RGPD : Cartographie des données, les 7 gisements à vérifier avant un contrôle

Pourquoi cartographier les données personnelles de son CRM et de ses newsletters ?

Cartographier les données revient à dresser le plan complet de vos traitements, de la collecte à la suppression. Pour une TPE ou un indépendant, c’est le socle du registre des activités de traitement exigé par le RGPD. Ce registre doit rester interne, évolutif et présentable à la CNIL en cas de contrôle.

Les chiffres rappellent l’enjeu : en 2025, près de 16 % des TPE et PME françaises ont déclaré avoir subi un incident de sécurité sur les 12 derniers mois, et 68 % des attaques par ransomware ciblent des entreprises de moins de 50 salariés. Les sanctions peuvent aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les violations les plus graves. Même sans atteindre ces plafonds, une mise en demeure ou une amende administrative peut fragiliser une petite structure.

Par où commencer pour cartographier ses données personnelles ?

Le point de départ reste le registre RGPD. Il ne s’agit pas d’un document théorique, mais d’un outil de pilotage. Chaque ligne correspond à une activité de traitement : prospection commerciale, gestion client, newsletter, facturation, support.

Ensuite, il faut identifier tous les « gisements » de données : CRM, outil d’emailing, plateforme d’automation, formulaires de site, facturation, support client, réseaux sociaux. Chaque outil doit être rattaché à une finalité précise. Un CRM utilisé à la fois pour la prospection et le suivi client doit apparaître dans plusieurs traitements distincts.

Quelles données personnelles recense-t-on dans un CRM ?

Un CRM concentre l’essentiel des données personnelles d’une entreprise. Le registre RGPD doit lister l’ensemble des champs utilisés, pas seulement ceux qui sont visibles par défaut.

On y retrouve généralement :

• Données d’identification : nom, prénom, email, téléphone, adresse postale.
• Données professionnelles : poste, entreprise, site web, numéro de SIRET.
• Données d’interaction : historique des emails, appels, rendez-vous, tickets de support, notes commerciales.
• Données marketing : consentement à la prospection, préférences de contact, historique d’ouvertures et de clics, statut de désabonnement.

Les données sensibles (santé, opinions politiques, religion, orientation sexuelle, données biométriques) sont en principe interdites dans un CRM classique, sauf fondement légal très spécifique. Leur présence doit être explicitement documentée.

Comment distinguer données sensibles et non sensibles ?

La distinction est centrale pour la gestion des risques et la sécurité.

Données personnelles non sensibles :

• Coordonnées (email, téléphone, adresse).
• Données professionnelles.
• Historique commercial et consentements marketing.

Données sensibles au sens du RGPD :

• Origine raciale ou ethnique.
• Opinions politiques ou religieuses.
• Données de santé ou biométriques.
• Données relatives aux condamnations pénales.

Une bonne pratique consiste à classer chaque champ selon un niveau de sensibilité (interne, confidentiel, strictement confidentiel) et à restreindre les accès en conséquence.

Quelles spécificités pour les newsletters et le marketing automation ?

Pour une newsletter, le principe de minimisation s’applique strictement. Seule l’adresse email est obligatoire. Le prénom peut être facultatif pour la personnalisation. Tout autre champ doit être justifié par la finalité.

Le consentement doit être explicite, libre et traçable, via une case à cocher non précochée. Le double opt-in reste recommandé pour renforcer la preuve.

La durée de conservation est encadrée : 3 ans maximum après le dernier contact actif pour un prospect, ou 3 ans après la fin de la relation commerciale pour un client. Passé ce délai, les données doivent être supprimées ou un nouveau consentement doit être recueilli.

Les outils d’automation ajoutent des données d’engagement (clics, ouvertures, déclencheurs automatiques). Ces traitements doivent rester proportionnés et clairement documentés dans le registre.

Comment structurer la cartographie dans un tableau exploitable ?

La CNIL recommande un format tableur, facilement maintenable. Exemple simplifié :

Des solutions de cartographie automatisée existent lorsque l’écosystème devient complexe, notamment pour scanner les applications SaaS et identifier les types de données personnelles.

Quels risques concrets en cas de mauvaise cartographie ?

Les conséquences d’une fuite de données sont multiples : coûts de remédiation, perte de clientèle, atteinte à la réputation, sanctions CNIL. En France, la CNIL peut prononcer des amendes administratives allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires pour des manquements comme l’absence de registre, et jusqu’à 20 millions d’euros ou 4 % pour les violations graves.

Les TPE et PME sont particulièrement exposées, avec des budgets cybersécurité souvent inférieurs à 2 000 € par an. La cartographie permet de réduire ce risque en identifiant les données inutiles, en limitant les accès et en documentant les mesures de sécurité.

Quel lien entre cartographie des données et assurance cyber ?

Pour un assureur, la cartographie est un indicateur de maturité. Elle démontre la capacité de l’entreprise à connaître ses risques, à limiter l’exposition et à réagir en cas d’incident. Elle facilite aussi la mise en place de mesures techniques : chiffrement, contrôle des accès, sauvegardes, journalisation.

En cas de sinistre, disposer d’un registre à jour peut accélérer la gestion de crise et la communication avec les autorités et les clients.

FAQ – Cartographie des données personnelles CRM et newsletters

• Faut-il cartographier les données si l’on est auto-entrepreneur ?
  Oui. Le RGPD s’applique dès lors que vous traitez des données personnelles, même avec un simple fichier clients ou une newsletter.
• Combien de temps conserver les emails d’une newsletter en 2025 ?
  En règle générale, 3 ans après le dernier contact actif pour un prospect, ou 3 ans après la fin de la relation commerciale pour un client.
• Un CRM hébergé hors UE est-il interdit ?
  Non, mais les transferts hors UE doivent être documentés et encadrés par des garanties appropriées, à mentionner dans le registre.
• Doit-on cartographier les données issues des réseaux sociaux ?
  Oui, dès lors qu’elles sont collectées et utilisées dans un cadre professionnel (prospection, support, marketing).
• La cartographie remplace-t-elle une assurance cyber ?
  Non. Elle complète la prévention, mais ne couvre pas les conséquences financières d’un incident. Les deux démarches sont complémentaires.