Votre CRM est un cimetière de prospects. Des emails qui rebondissent, des téléphones obsolètes et des consentements expirés s’accumulent silencieusement. Cette inertie coûte cher en licences inutiles et expose l’entreprise à des sanctions lourdes lors d’un contrôle CNIL. Nettoyer sa base n’est pas une option technique, c’est une obligation légale de limitation de la conservation.

Pourquoi garder des données mortes est illégal

Le principe fondamental du Règlement Général sur la Protection des Données (RGPD) est clair : on ne garde pas les données indéfiniment. L’article 5.1.e impose une limitation de la conservation. Les données à caractère personnel ne peuvent être conservées sous une forme permettant l’identification des personnes au-delà de la durée nécessaire aux finalités pour lesquelles elles sont traitées.

Cette règle s’applique à tous les outils de gestion de la relation client, qu’il s’agisse de HubSpot, Salesforce ou Pipedrive. Pourtant, la plupart des entreprises traitent leur CRM comme un entrepôt sans fond. Elles importent massivement, exportent rarement et suppriment encore moins. Cette négligence transforme le logiciel en passif juridique.

Les conséquences d’un manquement aux principes de base, dont la durée de conservation, sont sévères. Selon la CNIL, les sanctions administratives peuvent atteindre 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros, selon le montant le plus élevé. Au-delà de l’amende, c’est la réputation de l’entreprise qui souffre. Un prospect qui reçoit une relance commerciale trois ans après avoir indiqué son désintérêt perçoit l’entreprise comme intrusive, voire irrespectueuse.

Dans la pratique, la gestion du cycle de vie des données dans un CRM nécessite une rigueur que peu d’équipes commerciales possèdent naturellement. Leur métier est de vendre, pas d’archiver. C’est pourquoi la purge doit être automatisée et encadrée par des règles métiers précises, plutôt que laissée à la bonne volonté des commerciaux.

Quelle durée de conservation appliquer aux prospects B2B ?

La question revient systématiquement : combien de temps a-t-on le droit de garder un contact ? La réponse dépend de la nature de la relation. Pour la prospection commerciale B2B, la Commission Nationale de l’Informatique et des Libertés (CNIL) recommande une durée de référence. Si un prospect n’a eu aucune interaction avec l’entreprise (pas d’ouverture d’email, pas de clic, pas de réponse téléphonique) depuis 3 ans, ses données doivent être supprimées ou anonymisées.

Cette durée de trois ans n’est pas arbitraire. Elle correspond à la période durant laquelle l’intérêt légitime de l’entreprise à prospecter peut raisonnablement s’exercer sans porter atteinte excessive à la vie privée du prospect. Passé ce délai, le silence vaut désintérêt. Continuer à solliciter cette personne devient alors disproportionné.

Il est crucial de distinguer cette situation de celle d’un client actif ou d’un prospect ayant manifesté un intérêt récent. Dans ces cas, la conservation peut être justifiée par l’exécution d’un contrat ou par le consentement explicite. Mais pour le froid absolu, la règle des trois ans s’impose comme un standard de conformité.

Cette approche diffère radicalement du consentement tacite, souvent invoqué à tort en B2B. Comme l’expliquent les analyses sur l’illégalité du consentement tacite, l’absence d’opposition ne vaut pas accord. La purge régulière permet justement de se prémunir contre cette dérive en éliminant les contacts pour lesquels aucune base légale active ne subsiste.

Comment structurer une purge par paliers efficaces

Jeter toute la base d’un coup est une erreur stratégique. Cela détruit du potentiel commercial et crée des ruptures dans l’historique client. La méthode efficace repose sur une purge par paliers, distinguant le désengagement, l’inactivité et l’expiration du consentement.

Palier de purge	Critère déclencheur	Action recommandée	Risque si ignoré
Désengagement	Aucune ouverture/clic email depuis 6-12 mois	Arrêt des campagnes marketing, tentative de réactivation unique	Baisse du taux de délivrabilité, image de marque dégradée
Inactivité	Aucune interaction (téléphone, email, RDV) depuis 3 ans	Suppression ou anonymisation des données personnelles	Non-conformité RGPD, sanction potentielle de la CNIL
Consentement expiré	Retrait du consentement ou opposition explicite	Suppression immédiate et blacklisting	Violation grave du RGPD, plainte directe du prospect

Ce tableau illustre la gradation nécessaire. Le premier palier, le désengagement, est avant tout une question d’efficacité marketing. Envoyer des emails à des boîtes mortes nuit à la réputation de l’expéditeur auprès des fournisseurs de messagerie. Le second palier, l’inactivité, est la frontière légale. Le troisième, le retrait de consentement, est une urgence absolue.

Pour mettre en œuvre cette stratégie, il faut utiliser les fonctionnalités natives des CRM. Par exemple, HubSpot propose des workflows pour identifier les contacts inactifs et lancer des processus de suppression automatique. Cependant, comme le souligne la documentation de l’éditeur, le paramétrage reste à la charge du client. L’outil ne décide pas à votre place de ce qui est « inactif ». De même, Salesforce met à disposition des outils de gouvernance des données, mais ils nécessitent une configuration métier explicite pour définir les règles de conservation et d’anonymisation.

L’erreur commune est de croire que l’achat d’un CRM premium dispense de réfléchir aux processus. L’automatisation ne remplace pas la définition de la règle. Elle ne fait qu’exécuter une décision humaine. Si la décision est floue, l’automatisation sera dangereuse.

Quelles preuves présenter en cas de contrôle CNIL ?

Avoir nettoyé sa base ne suffit pas. Il faut pouvoir prouver que le nettoyage a été fait selon des règles établies. En cas de contrôle, l’inspecteur de la CNIL ne demandera pas seulement si les données ont été supprimées, mais comment et pourquoi.

La première pièce à fournir est le registre des activités de traitement. L’article 30 du RGPD impose au responsable de traitement de tenir ce registre à jour. Il doit mentionner les finalités du traitement, les catégories de données concernées et, surtout, les durées prévues de conservation. Si votre registre indique « conservation indéfinie », vous êtes en infraction dès le départ.

Ensuite, il faut présenter la documentation interne relative à l’intérêt légitime. Puisque la prospection B2B repose souvent sur ce fondement juridique, l’entreprise doit démontrer qu’elle a réalisé une mise en balance des intérêts. Elle doit prouver que son intérêt à vendre ne l’emporte pas sur le droit au respect de la vie privée du prospect. Une politique de purge stricte est l’argument principal pour démontrer cette proportionnalité.

Enfin, le journal de traitement (ou log de suppression) est essentiel. Il doit tracer les opérations de purge : quand ont-elles eu lieu ? Combien de contacts ont été supprimés ? Sur quel critère ? Ces logs servent de preuve de bonne foi et de diligence raisonnable. Ils montrent que l’entreprise ne subit pas ses données, mais les gère activement.

Un point souvent négligé concerne la fin de la relation avec l’éditeur du CRM. Lors du changement de solution, le contrat de sous-traitance (article 28 du RGPD) doit préciser les modalités de suppression ou de restitution des données. Trop d’entreprises migrent vers un nouveau CRM en laissant dormir les anciennes données chez l’ancien prestataire. Or, le sous-traitant doit supprimer ou restituer les données à la fin de la prestation. Cette clause contractuelle est votre garantie que le « vieux » CRM ne devient pas une fuite de données dormante.

La complexité de cette gouvernance explique pourquoi des groupes comme Malakoff Humanis ont travaillé durant trois ans sur un dispositif de purge physique des données, comme rapporté par CIO Online. Ils ont dû construire un référentiel fiable de règles et déployer une gouvernance adaptée. Pour une PME, l’enjeu est similaire, quoique à une échelle réduite : il s’agit de passer d’une accumulation passive à une gestion active.

Recommandations pour la mise en conformité

Pour les TPE, commencez par une simple règle : supprimez tout prospect sans interaction depuis 3 ans. Utilisez les filtres natifs de votre CRM pour exporter cette liste, vérifiez-la manuellement, puis supprimez-la. Pour les PME et ETI, automatisez ce processus. Configurez des champs de « dernière activité » et des workflows qui alertent le responsable marketing avant suppression. Intégrez cette procédure dans votre registre des traitements et formez vos équipes commerciales : un CRM propre vend mieux qu’un CRM plein. La qualité prime sur la quantité, et la conformité protège votre croissance.

FAQ

Peut-on conserver les données d’un prospect s’il ne s’est jamais opposé ?

Non. L’absence d’opposition ne vaut pas consentement. En B2B, vous pouvez vous appuyer sur l’intérêt légitime, mais celui-ci est limité dans le temps. Après 3 ans sans interaction, cet intérêt s’éteint et les données doivent être supprimées.

Que deviennent les données lors d’un changement de CRM ?

Le contrat de sous-traitance doit prévoir la restitution ou la suppression des données chez l’ancien éditeur. Ne laissez pas vos données historiques chez un prestataire que vous n’utilisez plus : exigez un certificat de destruction ou récupérez-les pour les intégrer dans le nouveau système.

La suppression des données impacte-t-elle l’historique commercial ?

Oui, c’est inévitable. Cependant, vous pouvez anonymiser les données plutôt que les supprimer totalement si vous avez besoin de statistiques globales. L’anonymisation irréversible permet de conserver les métriques de performance sans conserver l’identité des personnes.

Qui est responsable de la purge dans l’entreprise ?

Le responsable de traitement (l’entreprise cliente) est juridiquement responsable. En pratique, cette mission incombe souvent au DPO (Délégué à la Protection des Données) en collaboration avec le directeur commercial ou marketing, qui définit les critères d’inactivité.