Enrichir le CRM : documenter chaque donnée ajoutée

Enrichir un CRM exige de pouvoir expliquer chaque donnée ajoutée : son origine, sa date, sa nature et l’usage autorisé. Une mention globale « données publiques » ou « fournisseur conforme » ne permet ni de répondre à une personne ni de déterminer si une adresse reconstruite, une fonction ancienne et un intérêt supposé peuvent servir à la même campagne.

La solution consiste à séparer la valeur reçue de la valeur utilisable. Vous pouvez recevoir un fichier techniquement valide et refuser une partie de ses champs. Le présent guide propose une fiche de décision renseignée et les règles de mise à jour qui l’accompagnent. Il vise l’enrichissement de contacts professionnels ; il ne transforme pas une coordonnée disponible en autorisation de démarchage.

Décider pourquoi enrichir avant de choisir les champs

« Mieux connaître nos prospects » est trop large pour décider quoi conserver. « Identifier la fonction professionnelle actuelle afin d’adresser une offre d’équipement d’atelier à un interlocuteur pertinent » permet déjà de trancher : la fonction et l’entreprise peuvent être utiles ; les opinions, la vie familiale ou les habitudes privées ne le sont pas.

L’Art. 5(1)(b)-(d) du RGPD impose des finalités déterminées, la minimisation et l’exactitude. L’Art. 6(1) exige une base légale pour votre traitement. Ces obligations portent sur la collecte et l’enrichissement eux-mêmes, avant l’envoi d’une campagne. Le contrat d’achat du fichier ne constitue pas, à lui seul, une base légale à l’égard des personnes qui y figurent. Principes du RGPD.

Si vous retenez l’intérêt légitime, consignez l’intérêt commercial précis, la nécessité de chaque catégorie et la mise en balance avec les droits des personnes. Une recherche limitée aux responsabilités professionnelles ne présente pas les mêmes enjeux qu’une combinaison de publications personnelles destinée à deviner les revenus ou les fragilités d’un contact. Si le projet ne peut pas être justifié, réduisez-le ou abandonnez les données concernées avant leur utilisation.

La CNIL rappelle que l’accès public ne rend pas la réutilisation libre. Dans son cas d’usage consacré à l’enrichissement commercial, elle demande notamment de tenir compte du contexte de publication et des attentes raisonnables. Les profils intrusifs construits par recoupements appellent une analyse différente de simples coordonnées professionnelles. Recommandations sur les données publiées en ligne, cas n°2. Une publication administrative relève aussi du régime de réutilisation des informations publiques, distinct du seul accès à une page web.

Lire un enrichissement champ par champ

Considérons une situation fictive. Rive Atelier commercialise des établis pour professionnels. Son CRM contient déjà Alice Delmas, interlocutrice d’une demande de devis ancienne, et le nom de son entreprise. Un fournisseur propose de compléter la fiche. Le fichier arrive le 22 septembre 2026 avec cinq attributs présentés comme « actualisés ».

On suppose ici que le maintien du contact dans le CRM est encore justifié, qu’aucune opposition n’a été exprimée et que l’analyse d’intérêt légitime retient une utilisation limitée à cette fonction pour des offres professionnelles pertinentes, avec information et sortie simple. Ces conditions restent à établir dans un dossier réel.

Le responsable CRM ne valide pas l’ensemble en bloc. Il examine la nature de chaque résultat :

La date de livraison du fichier n’est pas la date de vérification de toutes ses valeurs. De même, une adresse qui accepte techniquement un message n’est pas nécessairement attribuée au bon interlocuteur. Le statut « valide » doit préciser ce qu’il signifie : syntaxe correcte, boîte joignable, source concordante ou identité confirmée ne sont pas des résultats interchangeables.

Dans ce dossier hypothétique, seule la fonction dispose des éléments permettant sa reprise pour le périmètre retenu. Cela ne valide ni une nouvelle adresse ni un nouvel intérêt commercial. Le responsable consigne les autres conclusions et demande au fournisseur uniquement les précisions susceptibles de changer la décision. Il n’importe pas les champs refusés en attendant une hypothétique régularisation.

Une fiche de provenance utilisable au quotidien

Voici le niveau de description que Rive Atelier pourrait conserver pour la valeur retenue :

Contact : référence interne C-128, Alice Delmas. Champ : fonction professionnelle. Valeur : responsable d’atelier. Origine : page « Équipe » du site de son entreprise, adresse exacte conservée dans le dossier interne. Observation : 20 septembre 2026. Import : 22 septembre 2026, lot E-22. Nature : information publiée, non déduite. Usage : pertinence des offres d’équipement professionnel. Décision : reprise validée par le responsable CRM. Information : notice de collecte indirecte à transmettre au premier contact prévu le 24 septembre. Révision : lors d’un signal de changement ou avant réutilisation si la fraîcheur devient incertaine.

Cette fiche est un exemple de gestion, pas un formulaire imposé par le RGPD. L’adresse source doit être renseignée réellement dans votre dossier : ne remplacez pas une provenance inconnue par une adresse vraisemblable. Pour une donnée calculée, indiquez plutôt les entrées, la méthode pertinente et la limite du résultat. « Déduit » doit rester visible jusque dans les exports qui réutilisent cette donnée.

Gardez distincts la source initiale, l’intermédiaire et votre propre contrôle. Si le fournisseur a extrait une page, son nom ne répond pas entièrement à la question « d’où vient ma fonction ? ». Si l’origine précise n’est pas disponible, décrivez honnêtement les informations connues et décidez si elles suffisent à justifier l’usage. Ne fabriquez pas une traçabilité rétroactive.

Une capture intégrale de chaque page n’est pas nécessairement proportionnée. Un extrait pertinent, son adresse, la date et l’identité du contrôle peuvent suffire au besoin de preuve défini. Évitez de copier tout un annuaire et les coordonnées de personnes étrangères au dossier. L’Art. 5(1)(c) s’applique aussi aux pièces conservées pour démontrer votre conformité.

Informer sans attendre la première contestation

L’Art. 14(1)-(2) prévoit notamment l’identité du responsable, les finalités, la base légale, les catégories de données, les destinataires, la conservation, les droits et la source. Il faut indiquer, lorsque c’est pertinent, si les informations proviennent de sources accessibles au public. La politique de confidentialité du vendeur ne démontre pas que la personne connaît votre enrichissement. RGPD, Art. 14.

L’information intervient dans un délai raisonnable ne dépassant pas un mois après obtention. Une première communication ou une première transmission à un destinataire peut imposer de la fournir plus tôt, selon l’Art. 14(3). Dans l’exemple, le contact du 24 septembre précède l’échéance d’un mois : l’entreprise ne peut pas attendre octobre pour expliquer l’ajout du 22 septembre. Une donnée mise en attente technique reste une donnée obtenue ; cette attente ne remet pas le compteur à zéro.

Les exceptions de l’Art. 14(5) sont à justifier. Le volume du fichier ou l’existence d’une rubrique générale sur le site ne dispense pas automatiquement d’une information individuelle. Si une personne connaît déjà exactement le traitement et les informations requises, documentez ce qui le démontre plutôt que de supposer que toute relation commerciale ancienne suffit.

L’information ne remplace pas l’autorisation nécessaire au canal de prospection. Pour une sollicitation professionnelle par courriel, la CNIL admet l’intérêt légitime lorsque l’objet est en rapport avec la profession, avec information et opposition simple. Cela n’autorise pas n’importe quelle campagne à une adresse professionnelle. Règles de prospection électronique. Un autre canal impose d’examiner ses propres règles avant activation.

Empêcher les corrections de disparaître au prochain import

Définissez une règle de priorité explicite. Une correction étayée et validée ne doit pas être remplacée silencieusement par la même source externe ancienne. Le système peut bloquer la mise à jour du champ concerné et diriger la nouvelle proposition vers une file de revue. La priorité n’est pas « toute déclaration l’emporte toujours » : elle doit permettre un arbitrage documenté lorsque les informations se contredisent.

Si Alice indique qu’elle a changé de poste, le responsable CRM rectifie les données inexactes dans les meilleurs délais, conformément à l’Art. 16. Lorsque l’exactitude est contestée, l’Art. 18(1)(a) prévoit la limitation pendant le temps nécessaire à la vérification. Une campagne fondée sur la fonction contestée ne doit pas se poursuivre comme si le désaccord n’existait pas. RGPD, Art. 16 et 18.

La correction doit atteindre les usages dérivés : segment professionnel, export destiné à l’agence, fichier de campagne. L’Art. 19 prévoit la notification aux destinataires des rectifications, effacements ou limitations, sauf impossibilité ou efforts disproportionnés. La réponse ne se limite donc pas à montrer une fiche CRM propre lorsque l’ancienne valeur circule encore.

Le changement d’employeur d’un prospect mérite une attention particulière : une adresse fonctionnant toujours chez l’ancien employeur ne prouve pas que la personne la consulte encore. Réexaminer le rattachement évite de personnaliser une offre sur une identité ou une fonction périmée.

Arrêter aussi l’enrichissement après opposition

Une opposition générale à la prospection ne se réduit pas au blocage des emails. L’Art. 21(2)-(3) couvre le profilage lié à cette finalité. Continuer à enrichir le contact pour de futures campagnes laisserait subsister le traitement visé. Traduisez le droit d’opposition dans les règles du connecteur, les nouvelles sélections et les échanges avec le fournisseur.

Une trace minimale peut rester nécessaire pour empêcher un réimport, avec un usage et une conservation propres. Elle ne doit pas contenir l’ensemble du profil commercial supprimé. Les données nécessaires à une autre finalité, par exemple l’exécution d’une commande en cours, demandent une décision séparée : l’opposition publicitaire n’efface pas mécaniquement tous les dossiers.

Lorsque le prestataire ne fournit pas les origines promises ou réintroduit les valeurs refusées, suspendez les enrichissements concernés. Conservez la preuve de la difficulté et reprenez seulement après résolution vérifiable. L’audit d’un fournisseur de leads permet de tester la cohérence de ses justificatifs ; le guide du scraping RGPD traite plus précisément la collecte en ligne.

Ce qu’il faut retenir

• Décidez de la nécessité de chaque champ avant l’import.
• Séparez fait publié, résultat technique et inférence.
• Rattachez information, correction et opposition aux usages réels.
• Une valeur incertaine ou sans justification suffisante reste hors des campagnes.

FAQ

Le fournisseur doit-il toujours être sous-traitant ?

Non. Un acteur qui constitue et commercialise sa propre base peut déterminer ses propres finalités. Les rôles dépendent des opérations réelles. Un contrat intitulé « sous-traitance » ne suffit pas à qualifier toute la chaîne.

Faut-il garder indéfiniment les anciennes valeurs ?

Non. Définissez ce qui est nécessaire pour comprendre une correction ou défendre un droit, avec une durée et un accès limités. Un historique utile à une preuve ne doit pas rester disponible comme profil commercial courant.

Peut-on compléter seulement les champs vides ?

Cette règle évite certains écrasements, mais ne prouve ni l’origine ni la licéité des ajouts. Un champ vide peut être volontairement absent parce que la donnée est inutile, refusée ou trop incertaine.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.