Carte de visite : peut-on ajouter le contact au CRM ?

Oui, une carte de visite peut alimenter un CRM lorsque l’utilisation est justifiée, limitée et expliquée. Sa remise ne vaut toutefois pas inscription générale aux campagnes. Le premier élément à conserver est le contexte : demande d’une documentation, préparation d’un devis, échange professionnel ou participation à un jeu. Les mêmes coordonnées n’autorisent pas les mêmes suites dans chacun de ces cas.

La question n’est donc pas seulement « ai-je sa carte ? », mais « quel traitement puis-je expliquer à cette personne ? ». Ce guide propose une fiche de qualification, deux messages commentés et une méthode de reprise d’un lot de cartes sans inventer après coup des accords commerciaux.

La carte ne constitue pas une base légale universelle

Le nom d’un interlocuteur, sa fonction et son adresse nominative professionnelle sont des données personnelles. Leur saisie dans un CRM constitue un traitement soumis au RGPD. Le contexte professionnel ne crée pas une dispense générale. Un carnet papier organisé peut également relever du règlement ; le support ne décide pas, à lui seul, de son application. RGPD, Art. 2(1) et 4(1)–(2).

Pour chaque usage, retenez un fondement adapté. Répondre à une demande précontractuelle peut relever de l’Art. 6(1)(b) lorsque la personne est elle-même partie au contrat envisagé. Pour l’interlocuteur d’une entreprise cliente, l’intérêt légitime de l’Art. 6(1)(f) peut être pertinent : il faut établir l’intérêt, la nécessité du traitement et la prise en compte des droits de la personne. Le fait que la société envisage un achat ne rend pas automatiquement son salarié partie au contrat. Texte de l’Art. 6.

Si vous retenez le consentement pour une newsletter, la preuve doit porter sur cette utilisation. Une carte accompagnée d’une demande de devis établit un contexte différent d’un accord à une lettre mensuelle. Un consentement peut être oral, mais vous devez pouvoir en démontrer le contenu et les conditions ; écrire « opt-in salon » après l’événement ne suffit pas à reconstituer ce qui n’a pas été recueilli. RGPD, Art. 7(1).

Décider de la suite commerciale

Pour la prospection électronique professionnelle, la CNIL admet le recours à l’intérêt légitime lorsque la sollicitation est liée à la profession du destinataire, avec information et opposition simple et gratuite. Cette possibilité dépend de l’objet du message et de la situation du contact : une adresse d’entreprise ne transforme pas une offre personnelle sans rapport avec ses fonctions en prospection professionnelle pertinente. Doctrine CNIL, actualisée le 10 juin 2026.

Pour les particuliers, l’article L34-5 du CPCE prévoit le principe du consentement préalable à la prospection électronique, sous réserve notamment de l’exception encadrée des clients pour des produits ou services analogues. Remettre une carte pendant un salon ne constitue pas une vente. L’identité de l’émetteur et un moyen valable de faire cesser les sollicitations doivent aussi être prévus.

La distinction reste nécessaire même lorsque la première réponse est attendue. Envoyer le document demandé ne permet pas d’ajouter silencieusement la personne à une séquence commerciale de six messages. Le guide de la prospection commerciale développe les régimes selon les canaux ; ici, la décision doit être prise avant le transfert de la carte vers les listes d’envoi.

Quatre cartes, quatre décisions

Les situations suivantes sont fictives. Elles illustrent une qualification ; elles ne rapportent aucun contrôle ni résultat commercial réel.

Dans le dernier cas, demander au collègue présent ce qui s’est passé est une vérification interne. Envoyer immédiatement une publicité au titulaire pour « confirmer son intérêt » serait déjà un usage à justifier. Si l’équipe ne retrouve aucun contexte permettant le traitement envisagé, elle écarte cette carte du lot de prospection et ne la conserve pas indéfiniment au cas où.

Une carte remise par un collègue du contact demande aussi de distinguer les sources. Celui qui la transmet peut expliquer un projet ; il ne donne pas automatiquement le consentement de l’autre personne à une newsletter. La date de réception et la provenance doivent rester exactes.

Informer au bon moment

Lorsque la personne remet elle-même sa carte, l’Art. 13 prévoit l’information au moment où les données sont obtenues, sauf lorsqu’elle dispose déjà des informations concernées. Le premier courriel ultérieur n’est pas une échéance générale permettant d’attendre. Prévoyez sur le stand ou pendant le rendez-vous une information accessible : explication courte, notice consultable et possibilité d’obtenir les précisions utiles. Un QR code peut compléter ce dispositif sans être son seul moyen d’accès. RGPD, Art. 12(1) et 13.

L’information doit correspondre à la société qui utilisera les coordonnées. Elle précise notamment les finalités, bases, destinataires, conservation et droits, ainsi que les autres éléments applicables. Dire uniquement « nous respectons le RGPD » n’indique pas si les données serviront à répondre, à prospecter ou à être transmises.

Lorsque les coordonnées viennent d’un tiers, l’Art. 14 impose notamment d’indiquer leur source. L’information intervient dans un délai raisonnable ne dépassant pas un mois ; si une communication a lieu auparavant, elle doit être fournie au plus tard à ce premier contact. Une transmission à un autre destinataire déclenche également l’échéance prévue par le texte. Il ne s’agit donc pas d’un mois libre de toute obligation. RGPD, Art. 14(2)(f) et 14(3).

Si l’information a été omise, corrigez-la rapidement et examinez les usages déjà réalisés. La correction ne rend pas rétroactivement exacte une mention « personne informée au salon » lorsqu’elle ne l’a pas été.

Une fiche CRM remplie, sans commentaires intrusifs

Voici une fiche proposée pour Élodie. Elle conserve la décision utile plutôt qu’une accumulation de détails sur la rencontre.

La date du salon est hypothétique ; elle sert à illustrer les champs, pas à imposer une durée légale. La notice S3 doit réellement exister dans le dossier de l’entreprise. Une case de contrôle cochée par le commercial ne remplace pas cette notice ni la réalité de sa présentation.

Écrivez « quantité non précisée » plutôt que d’estimer le budget d’après l’apparence de l’interlocutrice. Si elle évoque une maladie ou une difficulté familiale, cela ne justifie pas de l’inscrire dans la fiche commerciale. Les informations sensibles répondent à des conditions particulières ; le besoin de se souvenir d’une conversation n’est pas une exception autonome. RGPD, Art. 5(1)(c) et 9.

Le guide de conformité du CRM aide à organiser les accès et les finalités. Une fiche utile à Camille n’a pas nécessairement à être visible par chaque filiale, agence ou partenaire.

Deux messages à ne pas confondre

Une réponse cohérente avec la fiche d’Élodie pourrait commencer ainsi :

« Bonjour Élodie, à la suite de notre échange du 12 octobre, voici la fiche technique M4 que vous m’avez demandée. Je reste disponible pour les précisions nécessaires à votre projet. »

Ce texte fictif s’en tient à la demande. Il ne prétend pas être une notice complète et ne dispense pas de l’information applicable. À l’inverse, « Merci pour votre carte, vous recevrez désormais toutes nos offres » attribue une portée qui n’apparaît pas dans le dossier.

Si une newsletter est proposée, décrivez son contenu, son émetteur et le moyen d’arrêter les envois. Lorsque vous avez choisi le consentement, l’absence de réponse reste une absence d’accord. Ne transformez pas le silence après la remise de documentation en abonnement. La newsletter conforme au RGPD exige une gestion cohérente entre promesse, choix et liste effectivement utilisée.

Numériser et reprendre un lot de cartes

Un scan facilite la saisie, mais produit une copie supplémentaire. Si une transcription contrôlée suffit, ne conservez pas la photographie par réflexe. Avant d’utiliser une application de reconnaissance, examinez les destinataires, les usages du prestataire, les accès et les éventuels transferts ; un outil commode peut ajouter un traitement non prévu. Les obligations de l’Art. 28 s’appliquent lorsqu’il agit comme sous-traitant. RGPD, Art. 28 et 32.

Pour un lot, séparez d’abord les demandes identifiées, les contacts professionnels à qualifier et les provenances inconnues. Comparez ensuite les fiches aux oppositions déjà reçues et aux doublons existants. Le scan de badges de salon pose une difficulté voisine : la facilité d’import ne doit pas remplacer la qualification.

Si la transcription donne une adresse illisible, ne devinez pas le destinataire puis n’envoyez pas le dossier. Revenez à la source ou laissez la suite suspendue. Si une ancienne opposition apparaît, bloquez la prospection correspondante, y compris dans les exports préparés. L’Art. 21(2)–(3) impose l’arrêt du traitement à cette fin ; conserver une donnée minimale pour respecter ce refus ne signifie pas maintenir le profil actif. Droit d’opposition.

Ce qu’il faut retenir

• La carte permet d’identifier un contact, pas toutes les utilisations autorisées.
• Consignez le besoin exprimé, la provenance et la suite réellement attendue.
• Informez dès la collecte directe ; distinguez le régime des données reçues d’un tiers.
• Import, newsletter et transmission à une autre société demandent des décisions séparées.

FAQ

Faut-il conserver l’original papier pour prouver tout consentement ?

Pas systématiquement. La carte peut établir des coordonnées sans prouver l’accord revendiqué. Conservez les éléments pertinents au regard de la finalité et de la preuve recherchée, sans accumuler des copies inutiles.

Peut-on transmettre le contact à une société du groupe ?

Le groupe n’est pas un destinataire unique par nature. Identifiez la société, son usage, le fondement de la transmission et l’information due. Une réponse assurée par une équipe interne et une prospection autonome par une autre société ne sont pas la même opération.

Une carte ancienne peut-elle être réimportée comme nouveau prospect ?

La nouvelle saisie ne change pas la date de collecte ni les choix antérieurs. Reconstituez le contexte et la nécessité de conserver les données ; si cela demeure inconnu, n’inventez pas un contact récent pour prolonger leur utilisation.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.