Je Travaille Uniquement en B2B - Dois-je Me Soucier du RGPD ?

Réponse courte : oui

La réponse courte à la question du titre est sans ambiguïté : oui. Le RGPD s’applique à toute entreprise qui traite des données personnelles, que vos clients soient des consommateurs ou des entreprises. Et en tant qu’entreprise B2B, vous traitez plus de données personnelles que vous ne le pensez.

L’idée reçue

Le raisonnement est souvent le suivant : “Le RGPD protège les consommateurs. Mes clients sont des entreprises, pas des consommateurs. Donc le RGPD ne me concerne pas.”

Ce raisonnement est faux sur deux points.

Premièrement : le RGPD ne protège pas les consommateurs. Le RGPD protège les personnes physiques. C’est une distinction importante. Un consommateur est quelqu’un qui achète en tant que particulier. Une personne physique est tout être humain vivant. Cela inclut le contact chez votre client, l’employé qui reçoit votre facture et le directeur qui signe votre offre.

Deuxièmement : même si vous ne traitez jamais avec des consommateurs, en tant qu’entreprise B2B, vous traitez forcément des données personnelles. Voyons où elles se trouvent.

Où se trouvent vos données personnelles ?

Contacts clients

Vous avez un CRM ou au moins un carnet d’adresses. Il contient des noms, adresses e-mail, numéros de téléphone et fonctions des contacts chez vos clients. jean.dupont@cliententreprise.fr est une donnée personnelle. Le numéro de téléphone de l’acheteur est une donnée personnelle. La note “Jean est toujours en congé le lundi” est une donnée personnelle.

Employés

Si vous avez du personnel, vous traitez une quantité importante de données personnelles : nom, adresse, numéro d’identification national, salaire, arrêts maladie, évaluations, copie de pièce d’identité. Ce sont même des catégories spéciales ou sensibles. Le RGPD s’applique pleinement ici.

Fournisseurs et partenaires

Votre comptable, votre fournisseur informatique, vos freelances - vous disposez des coordonnées de tous. Et pour les indépendants et auto-entrepreneurs, les données professionnelles sont souvent identiques aux données personnelles du propriétaire.

Candidats

Recevez-vous parfois une candidature spontanée ou un CV ? Ce sont des données personnelles. Et elles ont une durée de conservation : vous ne pouvez pas conserver un CV indéfiniment.

Visiteurs du site web

Même si votre site cible uniquement des visiteurs professionnels, vous traitez des adresses IP, des données de cookies et éventuellement des données de formulaires. Les adresses IP sont des données personnelles.

Que devez-vous mettre en place en tant qu’entreprise B2B ?

Exactement les mêmes choses que toute autre entreprise. Le RGPD ne fait pas de distinction entre B2B et B2C. Concrètement :

Registre des traitements - documentez toutes vos activités de traitement. Gestion des contacts clients, paie, facturation, marketing, analytics web - tout doit y figurer.

Politique de confidentialité - informez les personnes concernées de ce que vous faites de leurs données. Cela vaut pour les visiteurs de votre site, mais aussi pour vos contacts professionnels.

Accords de sous-traitance - avez-vous un accord de sous-traitance avec votre fournisseur CRM ? Votre comptable ? Votre fournisseur cloud ? En B2B, cela est souvent pris plus à la légère qu’en B2C, mais l’obligation est identique.

Bases juridiques - pour chaque traitement, vous avez besoin d’une base juridique. Pour la gestion de la relation client, c’est généralement l’intérêt légitime. Pour la paie, une obligation légale. Pour une newsletter, le consentement.

Durées de conservation - vous ne pouvez pas conserver les données indéfiniment. Cette demande de devis d’il y a cinq ans qui n’a jamais abouti ? Il n’y a probablement plus de base juridique pour cela.

Points d’attention spécifiques au B2B

Quelques éléments méritent une attention particulière dans un contexte B2B :

• LinkedIn et networking - les cartes de visite collectées lors d’un salon ou les contacts ajoutés depuis LinkedIn dans votre CRM : c’est un traitement de données personnelles
• Références et témoignages - si vous publiez des références clients sur votre site avec nom et fonction, vous traitez des données personnelles
• Boîtes mail partagées - une boîte de réception partagée comme commercial@votreentreprise.fr contient des e-mails avec des données personnelles de contacts professionnels
• Données anciennes - les entreprises B2B conservent souvent les informations relationnelles pendant des années “au cas où”. Sans base juridique valable, ce n’est pas permis

La bonne nouvelle

Les bases de la conformité RGPD pour les entreprises B2B ne diffèrent pas du B2C. En fait, c’est souvent plus simple. Vous traitez probablement moins de données, moins de catégories spéciales et avez moins de personnes concernées. Mais “moins” ne signifie pas “aucun”. Et l’autorité de contrôle ne fait pas de distinction.