La suppression des prospects dans un CRM ne doit pas dépendre d’un nettoyage occasionnel. Le RGPD impose de limiter la conservation des données personnelles à la durée nécessaire à leur utilisation. Pour la prospection commerciale, la CNIL propose un repère de trois ans à compter de la collecte ou du dernier contact venant du prospect. Ce repère n’est pas une autorisation de tout conserver pendant trois ans, ni une durée légale universelle : votre entreprise doit définir et justifier ses règles, puis les appliquer dans ses outils. Sources : article 5 du RGPD et questions-réponses de la CNIL sur la gestion commerciale.
Le problème devient technique lorsque les contacts circulent entre formulaires, CRM, plateforme emailing, ERP et fichiers exportés. Voici comment organiser une purge fiable, préserver les données encore nécessaires et choisir entre paramétrage, connecteur ou adaptation sur mesure.
Quelles entreprises doivent supprimer les anciens prospects de leur CRM ?
Une PME ou une startup qui conserve des informations sur des personnes identifiables dans son CRM est concernée par les règles de protection des données personnelles. La prospection B2B n’y échappe pas : le nom d’un interlocuteur et son adresse professionnelle nominative restent des données personnelles. La CNIL distingue ces informations des coordonnées génériques d’une entreprise, qui ne sont pas, en principe, des données personnelles. Source : définition d’une donnée personnelle.
Ce guide vise principalement les fichiers de prospection commerciale classiques. Certains secteurs, notamment la santé, la banque ou l’assurance, nécessitent une analyse spécifique : le référentiel de gestion commerciale de la CNIL ne leur propose pas un cadre général applicable à leurs activités particulières.
La première distinction à prévoir dans le CRM est donc celle entre la société prospectée et les personnes qui y travaillent. Supprimer les coordonnées personnelles d’un ancien interlocuteur n’implique pas nécessairement de supprimer une fiche entreprise ne contenant aucune donnée personnelle.
Depuis quand cette obligation s’applique-t-elle ?
Il ne s’agit pas d’une nouvelle échéance à attendre. Le RGPD est applicable depuis le 25 mai 2018, selon son article 99. L’absence de projet de refonte du CRM ne suspend pas les obligations de conservation limitée.
En revanche, le RGPD n’impose pas d’acheter un module particulier ni d’automatiser toutes les suppressions. L’automatisation est une option de mise en œuvre, pertinente lorsque la procédure manuelle devient difficile à contrôler. L’objectif réglementaire reste la maîtrise effective des durées et la capacité à démontrer le respect des principes, conformément à l’article 5.
Quelle durée de conservation paramétrer pour les prospects ?
Pour un prospect non client, le repère proposé par la CNIL est de trois ans à compter de la collecte ou du dernier contact émanant du prospect. Le calcul doit donc s’appuyer sur un événement pertinent, pas sur la dernière modification technique de la fiche. Le référentiel officiel précise notamment qu’une demande de documentation peut constituer un contact, contrairement à la simple ouverture d’un courriel.
Avant de paramétrer ce délai, faites valider une politique adaptée à vos finalités. Une activité commerciale ne justifie pas automatiquement la conservation de toutes les notes, pièces jointes et données d’enrichissement pendant la même période.
| Événement dans le CRM | Traitement technique conseillé |
|---|---|
| Demande de devis envoyée par le prospect | Enregistrer la date et la nature de ce contact entrant. |
| Relance envoyée par un commercial | Ne pas la traiter comme un nouveau contact venant du prospect. |
| Ouverture d’un email | Ne pas réinitialiser le compteur sur ce seul signal. |
| Modification d’un score ou d’une note interne | Conserver séparément la date de modification et celle du dernier contact pertinent. |
| Import d’une ancienne liste | Préserver l’historique disponible et traiter les dates inconnues comme une anomalie à examiner. |
Ce tableau traduit le repère de la CNIL en règles de paramétrage. Il ne dispense pas de vérifier la licéité de la collecte et des sollicitations : une durée de conservation ne crée pas, à elle seule, un droit de prospecter.
Supprimer, archiver ou bloquer : trois décisions différentes
Une fiche sortie des campagnes n’est pas nécessairement une fiche supprimée. Pour éviter les confusions, séparez les finalités plutôt que d’appliquer un unique statut « inactif » à tout le dossier.
- Supprimer : retirer les données dont aucune utilisation justifiée ne nécessite encore la conservation.
- Archiver : isoler les seules informations encore nécessaires, par exemple pour un contentieux, avec des accès restreints et une durée définie.
- Bloquer la prospection : conserver les informations minimales permettant de respecter une opposition, sans maintenir le profil commercial complet.
La CNIL précise que l’archivage intermédiaire doit être justifié et séparé de la base active, physiquement ou par les habilitations. Déplacer les contacts dans une liste « archives » encore accessible aux commerciaux ne suffit donc pas. Source : concilier conservation et archives.
Pour les oppositions, la CNIL recommande de conserver les informations nécessaires pendant au minimum trois ans, exclusivement pour gérer ce droit. Une liste repoussoir sert ainsi à éviter qu’un contact supprimé soit réintroduit lors d’un nouvel import. Source : recommandations sur les listes d’opposition.
Mettre en place la suppression des prospects du CRM en six étapes
1. Cartographier les copies avant de toucher aux données
Organisez un atelier entre commerce, marketing, informatique et responsable de la protection des données. Partez du parcours d’un contact : formulaire du site, CRM, emailing, export commercial, outil de reporting, éventuel assistant IA.
Pour chaque destination, notez le responsable opérationnel, l’identifiant utilisé et la méthode de suppression disponible. Ajoutez les fichiers partagés, pièces jointes et environnements de test : le chantier ne se limite pas à la table « contacts ».
Cette cartographie est un bon point de départ pour cadrer une adaptation de vos outils ERP et CRM sans engager immédiatement leur remplacement.
2. Écrire une matrice de conservation exploitable
Préparez une ligne par finalité, avec les données concernées, le point de départ, la durée retenue, le sort final et les exceptions justifiées. Faites valider cette matrice avant de la traduire en règles informatiques.
Ne cherchez pas une durée unique pour toute la fiche. Une même donnée peut servir à plusieurs traitements dont les durées diffèrent, comme l’explique la CNIL dans sa présentation du cycle de vie des données. La fin de la prospection n’implique donc pas automatiquement l’effacement des informations nécessaires à une autre finalité licite.
3. Ajouter des champs métier fiables
Nous conseillons de distinguer au minimum :
- la date et la source de collecte ;
- la date du dernier contact pertinent venant du prospect ;
- la nature et la référence de cet événement ;
- l’échéance calculée selon la politique retenue ;
- l’opposition à la prospection ;
- l’exception éventuelle, son motif et sa date de réexamen.
Évitez de construire la purge sur le champ « dernière activité ». Vérifiez ce qu’il contient réellement : une synchronisation, une tâche commerciale ou un enrichissement automatique ne doit pas être confondu avec une action du prospect.
4. Tester la sélection sans supprimer
Commencez par un mode simulation. Le traitement produit une liste des fiches candidates et explique la règle appliquée, sans modifier les données.
Faites examiner un échantillon par les équipes : prospect devenu client, doublon, opportunité réellement en cours, opposition déjà enregistrée, date de collecte absente. Une opportunité ouverte depuis longtemps mérite une décision documentée, pas une exemption permanente.
Ce travail de recette est particulièrement utile lorsque votre logiciel métier possède des statuts et des processus qui ne correspondent pas aux catégories d’un CRM standard.
5. Propager les décisions aux outils connectés
Prévoyez un mécanisme qui transmet la suppression ou le blocage aux destinations concernées et collecte leurs résultats. En cas d’échec, le système devrait conserver une tâche à reprendre plutôt que déclarer l’opération terminée.
Pour les effacements relevant des droits des personnes, l’article 19 prévoit une notification aux destinataires auxquels les données ont été communiquées, sauf impossibilité ou efforts disproportionnés. Source : obligations de notification du RGPD.
Vérifiez aussi les engagements de vos prestataires : assistance aux demandes d’exercice des droits, instructions de traitement et sort des données en fin de prestation relèvent notamment de l’article 28 du RGPD.
6. Superviser la purge et sa preuve
Conservez un journal proportionné : règle appliquée, date, systèmes traités, résultat et anomalies. Évitez d’y recopier l’intégralité du profil supprimé. Ce journal mérite lui aussi une politique de conservation.
Prévoyez une alerte lorsqu’un traitement échoue, lorsqu’une destination ne répond plus ou lorsque des fiches restent sans échéance calculable. Le responsable commercial arbitre les exceptions métier ; le référent conformité valide les règles ; l’équipe technique surveille leur exécution.
Quels changements prévoir dans les outils existants ?
Le CRM doit piloter une décision compréhensible, pas seulement exécuter un bouton « supprimer ». Nous recommandons de vérifier les capacités suivantes lors du cadrage :
| Outil | Adaptation à examiner |
|---|---|
| CRM | Champs de conservation, sélection des échéances, permissions et suppression réelle. |
| Plateforme emailing | Retrait des campagnes et maintien d’une opposition minimale sans profil inutile. |
| Site et formulaires | Information cohérente avec les durées retenues et maîtrise des copies locales. |
| ERP et facturation | Séparation entre données de prospection et dossiers conservés pour d’autres finalités. |
| Reporting | Suppression des copies nominatives ou production de statistiques réellement anonymes. |
| Assistant IA connecté | Identification des documents, index et historiques qui contiennent les contacts concernés. |
Les informations fournies aux personnes doivent notamment indiquer la durée de conservation ou les critères permettant de la déterminer, selon les articles 13 et 14 du RGPD. La politique publiée sur le site doit donc correspondre au fonctionnement réel des outils.
Pour les sauvegardes, prévoyez un chantier distinct : durée de rétention, accès, procédure de restauration et réapplication des suppressions avant remise en service. Il s’agit ici d’une recommandation d’architecture, pas d’un délai réglementaire universel. Le guide de la CNIL sur les durées de conservation fournit le cadre général pour documenter le cycle de vie.
Combien coûte l’automatisation de la purge d’un CRM ?
Le budget dépend surtout du nombre de copies, de la qualité des dates et des possibilités d’intégration. Les montants suivants sont des enveloppes de cadrage indicatives proposées pour ce guide, pas des tarifs de marché constatés ni des devis Novane. Ils excluent les abonnements, une migration complète et l’accompagnement juridique spécialisé.
| Option | Enveloppe indicative HT | Quand l’envisager |
|---|---|---|
| Paramétrer l’existant | 1 500 à 4 000 € | Un CRM central, des données propres et des fonctions natives adaptées. |
| Configurer un module du marché | 3 000 à 8 000 € | Des règles standard et des connecteurs disponibles à valider. |
| Développer un connecteur de purge | 5 000 à 15 000 € | Plusieurs outils à coordonner, avec suivi des erreurs et reprises. |
| Adapter un environnement métier complexe | 12 000 à 30 000 € ou davantage | Données dispersées, nombreuses exceptions et interfaces spécifiques. |
Avant de choisir, demandez une démonstration sur vos cas limites : suppression partielle, opposition réimportée, indisponibilité d’une API et maintien d’un dossier justifié. Un module moins cher à installer peut demander davantage de manipulations récurrentes.
Le devis devrait distinguer audit des données, paramétrage, développement, recette, documentation et maintenance. Si vous comparez les options, commencez par décrire les flux plutôt que par demander le prix d’une « mise en conformité RGPD » indifférenciée.
Les erreurs qui rendent la purge inefficace
- Réinitialiser le compteur à chaque relance : cela confond l’activité de votre entreprise avec un contact venant du prospect.
- Assimiler désabonnement et effacement : sortir d’une campagne ne prouve pas que les données inutiles ont disparu.
- Tout archiver « au cas où » : une archive intermédiaire exige une justification, un périmètre limité et des accès appropriés.
- Oublier les imports : un connecteur peut recréer une fiche sans tenir compte de la décision précédente.
- Autoriser les exceptions sans réexamen : le statut « à conserver » devient alors un moyen de contourner la politique.
Ces points de contrôle découlent de la distinction entre contact pertinent, opposition et archivage exposée dans le référentiel de gestion commerciale et les recommandations sur les archives.
Les manquements peuvent faire l’objet de sanctions, mais il n’existe pas d’amende forfaitaire par ancien prospect conservé. La CNIL présente les différentes procédures et mesures possibles dans sa fiche sur les sanctions. Pour une PME, la bonne priorité consiste à corriger les règles, traiter le stock et démontrer que le dispositif fonctionne.
Questions fréquentes
Que faire si un prospect demande son effacement avant l’échéance prévue ?
N’attendez pas la purge périodique. Examinez la demande et les éventuelles exceptions applicables. La CNIL indique un délai d’un mois, pouvant être prolongé compte tenu de la complexité de la demande, avec information de la personne. Source : droit à l’effacement.
Peut-on conserver les statistiques après avoir supprimé les contacts ?
Oui, si les statistiques sont réellement anonymes. Remplacer un nom par un identifiant ne suffit pas nécessairement : des données pseudonymisées restent personnelles. Pour des tableaux commerciaux, privilégiez des agrégats qui ne permettent pas de retrouver les individus. Source : explications de la CNIL sur l’anonymisation.
Faut-il conserver une copie complète avant chaque purge ?
Une copie de précaution contenant tous les profils ne résout pas le problème de conservation. Nous conseillons plutôt une simulation préalable, une validation des règles et une traçabilité limitée. Toute copie conservée doit avoir sa propre justification et sa durée, conformément au principe de limitation de la conservation.
Peut-on supprimer un contact sans supprimer ses factures ?
Oui. L’effacement n’est pas absolu : une obligation légale ou la défense de droits en justice peut justifier de conserver certaines données. Séparez alors le dossier concerné des usages de prospection. La CNIL détaille ces limites dans sa présentation du droit à l’effacement.
Commencer par les règles, puis connecter les outils
Pour automatiser la suppression des prospects de votre CRM, le premier livrable utile est une matrice de conservation associée à une carte des flux. Elle permet de décider ce qui relève d’un simple paramétrage et ce qui nécessite un connecteur ou une évolution métier.
Vous ne savez pas si votre CRM permet d’appliquer ces règles sans refonte ? La séance de consulting IT offerte par Novane permet de faire le point sur votre architecture et les options techniques. Si le périmètre est déjà défini, vous pouvez demander un devis pour adapter ou connecter vos outils.
