Guide de mise en œuvre du RGPD : Confidentialité des données pour les systèmes de commerce électronique et ERP

Depuis le début de l’application du RGPD en 2018, les régulateurs ont infligé plus de 5,3 milliards d’euros d’amendes. L’amende la plus élevée – 1,2 milliard d’euros contre Meta en 2023 – a démontré qu’aucune entreprise n’est trop grande pour être pénalisée. Mais la réglementation frappe plus durement au niveau du marché intermédiaire, où les entreprises traitent des volumes importants de données personnelles sans les équipes juridiques et les budgets de conformité des entreprises mondiales.

Pour les entreprises de commerce électronique et les entreprises dépendantes d'un ERP, le RGPD touche tous les systèmes qui stockent les données clients : votre boutique en ligne, votre CRM, votre gestion des commandes, votre marketing par e-mail et vos analyses. Ce guide fournit un plan de mise en œuvre pratique, article par article.

Points clés à retenir

• Le mappage des données est la première étape non négociable --- vous ne pouvez pas protéger les données que vous n'avez pas inventoriées
• La gestion du consentement nécessite des opt-ins granulaires et spécifiques à un objectif, et non une seule case à cocher générale
• L'automatisation DSAR est essentielle --- le délai de réponse de 30 jours ne laisse aucune place aux processus manuels à grande échelle
• Votre système ERP est probablement votre plus grand référentiel de données personnelles et doit être configuré pour être conforme dès le premier jour.

---

Comprendre la portée du RGPD pour les entreprises numériques

Le RGPD s'applique à toute organisation qui traite les données personnelles des résidents de l'UE, quel que soit le lieu où elle est basée. Pour une entreprise de commerce électronique expédiant des marchandises dans le monde entier ou une plateforme SaaS avec des utilisateurs européens, la portée extraterritoriale rend le RGPD incontournable.

Ce qui compte comme données personnelles

Les données personnelles en vertu du RGPD sont plus larges que ce que la plupart des entreprises pensent :

La prise de conscience essentielle pour la plupart des entreprises est que leur système ERP – Odoo, SAP ou autre – contient chacune de ces catégories de données dans ses modules.

---

Étape 1 : Cartographie des données et inventaire du traitement

L'article 30 du RGPD exige un enregistrement des activités de traitement (ROPA). Il ne s’agit pas d’une documentation facultative : c’est une exigence légale et le fondement de tout le reste.

Comment cartographier vos données

Pour chaque système qui traite des données personnelles, documentez :

1. Quelles données personnelles sont collectées (champs spécifiques, pas de catégories vagues)
2. Pourquoi les informations sont collectées (la base juridique --- consentement, contrat, intérêt légitime, obligation légale)
3. Où il est stocké (base de données, emplacement du serveur, région cloud)
4. Qui a accès (rôles, tiers, sous-traitants)
5. Combien de temps ils sont conservés (avec justification de la durée de conservation)
6. Comment il est protégé (cryptage, contrôles d'accès, anonymisation)

Article RGPD de la liste de contrôle de mise en œuvre

---

Étape 2 : Gestion du consentement

Le consentement au titre du RGPD doit être libre, spécifique, éclairé et sans ambiguïté. L’époque des cases à cocher pré-cochées et du consentement général est révolue.

Architecture de consentement pour le commerce électronique

Votre plateforme de commerce électronique a besoin de plusieurs mécanismes de consentement indépendants :

Consentement marketing. Opt-in séparé pour le marketing par e-mail, le marketing par SMS et la publicité personnalisée. Chaque canal a besoin de sa propre case à cocher. Pas de présélection.

Consentement analytique. Bannière de consentement aux cookies qui permet une sélection granulaire : cookies nécessaires (aucun consentement requis), cookies analytiques, cookies marketing, cookies de préférence. Implémentez une plate-forme de gestion du consentement (CMP) appropriée qui bloque les scripts jusqu'à ce que le consentement soit accordé.

Communication transactionnelle. Aucun consentement n'est requis pour les confirmations de commande, les mises à jour d'expédition et les alertes de sécurité du compte --- celles-ci relèvent de la « nécessité contractuelle » (article 6(1)(b)). Mais n’insérez pas de contenu marketing dans les e-mails transactionnels.

Partage avec des tiers. Si vous partagez des données avec des partenaires (réseaux d'affiliation, plateformes d'avis, fournisseurs d'analyses), chaque relation de partage nécessite sa propre divulgation et, le cas échéant, son consentement.

Implémentation dans les systèmes ERP

Dans Odoo et les systèmes ERP similaires, mettez en œuvre le suivi du consentement comme suit :

• Ajouter des champs de consentement au modèle de contact : marketing_consent, analytics_consent, consent_date, consent_source
• Enregistrez la version exacte de l'avis de confidentialité que l'utilisateur a accepté
• Implémenter un mécanisme de retrait de consentement qui se propage dans tous les modules
• Enregistrez toutes les modifications de consentement dans une [piste d'audit] immuable (/blog/audit-trail-compliance-erp-systems) avec des horodatages

Conformité des cookies

Les exigences du RGPD en matière de cookies, renforcées par la directive ePrivacy, exigent :

1. Aucun cookie non essentiel défini avant le consentement explicite
2. Même importance pour les boutons « Accepter » et « Rejeter » (pas de motifs sombres)
3. Sélection granulaire de la catégorie de cookies
4. Retrait facile du consentement
5. Enregistrements de consentement aux cookies conservés à des fins d'audit

---

Étape 3 : Demandes d'accès aux personnes concernées (DSAR)

Les articles 15 à 22 confèrent aux résidents de l’UE de puissants droits sur leurs données. Vous devez répondre dans les 30 jours et le chronomètre démarre à la réception de la demande, et non à la vérification de votre identité.

Types de DSAR et exigences de réponse

Création d'un flux de travail DSAR

À grande échelle, la gestion manuelle des DSAR n’est pas viable. Créez un flux de travail automatisé :

1. Admission. Adresse e-mail dédiée et formulaire Web pour les DSAR. Accusé de réception automatique.
2. Vérification de l'identité. Vérifiez l'identité du demandeur sans collecter de données supplémentaires excessives.
3. Découverte de données. Recherche automatisée sur tous les systèmes : ERP, CRM, marketing par e-mail, analyses, service d'assistance, sauvegardes.
4. Compilation des réponses. Regroupez les données dans un format structuré. Pour les demandes d'accès, indiquez les finalités du traitement, les catégories, les destinataires, les périodes de conservation et la source des données.
5. Réviser. L'équipe juridique/confidentialité examine avant l'envoi. Expurgez les données personnelles de tiers.
6. Exécution. Envoyez la réponse dans les 30 jours. Enregistrez la demande, la réponse et le calendrier.
7. Exécution de l'effacement. Pour les demandes de suppression, effectuez l'effacement en cascade sur tous les systèmes, y compris les sauvegardes (avec des exceptions documentées pour les exigences légales de conservation).

Défis DSAR spécifiques à l'ERP

Les systèmes ERP présentent des défis DSAR uniques car les données personnelles sont profondément intégrées dans les modules :

• Le nom d'un client apparaît dans les contacts, les factures, les bons de livraison, les tickets d'assistance et les écritures comptables
• Les documents financiers peuvent être soumis à des exigences légales de conservation (généralement 7 à 10 ans) qui prévalent sur le droit à l'effacement.
• La pseudonymisation est souvent préférable à la suppression pour les dossiers financiers : remplacer le nom par un identifiant anonyme tout en conservant les données de transaction à des fins comptables

---

Étape 4 : Minimisation et conservation des données

L’article 5(1)(c) exige que les données personnelles soient « adéquates, pertinentes et limitées à ce qui est nécessaire ». L’article 5(1)(e) exige que les données soient conservées « pas plus longtemps que nécessaire ».

Minimisation pratique des données

Auditez chaque point de collecte de données :

• Formulaires d'inscription. Avez-vous vraiment besoin de votre date de naissance, de votre sexe ou de votre numéro de téléphone lors de votre inscription ? Sinon, supprimez-les.
• Flux de paiement. Collectez uniquement ce qui est nécessaire pour exécuter la commande. Proposez le paiement aux invités pour éviter de créer des comptes inutiles.
• Analytics. Utilisez des analyses préservant la confidentialité (Plausible, Fathom) ou configurez GA4 pour réduire la collecte de données. Anonymisation IP, durée des cookies raccourcie, suivi de l'ID utilisateur désactivé.
• Champs ERP. Consultez les champs personnalisés ajoutés aux contacts, commandes et autres modules. Supprimez tout ce qui ne répond pas à un objectif commercial documenté.

Politique de conservation par type de données

Automatiser la rétention dans votre ERP

Configurez votre système ERP pour appliquer automatiquement les politiques de rétention :

• Travaux planifiés qui identifient les enregistrements après la date de conservation
• Scripts d'anonymisation qui remplacent les données personnelles par des valeurs génériques tout en préservant les données agrégées pour le reporting
• Politiques de rotation des sauvegardes qui garantissent que les données supprimées ne persistent pas indéfiniment dans les sauvegardes
• Exceptions documentées pour les retenues légales et les litiges en cours

---

Étape 5 : Accords de processeur et gestion des fournisseurs

L'article 28 exige un accord écrit sur le traitement des données (DPA) avec chaque fournisseur qui traite des données personnelles en votre nom. Ce n’est pas une obligation – c’est une exigence légale.

### Clauses essentielles du DPA

Chaque DPA doit inclure :

• Objet et durée du traitement
• Nature et finalité du traitement
• Types de données personnelles traitées
• Catégories de personnes concernées
• Obligations et droits du responsable du traitement
• Processus d'approbation du sous-traitant
• Obligations de notification des violations de données (sans retard injustifié)
• Suppression des données ou restitution en cas de résiliation
• Droits d'audit pour le contrôleur
• Mécanismes de transfert transfrontalier (SCC ou décisions d'adéquation)

Évaluation de la conformité des fournisseurs

Créez une évaluation des risques liés aux fournisseurs qui évalue :

1. Le fournisseur a-t-il publié un DPA ? (La plupart des principaux fournisseurs SaaS le font)
2. Quelles certifications le fournisseur détient-il ? (SOC2, ISO 27001)
3. Où le fournisseur stocke-t-il les données ? (Voir notre guide sur la résidence des données)
4. Le fournisseur utilise-t-il des sous-traitants et comment sont-ils gérés ?
5. Quel est le délai de notification de violation du fournisseur ?

Pour une vision plus large de la manière dont le RGPD s'intègre dans le paysage global de la conformité, consultez notre manuel de conformité d'entreprise.

---

Questions fréquemment posées

Le RGPD s'applique-t-il aux entreprises B2B qui n'ont que des contacts professionnels ?

Oui. Le RGPD s'applique à toutes les données personnelles des résidents de l'UE, y compris les adresses e-mail professionnelles et les numéros de téléphone directs. Les données de contact professionnelles, telles que l'adresse e-mail professionnelle d'une personne nommée ([email protected]), sont des données personnelles. Les e-mails génériques de l'entreprise ([email protected]) ne le sont pas. La plupart des entreprises B2B traitent les données personnelles via des systèmes CRM, du marketing par e-mail et des analyses de sites Web.

Quelle est la différence entre un responsable du traitement et un sous-traitant ?

Le responsable du traitement détermine les finalités et les moyens du traitement des données personnelles : il s'agit généralement de votre entreprise pour vos propres données clients. Le processeur de données traite les données pour le compte du responsable du traitement – cela inclut vos fournisseurs SaaS, vos fournisseurs de cloud et vos processeurs de paiement. Les responsables du traitement ont des obligations plus larges au RGPD, mais les sous-traitants doivent également se conformer aux exigences de l'article 28 et conserver leurs propres registres de traitement.

Pouvons-nous nous fier à un « intérêt légitime » plutôt qu'au consentement pour le marketing ?

En théorie oui, mais en pratique c’est risqué pour le marketing direct. L'ICO (Royaume-Uni) et la CNIL (France) ont adopté des positions strictes selon lesquelles le marketing par courrier électronique nécessite généralement un consentement en vertu du RGPD et de la directive ePrivacy. L'intérêt légitime peut fonctionner pour le marketing B2B dans certaines juridictions, mais vous devez documenter une évaluation de l'intérêt légitime (LIA) et fournir un mécanisme de désinscription clair. En cas de doute, obtenez le consentement.

Comment gérons-nous le RGPD pour les données stockées dans les sauvegardes ?

Les sauvegardes représentent un véritable défi. L'ICO a reconnu que la suppression d'enregistrements spécifiques des sauvegardes peut être techniquement peu pratique. L'approche acceptée consiste à maintenir une « liste de suppression » des personnes concernées supprimées et à appliquer les suppressions lorsque les sauvegardes sont restaurées. Documentez cette approche dans votre politique de confidentialité et vos réponses DSAR. Assurez-vous que les périodes de conservation des sauvegardes sont aussi courtes que possible.

À quelles sanctions une petite entreprise de commerce électronique peut-elle réellement être confrontée ?

Même si les amendes se chiffrent en millions, les autorités de contrôle tiennent compte de la taille et du chiffre d'affaires de l'entreprise lorsqu'elles fixent les sanctions. Les petites entreprises sont plus susceptibles de recevoir des avertissements, des ordonnances de conformité ou des amendes proportionnelles à leurs revenus. Cependant, l’atteinte à la réputation et le coût des mesures correctives peuvent être dévastateurs, même sans amende. L’approche la plus sûre est la conformité proactive.

---

Quelle est la prochaine étape

La conformité au RGPD n'est pas un projet ponctuel mais un programme continu qui doit évoluer à mesure que votre entreprise se développe, que vos activités de traitement de données évoluent et que les orientations réglementaires se développent. La bonne nouvelle est que la conformité au RGPD crée une base solide pour tout autre cadre de conformité.

ECOSIRE construit à partir de zéro des systèmes de commerce électronique et ERP conformes au RGPD. Nos implémentations Odoo ERP incluent la gestion du consentement, l'automatisation DSAR, les pistes d'audit et l'application des politiques de rétention. Pour la découverte de données et l'automatisation de la confidentialité basées sur l'IA, explorez notre plateforme OpenClaw AI. Contactez-nous pour planifier une évaluation de préparation au RGPD.

---

Publié par ECOSIRE — aider les entreprises à évoluer grâce à des solutions basées sur l'IA dans Odoo ERP, Shopify eCommerce et OpenClaw AI.