n’est pas cochée par défaut. Une exception existe pour vos clients : vous pouvez leur proposer des prestations analogues à celles qu’ils vous ont déjà achetées, à condition qu’ils aient été informés et qu’ils puissent s’y opposer simplement, à la collecte puis dans chaque message.

Vers un professionnel, à son adresse professionnelle et pour un sujet en lien avec son activité, le consentement préalable n’est pas exigé : il doit en revanche être informé et pouvoir s’opposer à recevoir vos messages.

La géolocalisation des véhicules

Un dispositif de géolocalisation dans les véhicules de vos salariés est admis pour certains objectifs : suivre et justifier une intervention, assurer la sécurité du salarié ou du véhicule, retrouver un véhicule volé. Il ne peut pas servir à contrôler le respect des limitations de vitesse.

La CNIL rappelle plusieurs règles :

• informer chaque salarié avant la mise en place du dispositif, et informer ou consulter les représentants du personnel s’il y en a ;
• permettre de désactiver la géolocalisation en dehors du temps de travail lorsque le véhicule peut être utilisé à titre privé ;
• limiter la conservation des données à deux mois, sauf exceptions, par exemple lorsqu’elles servent à prouver la réalisation d’une prestation (jusqu’à un an).

Protéger les données

Un ordinateur volé sur un chantier ou un téléphone perdu peut exposer les données de vos clients. Mots de passe solides, sauvegardes régulières, accès réservés aux personnes qui en ont besoin, mises à jour des logiciels : la CNIL détaille ces mesures dans son guide de la sécurité des données personnelles.

Et votre site internet ?

Si vous avez un site, il doit afficher des mentions légales : identité de l’entreprise, numéro d’immatriculation, coordonnées, directeur de la publication et hébergeur. Dès qu’il comporte un formulaire de contact ou de demande de devis, une politique de confidentialité doit expliquer l’usage des données collectées.

À ne pas confondre avec vos documents commerciaux : l’assurance professionnelle obligatoire, comme la garantie décennale, doit figurer sur chacun de vos devis et de vos factures, avec les coordonnées de l’assureur et la couverture géographique du contrat (article 22-2 de la loi n° 96-603 du 5 juillet 1996).

Sources

• Appliquer le RGPD dans une TPE ou PME : les questions-réponses de la CNIL (CNIL)
• Le registre des activités de traitement (CNIL)
• Les durées de conservation des données (CNIL)
• RGPD : exemples de mentions d’information (CNIL)
• La prospection commerciale par courrier électronique (CNIL)
• La géolocalisation des véhicules des salariés (CNIL)
• Article 22-2 de la loi n° 96-603 du 5 juillet 1996 (Légifrance)
• Mentions obligatoires sur le site internet d’une entreprise (Service Public Entreprendre)