Extension de prospection : contrôler ses accès

Une extension de prospection ajoute un profil au CRM en quelques secondes. Avant de l’autoriser, l’entreprise doit comprendre ce qu’elle lit, à quel moment, pour quelle destination et avec quels droits. La fiche finalement créée ne montre pas nécessairement toutes les données traitées en chemin.

Le contrôle porte sur deux sujets liés : la licéité de la collecte des données des prospects et la sécurité du navigateur utilisé par les salariés. Une permission accordée par le commercial ne constitue pas le consentement des personnes dont les informations sont collectées.

Définir le besoin dans une fiche d’achat

Écrivez l’opération attendue sans reprendre la promesse du fournisseur. Par exemple : « enregistrer, sur action du commercial, le nom, la fonction et l’adresse professionnelle d’un contact sélectionné, avec la source et la date de collecte ». Précisez les sites concernés, les catégories de personnes et les équipes autorisées.

Cette description doit aussi fixer les exclusions. Une extension choisie pour créer une fiche commerciale n’a pas, de ce seul fait, besoin d’analyser la messagerie, les pages RH ou les documents clients. L’Art. 5(1)(c) du RGPD demande de limiter les données au nécessaire. L’Art. 25(1) et (2) exige d’intégrer la protection des données dans la conception et les réglages par défaut.

Une fiche utile tient en quelques décisions : finalité, données permises, domaines autorisés, déclenchement, destination, responsable interne et conditions de retrait de l’outil. Si ces éléments restent inconnus, l’équipe achats ne dispose pas encore d’un périmètre à approuver.

Lire les permissions avec l’équipe technique

La documentation officielle Chrome sur les permissions distingue notamment les permissions d’API, les permissions optionnelles, les accès aux hôtes et les domaines d’injection des scripts. Certains accès nécessitent plusieurs permissions combinées ; le libellé d’un avertissement ne constitue donc pas un inventaire complet des traitements.

La permission activeTab peut donner un accès temporaire à l’onglet actif après une action de l’utilisateur. Elle constitue une possibilité technique à examiner, pas une garantie que toute extension de prospection fonctionne ainsi ou se limite aux données utiles.

Demandez à l’équipe technique de traduire les permissions en conséquences pour votre usage : quelles pages deviennent accessibles, quelles actions déclenchent la lecture et quels autres droits restent présents ? Une permission optionnelle n’est pas nécessairement inutile ; il faut savoir pourquoi elle est demandée et si le service peut fonctionner avec un périmètre plus réduit.

Conservez la version étudiée et la réponse apportée. « Conforme au RGPD » ne répond à aucune de ces questions techniques.

Distinguer trois périmètres de données

Le premier périmètre comprend les informations des prospects. Le second regroupe les données du salarié utilisant l’extension : compte, actions et éventuelles mesures d’utilisation. Le troisième couvre les informations accessibles dans les autres pages de son navigateur, qui peuvent concerner des clients, des collègues ou des tiers.

Pour chacun, identifiez ce qui est effectivement collecté, conservé et transmis. Une promesse de ne pas enregistrer le contenu ne permet pas de déduire qu’aucune lecture ou transmission n’a lieu. À l’inverse, une permission large ne prouve pas à elle seule que toutes les pages ont déjà été aspirées. La décision doit distinguer capacité d’accès, comportement établi et incertitude restante.

Les Art. 24, 25 et 32 fournissent le cadre de responsabilité, de conception et de sécurité. Ils conduisent ici à demander des garanties adaptées et à réduire les accès, sans imposer un modèle universel d’architecture pour toutes les extensions.

Justifier la réutilisation des profils consultés

Le fait qu’une information soit visible en ligne ne la rend pas librement exploitable. Les recommandations CNIL sur la réutilisation de données publiées, cas d’usage 2, demandent notamment d’examiner le contexte, les attentes raisonnables, les restrictions et les oppositions. Un accès derrière un compte ou une publication destinée à un échange personnel appelle une attention particulière.

Si l’entreprise retient l’Art. 6(1)(f), elle doit établir un intérêt légitime, la nécessité du traitement et une balance favorable au regard des droits des personnes. L’étiquette « B2B » ne remplit pas cette analyse. Le guide du scraping et du RGPD détaille ce travail sur l’origine et l’usage des données.

Pour les emails professionnels, la CNIL admet un régime d’information et d’opposition lorsque la sollicitation est en rapport avec la profession. Cette situation ne couvre pas toutes les offres envoyées à une adresse professionnelle. Les emails à des particuliers restent soumis au principe du consentement préalable et aux exceptions de l’article L. 34-5 du CPCE.

Enfin, examinez les conditions de la plateforme et les autres droits applicables. Une permission du navigateur ne neutralise pas une restriction contractuelle ni une opposition à la réutilisation.

Identifier les usages propres du fournisseur

Un prestataire qui traite les données pour votre compte doit présenter les garanties et le contrat requis par l’article 28 du RGPD. Le contrat doit couvrir les opérations réellement confiées, les sous-traitants ultérieurs, l’assistance, la sécurité et le sort des données en fin de prestation.

Demandez séparément si le fournisseur alimente sa propre base, enrichit des profils pour d’autres clients ou réutilise les données pour entraîner un système. Ces usages éventuels ne sont pas démontrés par la simple présence de l’extension : ils doivent être vérifiés dans les documents et réponses contractuelles. S’ils existent, leur qualification et leur licéité demandent une analyse propre.

Localisez aussi les traitements, les accès de support et les destinataires. Un hébergement annoncé dans l’Union ne décrit pas nécessairement tous les accès. Lorsque des transferts internationaux existent, examinez le mécanisme et les garanties applicables avant d’autoriser les flux.

Construire un essai limité, sans exposer le navigateur habituel

Voici un protocole proposé, qui ne décrit aucun essai réalisé sur un produit. Utilisez un environnement dédié contenant des pages et contacts fictifs, un compte CRM de démonstration et des droits limités. L’objectif est de confronter les réponses du fournisseur au fonctionnement observable, sans ouvrir immédiatement les données réelles de l’entreprise.

Préparez une page comportant quatre champs permis et deux champs exclus. Les champs exclus peuvent représenter une note interne et une information sans rapport avec la prospection. Comparez ce qui arrive dans le CRM, mais demandez également à l’équipe technique de rechercher les autres destinations et journaux accessibles. L’absence d’un champ dans la fiche finale ne prouve pas qu’il n’a jamais été transmis.

Dans un scénario fictif, l’entreprise Nacre envisage dix installations. Le fournisseur annonce une collecte manuelle sur deux domaines. La documentation laisse toutefois ouverte la question d’un envoi préalable du contenu complet de la page vers son service. La décision proposée est de différer les installations réelles jusqu’à clarification de ce flux et vérification de sa nécessité. Dix utilisateurs ne constituent ni un seuil légal d’autorisation ni une preuve de risque faible.

Le compte rendu distingue les faits observés, les déclarations du fournisseur et les points non vérifiés. Une démonstration réussie ne permet pas de conclure sur tous les domaines, toutes les versions ou tous les volumes futurs.

Éviter qu’une fiche importée devienne une autorisation commerciale

La création d’un contact doit conserver sa provenance et ses restrictions. L’Art. 14(1) à (3) encadre l’information lors d’une collecte indirecte : source, finalités, base, destinataires, durée et droits, notamment. Le délai raisonnable ne dépasse pas un mois, avec une information au plus tard lors de la première communication si elle intervient avant.

Prévoyez un état d’attente tant que l’usage commercial n’a pas été validé. Une nouvelle extraction ne doit pas écraser une opposition ancienne, une rectification ou un retrait. L’Art. 21(2) et (3) impose l’arrêt du traitement à des fins de prospection lorsque la personne s’y oppose.

La traçabilité de l’enrichissement CRM aide à distinguer une donnée fournie par la personne d’une donnée ajoutée par l’outil. Cette distinction sert à expliquer la source, corriger une erreur et retrouver les destinataires.

Réexaminer les changements et organiser la sortie

Désignez une personne chargée de suivre les évolutions : permissions, domaines, sous-traitants, finalités et fonctionnalités. Une extension évaluée pour une collecte ponctuelle doit être réexaminée si elle propose ensuite une synchronisation continue ou un enrichissement supplémentaire. La décision initiale doit indiquer ce qui déclenche ce nouvel examen.

À la sortie, séparez la désinstallation locale, la révocation des connexions, le retrait des droits CRM et le sort des données déjà transmises. Vérifiez chacun de ces points avec le fournisseur et les administrateurs concernés. Désinstaller ne démontre pas une suppression distante ; révoquer un accès ne supprime pas les copies déjà créées.

Le dossier du CRM conforme au RGPD permet de replacer cette sortie dans la gestion des données commerciales. Conservez une preuve proportionnée des opérations effectuées et traitez explicitement les copies qui doivent encore être conservées pour une finalité justifiée.

Ce qu’il faut retenir

• Reliez chaque permission à un besoin décrit avant l’achat.
• Distinguez données des prospects, du salarié et des autres pages accessibles.
• Vérifiez les flux intermédiaires et les usages propres du fournisseur.
• Organisez provenance, opposition et révocation au-delà de la désinstallation.

FAQ

Une boutique officielle garantit-elle la conformité de notre usage ?

Elle ne démontre pas que la collecte, les permissions et la prospection prévues répondent aux exigences applicables à votre entreprise. Ces points restent à vérifier.

Faut-il autoriser tous les sites pour gagner du temps ?

Comparez le périmètre demandé au besoin. Si un accès plus limité est possible, examinez-le ; sinon, exigez une justification et évaluez le risque avant la décision.

Un essai fictif permet-il de valider toute l’extension ?

Il éclaire des comportements dans un périmètre déterminé. Il ne remplace ni l’analyse juridique et contractuelle ni la vérification des usages et flux restés invisibles.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.