Décider de l'usage des données B2B avec le RGPD

Décrivez l'activité prévue avant toute collecte : public visé, problème professionnel, informations nécessaires et canal envisagé. Une adresse nominative de travail ou un mobile professionnel identifiable peut constituer une donnée personnelle. Distinguez les informations relatives à une entreprise de celles concernant une personne identifiable. Repérez les pays concernés, car les obligations applicables ne dépendent pas nécessairement du seul lieu où votre organisation est établie.

Identifiez les règles de protection des données et de prospection électronique pertinentes, notamment leurs déclinaisons nationales et les différences entre catégories de destinataires. Le RGPD n'autorise pas universellement les messages commerciaux B2B. Notez les questions nécessitant un avis plutôt que de combler les incertitudes par des suppositions. Cette formation est pédagogique, non juridique : sollicitez un conseil professionnel adapté au territoire en cas de doute.

Déterminez et documentez une base légale appropriée pour chaque finalité avant de commencer. Si vous envisagez l'intérêt légitime, précisez l'intérêt poursuivi, examinez la nécessité du traitement et évaluez ses effets sur la personne. Recherchez des solutions moins intrusives. Le caractère professionnel d'une fonction ou la publication de coordonnées ne suffit pas à rendre automatiquement cette base légale applicable à votre démarche.

Pour la mise en balance, examinez la pertinence professionnelle, la source, les attentes raisonnables, l'intrusion probable et les préjudices possibles. Décrivez les garanties prévues, comme la minimisation et l'opposition facile, sans supposer qu'elles rendent acceptable une activité inadaptée. Consignez la conclusion et ses motifs, puis réévaluez-les si le contexte change. Vérifiez séparément si le canal impose un consentement ou une autre condition.

Préparez une information claire sur le responsable du traitement, les finalités, la base légale, les sources pertinentes, les destinataires, la conservation et les droits applicables. En cas de collecte indirecte, examinez les délais de l'article 14 du RGPD, notamment l'information lors de la première communication lorsque cette règle s'applique. Une source publique ne supprime pas automatiquement l'obligation d'information ni ne justifie une exception.

Rendez le droit d'opposition à la prospection compréhensible et facile à exercer, et signalez-le explicitement lorsque cela est requis. Lorsqu'une personne s'oppose au traitement à des fins de prospection, cessez cet usage, y compris le profilage associé. Distinguez cette opposition des autres demandes de droits. Ne conservez pour l'exclusion que les informations justifiées, avec un accès maîtrisé et une durée motivée.

Définissez des critères de conservation liés à la finalité, au lieu de garder tous les contacts indéfiniment. Examinez la rapidité d'obsolescence des fonctions, l'existence d'un échange significatif et les éventuelles obligations concernant certains documents. Prévoyez des dates de réexamen et une procédure praticable d'effacement ou d'anonymisation. Copier la durée choisie par une autre organisation ne remplace pas l'analyse de votre propre traitement.

Cartographiez les sources, les destinataires et les prestataires, ainsi que les questions contractuelles, de sécurité et de transferts internationaux pertinentes. Limitez les accès et prévoyez la correction des données inexactes. Contrôlez un petit échantillon selon vos règles : base légale, information fournie, oppositions respectées et conservation justifiée. Documentez les écarts et corrections sans présenter une liste de contrôle comme une preuve de conformité juridique complète.