RGPD : comment sont traitées les données d'un lead

1. Ce que contient un lead, du point de vue du RGPD

Un lead n'est pas une ligne de tableur anonyme. Il contient un nom, un numéro de téléphone, souvent une adresse e-mail et un code postal, parfois des éléments sur le logement : mode de chauffage, statut de propriétaire, niveau de facture énergétique.

Toutes ces informations sont des données à caractère personnel. Leur collecte, leur stockage, leur transmission et leur suppression constituent autant de traitements soumis au règlement général sur la protection des données et à la loi Informatique et Libertés.

2. La base légale : le consentement

Six bases légales existent dans le RGPD. En génération de leads BtoC, c'est le consentement qui s'applique : la personne remplit un formulaire de sa propre initiative et demande à être recontactée.

Pour être valable, ce consentement doit réunir quatre qualités et rester réversible :

• Libre — non conditionné à l'accès à un service ou à la promesse d'un avantage disproportionné.
• Spécifique — donné pour une finalité identifiée, et non pour « recevoir des informations » en général.
• Éclairé — la personne sait qui traite ses données, pourquoi, et qui les recevra.
• Univoque — un acte positif clair. Une case pré-cochée, une inaction ou l'acceptation globale de CGU ne valent pas consentement.
• Révocable — retirable à tout moment, aussi simplement qu'il a été donné.

3. Qui est responsable de quoi

C'est la question qui décide de tout le reste, et celle qui est le plus souvent laissée dans le flou entre un vendeur de leads et son client.

Chacun répond de son propre traitement : il ne s'agit pas d'une relation de sous-traitance, où l'un agirait uniquement sur instruction de l'autre. La qualification dépend toutefois des circonstances réelles, et il est vivement recommandé de la formaliser par écrit dans le contrat qui lie les deux parties.

4. Ce qui doit figurer sur le formulaire

Au moment où la personne saisit ses données, elle doit pouvoir lire, sans avoir à chercher :

• L'identité et les coordonnées du responsable de traitement.
• La finalité : être rappelé au sujet d'un projet de travaux, par exemple.
• La base légale, à savoir le consentement.
• Les destinataires, ou au minimum les catégories de destinataires — c'est ici que se joue la licéité de la transmission à un installateur.
• La durée de conservation, ou les critères qui la déterminent.
• Les droits dont dispose la personne, et la façon de les exercer.
• Le droit d'introduire une réclamation auprès de la CNIL.

5. Combien de temps conserver un lead

Le règlement n'impose pas de durée chiffrée : il exige une durée proportionnée à la finalité. En prospection commerciale, la référence retenue par la CNIL est de trois ans à compter du dernier contact resté sans réponse de la personne.

Passé ce délai, deux options : la suppression, ou l'archivage intermédiaire à accès restreint lorsqu'une obligation légale le justifie. Dans les deux cas, la donnée sort des bases de prospection actives.

6. Les droits des personnes, et comment les traiter

Toute personne dont vous détenez les données peut exercer un droit d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité. Le délai de réponse est d'un mois, prorogeable dans des cas limités.

En pratique, deux conditions rendent ces demandes traitables :

• Savoir où se trouve la donnée : base de collecte, CRM du client, fichiers d'export, sauvegardes.
• Savoir à qui elle a été transmise, pour répercuter la demande. Sans traçabilité lead par lead, cette obligation est impossible à honorer.

7. Sécurité et transmission

Les données doivent être protégées par des mesures techniques et organisationnelles adaptées. Pour une activité de génération de leads, les points sensibles sont concrets :

• Transmission chiffrée entre le formulaire, la base et le CRM du client — pas de fichier de contacts envoyé en pièce jointe non protégée.
• Accès nominatifs et limités aux personnes qui en ont besoin.
• Hébergement dans l'Union européenne, ou encadrement contractuel en cas de transfert hors UE.
• Registre des traitements tenu à jour, obligatoire dès lors que le traitement n'est pas occasionnel.
• Procédure de notification en cas de violation de données : 72 heures pour informer la CNIL.

8. Notre pratique chez Stam Lead

Nous collectons et traitons des données personnelles dans le cadre de la vente de leads et de services de communication. Les informations recueillies sont utilisées exclusivement pour la gestion des commandes et le suivi des relations commerciales.

Nos formulaires comportent une case de recueil du consentement, distincte de l'acceptation des conditions générales. Les personnes disposent d'un droit d'accès, de rectification, de suppression et d'opposition, exerçable à l'adresse international.stam@gmail.com.