Ce que le RGPD vous demande réellement quand vous capturez un lead

Un inconnu saisit son e-mail dans votre formulaire. À cette seconde vous devenez responsable de traitement de cette fiche, ce qui est un rôle juridique et non une figure de style. C’est aussi plus léger que la plupart ne le craignent, à condition que les bonnes choses se produisent au bon moment.

La base légale se décide sur le formulaire, pas après

Pour un contact que vous venez de rencontrer, le consentement est la base honnête, et sa place est sur le formulaire lui-même : une case que la personne coche avant que quoi que ce soit ne soit enregistré. La base se trouve ainsi là où se trouve la donnée, et non dans une politique que personne n’ouvre.

L’intérêt légitime est parfois invoqué à la place. Il tient mal pour les coordonnées personnelles d’un inconnu recueillies sur un stand, car le test de mise en balance demande si la personne s’attendait raisonnablement au traitement, et quelqu’un qui ne vous a rien remis ne s’attendait à rien.

La conséquence pratique est mince. Une case, cochée à la capture, et la question ne revient plus.

Ce que la mention doit dire

Qui vous êtes, pourquoi vous collectez, combien de temps vous conservez, et comment vous joindre. Quatre faits, en mots simples, à côté du champ qu’ils concernent. Un lien vers une politique complète couvre le reste.

Un détail mérite d’être relevé : une carte de visite papier qu’on vous tend ne déclenche rien par elle-même, puisque la personne a choisi de la donner. Les obligations commencent quand vous la saisissez dans un système, car c’est là que naît le traitement. La capture numérique n’ajoute pas de devoirs, elle rend visibles ceux qui pesaient déjà sur la boîte à chaussures.

L’article 14, et le piège de l’enrichissement

Si vous obtenez des données personnelles ailleurs qu’auprès de la personne elle-même, l’article 14 impose de l’informer sous un mois : ce que vous détenez désormais, d’où cela vient, pourquoi, et pour combien de temps.

C’est ce qui rend l’enrichissement inconfortable. Un outil qui complète une fiche depuis des bases achetées vous remet des données que la personne n’a jamais données, sur une base dont elle n’a pas été saisie, et le devoir d’information vous incombe plutôt qu’au fournisseur. La plupart de ces chaînes n’envoient jamais cette information, ce qui laisse l’acheteur avec un traitement non divulgué qu’il ignorait avoir déclenché.

Combien de temps garder un lead non converti

Le règlement ne fixe aucun chiffre. Il exige une durée que vous puissiez justifier au regard de votre finalité, ce qui revient à en décider une et à l’appliquer plutôt qu’à tout garder indéfiniment par défaut.

Pour un lead capturé en événement, une réponse courante et défendable va d’un à trois ans après le dernier contact : assez long pour un cycle de vente, assez court pour être argumenté. Écrivez-la, et supprimez à l’échéance. Un registre qui ne fait que grossir est un registre indéfendable.

Qui répond quand la personne écrit

Vous. C’est à vous qu’elle a eu affaire, la fiche est la vôtre, et le sous-traitant qui la détient agit sur vos instructions. En pratique l’interface fait le travail : cherchez dans le registre, corrigez la ligne ou supprimez-la, et répondez dans le mois que le règlement accorde.

Le B2B ne vous exempte pas

L’idée la plus tenace dans ce domaine est que les contacts professionnels échapperaient au règlement. Ce n’est pas le cas. prenom.nom@societe.com identifie une personne, ce qui en fait une donnée personnelle quel que soit le domaine. Un générique info@societe.com relève d’un autre cas, puisqu’il identifie une organisation et non quelqu’un, mais ce n’est pas ce que les gens laissent sur un formulaire de capture.

Le contexte B2B modifie la mise en balance d’un intérêt légitime, et il modifie ce qu’une personne attend raisonnablement. Il ne supprime pas le devoir de dire qui vous êtes, pourquoi vous collectez, et comment se faire oublier.

Le registre des activités de traitement

L’article 30 demande aux organisations de tenir un registre de ce qu’elles traitent et pourquoi. L’exemption pour les organisations de moins de 250 salariés est plus étroite qu’on ne le croit généralement : elle tombe dès que le traitement est régulier, et capturer des leads à chaque événement auquel vous participez est régulier.

Pour une petite structure, ce registre n’est pas un chantier. Un tableau, une ligne par traitement, avec la finalité, les catégories de personnes et de données, les destinataires et la durée de conservation. La ligne qui couvre la capture en événement s’écrit une fois et ne change plus qu’au changement d’outil.

La valeur n’est pas le document. C’est que remplir la colonne « durée » vous force à décider un chiffre, ce qui est l’obligation la plus souvent sautée.

L’endroit où la donnée se trouve physiquement relève d’une autre question, celle des transferts, et elle est traitée sur la page RGPD.