Fichier de fournisseurs : traiter les entrepreneurs seuls

Un fichier fournisseurs mélange des sociétés, des entrepreneurs individuels et leurs interlocuteurs. Le même champ « adresse » peut contenir un siège social, un atelier ou le domicile d’une personne. L’étiquette “données d’entreprise” ne permet pas de décider qui peut consulter ces informations, ni combien de temps les conserver.

L’objectif est de construire un référentiel utilisable par les achats et la comptabilité, sans diffuser inutilement des coordonnées privées. La méthode concerne la gestion de la relation fournisseur ; la constitution d’une base de prospection demande une analyse distincte.

Identifier la personne concernée derrière chaque champ

L’Art. 4(1) du RGPD vise les informations se rapportant à une personne physique identifiée ou identifiable. Une donnée professionnelle peut remplir cette définition. Un numéro d’immatriculation rattaché à un entrepreneur individuel, son adresse d’activité située à domicile ou son courriel nominatif demandent donc une qualification.

La CNIL le rappelle dans son analyse de la facturation électronique : les personnes exerçant en leur nom propre et les interlocuteurs physiques des entreprises restent concernés par la protection des données. Cette distinction ne transforme pas automatiquement chaque information d’une personne morale en donnée personnelle.

Dans votre inventaire, séparez trois objets : l’entité fournisseur, la personne contractante lorsqu’il s’agit d’un indépendant, et les contacts chargés d’une fonction. Une société peut rester fournisseur alors que son interlocuteur a changé. L’identité de l’ancien interlocuteur n’a pas à être réutilisée comme celle du nouveau.

Ajoutez la provenance et la date de vérification. Une coordonnée reçue pour une livraison urgente ne devient pas, sans examen, le contact permanent à communiquer à tous les services. De même, un champ trouvé dans un registre public n’est pas nécessairement utile dans votre liste de consultation quotidienne.

Affecter les champs à des usages précis

La minimisation ne consiste pas à effacer au hasard les informations jugées privées. Elle impose de déterminer ce qui est nécessaire à chaque finalité, conformément à l’Art. 5(1)(b)–(c). L’Art. 25(2) porte aussi sur l’accessibilité par défaut : une donnée utile à la comptabilité peut être inutile à un service qui choisit un prestataire. Sources : principes et protection dès la conception.

Cette séparation doit fonctionner dans les exports et les intégrations. Cacher un champ sur une page tout en le livrant dans le fichier téléchargé ne réduit pas sa diffusion. Vérifiez également les droits de recherche et les modèles de documents générés à partir de la fiche.

Choisir la base légale opération par opération

Pour l’entrepreneur individuel qui est personnellement partie au contrat, l’Art. 6(1)(b) peut couvrir les traitements nécessaires à l’exécution de celui-ci, ou aux mesures précontractuelles demandées. Il ne couvre pas toute information que l’acheteur souhaite obtenir.

Le salarié contact d’une société n’est pas, pour cette seule raison, partie au contrat conclu avec son employeur. Pour organiser les échanges professionnels, un intérêt légitime peut être pertinent sous les conditions de l’Art. 6(1)(f) : intérêt identifié, nécessité et mise en balance. Examinez notamment les attentes du contact, le caractère professionnel du canal et les conséquences du traitement.

Lorsqu’une obligation légale justifie un justificatif, identifiez le texte, les opérations et personnes visées avant d’utiliser l’Art. 6(1)(c). Une procédure interne intitulée « conformité fournisseur » ne crée pas une obligation légale. Il faut pouvoir expliquer pourquoi telle pièce est nécessaire pour cette relation.

Ces bases figurent dans l’Art. 6(1) du RGPD. Ne demandez pas un consentement global pour « accepter le RGPD » en espérant qu’il autorise tous les usages. Inversement, l’absence d’une case de consentement ne rend pas automatiquement illicite le paiement d’un entrepreneur avec lequel un contrat est exécuté.

F-28 : transformer une fiche trop largement visible

Voici un dossier fictif. La société commerciale Orme achète une prestation de traduction à Léa, entrepreneuse individuelle. Léa transmet les informations nécessaires à la commande et à son règlement. Son adresse administrative correspond à son domicile ; elle souhaite que les échanges de travail passent par son courriel professionnel.

La fiche initiale est accessible à douze acheteurs. Elle comprend identité, domicile, courriel professionnel, numéro mobile personnel, coordonnées bancaires et une note libre : « indisponible pour raisons médicales ». Le service explique avoir ajouté cette dernière mention pour savoir quand relancer.

La revue ne se contente pas de renommer la fiche. Elle prend les décisions suivantes, dans les hypothèses propres à F-28 :

La note médicale peut révéler une donnée de santé relevant de l’Art. 9(1). Dans ce scénario, aucune exception permettant ce traitement n’est établie et ce détail n’est pas nécessaire au suivi de la prestation. Demander après coup un accord général ne constitue pas une solution à cette collecte excessive. Une date de disponibilité suffit ici au besoin opérationnel. Source : Art. 9 du RGPD.

La version corrigée donne donc aux acheteurs les moyens de commander et de joindre Léa sans leur ouvrir le dossier financier. Le contrôle porte sur la consultation ordinaire et sur l’export utilisé pour préparer les commandes. Le scénario illustre les décisions attendues ; il ne décrit pas l’audit réel d’un logiciel.

Informer sans confondre fournisseur et contact

Lors d’une collecte directe, fournissez les informations de l’Art. 13 au moment de la collecte. Si les données proviennent d’un tiers, examinez l’Art. 14 : contenu de l’information, provenance et délai raisonnable n’excédant pas un mois, ou plus tôt lors de la première communication ou transmission concernée. Les exceptions de l’Art. 14(5) s’apprécient dans leur champ ; la disponibilité publique n’est pas une dispense générale. Source : RGPD, chapitre III.

Pour F-28, la fiche de préparation de la notice indique : responsable Orme ; finalités commande, organisation de la prestation et paiement ; bases distinguées selon l’opération ; destinataires achats habilités et circuit financier ; durées et droits expliqués par catégorie. Cette fiche est un plan de contenu, pas une notice complète prête à publier : ajoutez les coordonnées effectives, les prestataires et transferts éventuels, les critères de durée retenus et les modalités d’exercice.

Si une société vous communique le nom de sa nouvelle gestionnaire, ne supposez pas qu’elle lui a déjà donné votre propre information. Vérifiez les éléments réellement fournis et le rôle de chacun. Le dossier de provenance des données aide à conserver cette distinction.

Traiter les corrections et les imports successifs

Les Art. 5(1)(d) et 16 exigent l’exactitude et la rectification des données concernées. Une nouvelle adresse de paiement, un changement de contact et une contestation d’évaluation ne suivent toutefois pas exactement la même procédure.

Pour une coordonnée bancaire, séparez la demande de correction de la vérification nécessaire avant modification du paiement. Une validation par le seul message demandant le changement expose à l’usurpation. Définissez un canal de confirmation approprié et une habilitation de modification, sans multiplier les justificatifs personnels sans besoin.

Pour une appréciation, conservez les faits et leur contexte. « Prestation remise le 12 au lieu du 10 convenu » peut être vérifié ; « fournisseur peu fiable » ne décrit ni l’événement ni sa source. Si l’exactitude est contestée, examinez aussi la limitation prévue à l’Art. 18(1)(a), plutôt que de continuer à diffuser l’information contestée sans analyse.

Dans F-28, un ancien import rétablit le mobile retiré. La correction doit donc atteindre la règle d’importation et les copies opérationnelles pertinentes. Le gestionnaire conserve le minimum nécessaire pour faire respecter la décision, puis contrôle un nouvel import. Il ne déclare pas la correction complète tant que ce circuit republie la coordonnée. La rectification des bases dérivées organise cette propagation et les notifications de l’Art. 19 lorsqu’elles s’appliquent.

Fermer la relation sans effacer la comptabilité

La fin d’une prestation ne fixe pas une durée unique pour toute la fiche. Les données de contact actives, les factures, les preuves contractuelles et les pièces d’un différend ont des finalités différentes.

Dans le champ de la comptabilité des commerçants, l’Art. L. 123-22 du Code de commerce prévoit dix ans pour les documents comptables et pièces justificatives. Cette règle ne transforme pas toutes les notes d’achats ni tous les anciens numéros personnels en pièces comptables. Identifiez les obligations réellement applicables à votre organisme et aux documents concernés.

Orme peut donc désactiver F-28 pour de nouvelles commandes tout en conservant les pièces comptables requises. Le dossier conservé n’est plus diffusé comme une liste active de contacts. Les archives intermédiaires et leurs accès doivent être organisés avec un motif, un périmètre, une échéance ou un critère de réexamen.

Si un contentieux justifie une conservation ciblée, documentez-la. L’exception à l’effacement de l’Art. 17(3)(e) ne crée pas une base légale autonome ni une permission de garder tout le référentiel indéfiniment. Répondez aux demandes en distinguant les données supprimées et celles encore nécessaires à une finalité justifiée.

Enfin, publier un contact dans un annuaire externe constitue une autre opération. La séparation des coordonnées professionnelles et personnelles doit être examinée avant cette diffusion ; la remise d’une adresse pour facturer n’autorise pas sa publication générale.

Ce qu’il faut retenir

• Distinguez l’entité, l’entrepreneur contractant et les contacts salariés.
• Justifiez chaque champ, base légale, vue et export selon leur usage.
• Corrigez les sources et synchronisations, pas seulement la fiche visible.
• Séparez les contacts actifs des pièces qui doivent rester archivées.

FAQ

Un numéro SIRET relève-t-il toujours du RGPD ?

Il faut examiner à qui il se rapporte. Une information rattachée à un entrepreneur individuel peut être une donnée personnelle ; toutes les informations d’une personne morale ne le sont pas automatiquement.

Faut-il un consentement pour payer un indépendant ?

Pas nécessairement. Les traitements nécessaires au contrat et les obligations applicables peuvent avoir d’autres bases légales, à identifier précisément.

Peut-on conserver toute la fiche pendant dix ans ?

La conservation comptable vise des documents déterminés, dans son champ. Elle ne justifie pas automatiquement le maintien de toutes les coordonnées et notes dans les outils opérationnels.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.