ERP, RGPD et données sensibles
Protégez vos données clients et évitez les mauvaises surprises
15 000 € pour une entreprise de rénovation énergétique. 7 000 € pour une entreprise d’aménagement paysager... Ces amendes ont été prononcées par la CNIL en 2025 et 2026. Elles concernent des activités proches de celles de nombreux utilisateurs de logiciels de gestion.
Quand on parle de RGPD, on pense souvent aux grandes entreprises et aux sanctions de plusieurs millions d’euros. Pourtant, la taille de votre entreprise ne vous dispense pas de protéger les données personnelles.
Une demande d’accès oubliée, une prospection mal encadrée ou un courrier de la CNIL laissé sans réponse peuvent avoir des conséquences financières bien réelles.
La bonne question est donc : savez-vous quelles données vous conservez, qui peut y accéder et comment répondre à une personne qui vous les réclame ?
Des sanctions concrètes dans le bâtiment, le commerce et les services
Voici quelques décisions récentes recensées par la CNIL :
| Date | Activité de l’entreprise | Manquements signalés | Amende |
|---|---|---|---|
| 9 janvier 2025 | Isolation, rénovation énergétique et chauffage | Prospection illicite, collecte excessive et défaut d’exactitude des données | 15 000 €, avec injonction |
| 3 avril 2025 | Courtage en travaux et conseil en BTP | Information des personnes concernant l’exercice de leurs droits et défaut de coopération avec la CNIL | 10 000 €, avec injonction |
| 18 décembre 2025 | Aménagement paysager, jardins et terrains de sport | Non-respect du droit d’accès et défaut de coopération avec la CNIL | 7 000 € |
Une amende de plusieurs milliers d’euros constitue une dépense imprévue et pénalisante. Elle peut s’accompagner de corrections à mettre en place et de temps consacré à répondre aux demandes de l’autorité.
Pour éviter d’improviser lorsqu’une demande arrive, votre entreprise a besoin de règles claires et d’outils pour les appliquer. Votre ERP contribue à cette organisation.
Le RGPD : qui est concerné ?
Le Règlement général sur la protection des données, ou RGPD, s’applique depuis le 25 mai 2018. Il encadre le traitement des données personnelles et s’articule, en France, avec la loi Informatique et Libertés.
Il concerne toutes les entreprises établies dans l’Union européenne qui traitent des données personnelles, quelle que soit leur taille : artisan, TPE, PME ou grand groupe.
Travailler uniquement avec des professionnels ne vous dispense pas de ces obligations. Le nom d’un interlocuteur, son email nominatif ou son téléphone professionnel peuvent constituer des données personnelles.
Dans votre logiciel de gestion, ces informations se trouvent notamment dans les fiches clients et prospects, les contacts, les documents commerciaux et les comptes rendus d’intervention.
Vos clients vous confient leurs informations. Gardez-en la maîtrise.
Un prospect vous transmet ses coordonnées pour recevoir un devis.
Vos collaborateurs complètent ensuite les fiches au fil des échanges.
Ces informations servent votre activité. Elles doivent être utilisées dans un cadre défini.
Votre entreprise doit notamment :
- Déterminer pourquoi elle utilise les données et sur quelle base légale.
- Collecter uniquement les informations nécessaires.
- Informer les personnes de leur utilisation et de leurs droits.
- Définir des durées de conservation adaptées.
- Organiser les accès et la sécurité.
- Prévoir comment traiter les demandes d’accès, de rectification ou d’effacement.
Vous savez ainsi quelles informations sont utiles, qui peut les utiliser et quand intervenir.
Le logiciel apporte des outils. Votre entreprise définit les règles et veille à leur application.
Comment Codial accompagne votre démarche RGPD
Codial intègre plusieurs fonctionnalités pour vous aider à organiser les accès, gérer certaines opérations sur les données et conserver des traces des actions effectuées.
Adaptez les droits aux responsabilités de chacun
Vos collaborateurs n’ont pas tous besoin des mêmes possibilités d’action.
Dans Codial, vous pouvez définir des droits de consultation, de modification et de suppression selon les utilisateurs. Vous adaptez les autorisations aux responsabilités de chacun.
Vous gardez la maîtrise des actions autorisées dans votre logiciel.
Un changement de poste ou une nouvelle organisation est l’occasion de revoir ces droits pour qu’ils correspondent toujours aux besoins réels.
Désactivez le compte d’un collaborateur qui quitte l’entreprise
Lorsqu’un salarié quitte votre entreprise, son compte ne doit plus permettre de se connecter.
Codial permet de désactiver un utilisateur en le marquant comme supprimé. Il ne peut alors plus s’identifier avec ce compte, tandis que ses actions passées restent identifiables.
Vous retirez la possibilité de se connecter sans perdre l’attribution des opérations déjà réalisées.
Encadrez les opérations de suppression
Codial propose une fonction de suppression des données d’un tiers. Son utilisation nécessite des droits d’accès aux paramètres.
L’opération demande une confirmation et fait l’objet d’un enregistrement horodaté dans le traceur.
Son périmètre doit toutefois être pris en compte : certains éléments liés, notamment des documents et des actions du centre d’action ou du CRM, restent conservés. Leur traitement doit être examiné séparément selon la demande et les obligations applicables.
Vous disposez d’un outil de suppression à utiliser dans le cadre d’une procédure définie.
Organisez l’archivage et la purge
Au fil des années, les informations s’accumulent. Certaines restent nécessaires ; d’autres n’ont plus d’utilité.
Codial propose des opérations manuelles d’archivage et de purge. Elles permettent d’intervenir selon les règles de conservation définies par votre entreprise et le périmètre de chaque utilitaire.
Prévoir des revues régulières vous aide à garder la maîtrise de ces données, plutôt que de les conserver par habitude.
Retrouvez la trace de certaines opérations
Les connexions et les suppressions font partie des événements enregistrés dans Codial.
Pour les opérations tracées, vous pouvez identifier l’utilisateur, la date et l’action effectuée.
Lorsqu’une question se pose, vous disposez de repères pour comprendre ce qui a été fait et par qui.
Un client vous demande ses données : comment réagir ?
Une personne peut demander à connaître les données détenues à son sujet ou à faire corriger une information erronée.
Le RGPD prévoit notamment des droits d’accès, de rectification, d’effacement et, selon les conditions applicables, d’opposition, de limitation du traitement et de portabilité.
Une demande reçue par email ne doit pas se perdre entre deux services. Désignez la personne chargée de la traiter et assurez le suivi de la réponse.
En principe, l’entreprise doit répondre dans un délai d’un mois. Ce délai peut être prolongé de deux mois lorsque la complexité ou le nombre de demandes le justifie. La personne doit alors être informée de cette prolongation et de ses motifs dans le premier mois.
La recherche doit couvrir les emplacements concernés : ERP, messagerie, documents et autres outils utilisés par l’entreprise.
Droit à l’effacement : faut-il tout supprimer ?
Une demande d’effacement n’entraîne pas automatiquement la suppression de tous les documents liés à une personne.
Certaines données peuvent devoir être conservées pour respecter une obligation légale ou pour la constatation, l’exercice ou la défense de droits en justice.
Il faut donc distinguer les données qui peuvent être effacées de celles dont la conservation reste justifiée. Les éléments conservés doivent être utilisés pour les finalités qui justifient leur maintien, avec des accès adaptés.
La fonction de suppression du logiciel constitue un outil. Son utilisation doit tenir compte de cette analyse.
Jusqu’où peuvent aller les sanctions RGPD ?
Les exemples présentés en début d’article illustrent des sanctions effectivement prononcées. Le cadre légal prévoit aussi des plafonds plus élevés selon la nature des manquements.
L’article 83 du RGPD distingue notamment :
- Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.
- Jusqu’à 20 millions d’euros ou 4 % de ce chiffre d’affaires pour certaines violations, notamment celles touchant les principes fondamentaux du traitement ou les droits des personnes, le montant le plus élevé étant retenu.
Ce sont des plafonds, pas des amendes automatiques. Les sanctions tiennent compte des circonstances, notamment de la nature, de la gravité et de la durée du manquement.
La CNIL peut également prononcer un rappel à l’ordre, imposer une mise en conformité ou limiter un traitement. Certaines décisions peuvent être rendues publiques.
Agissez avant qu’une demande oubliée ne devienne un litige
Définir ces responsabilités aujourd’hui vous évite d’avoir à improviser sous la pression d’une réclamation.
Les fonctionnalités de Codial vous apportent des outils pour mettre en œuvre cette organisation. Elles s’inscrivent dans une démarche qui associe paramétrage, pratiques internes et protection des donn ées.
Vous souhaitez mieux comprendre les fonctionnalités disponibles dans votre version ?
- CNIL : Les sanctions prononcées en 2025 et 2026.
- CNIL : Comprendre le RGPD et date d’application du règlement.
- CNIL : Appliquer le RGPD dans une TPE ou PME.
- RGPD : Articles 12 à 22, droits des personnes.
- CNIL: Le droit à l’effacement et ses limites.
- CNIL : Les sanctions possibles et RGPD — Article 83.
Informations juridiques vérifiées le 30 octobre 2026. Les fonctionnalités présentées contribuent à la démarche de protection des données ; elles ne constituent pas, à elles seules, une garantie de conformité.