Le règlement général sur la protection des données est applicable depuis le 25 mai 2018. Il concerne toute entreprise ou organisme traitant des données personnelles de résidents européens.

Si votre CRM contient des contacts qui sont des personnes physiques, et c’est le cas de tous les CRM, vous êtes concerné. Voici la liste des points de sécurité à vérifier, à trois niveaux.

L’équipe de notre CRM automatisable et flexible vous dit tout.

1. La sécurité physique

Commencez par l’intégrité physique des données. Cela couvre les lieux de stockage, mais aussi les espaces communs de l’entreprise et les postes de travail, souvent négligés.

Concrètement : contrôle d’accès aux locaux, salles techniques fermées, postes verrouillés en cas d’absence. Rien de spectaculaire, mais c’est le premier maillon.

Cette exigence s’étend à vos prestataires, et c’est le point le plus souvent oublié. L’hébergeur de votre CRM détient vos données : ses installations doivent répondre aux mêmes standards, et votre contrat doit le prévoir explicitement.

2. La sécurité des échanges

Les réseaux sont le point faible le plus courant. Vos données circulent en permanence entre vos postes, votre prestataire CRM et vos autres outils.

Assurez-vous que ces échanges sont chiffrés avec des protocoles à jour, et que les versions anciennes sont désactivées des deux côtés. Une connexion sécurisée avec un protocole obsolète offre une protection largement théorique.

La question se pose aussi pour les connexions depuis l’extérieur, en déplacement ou en télétravail, qui multiplient les points d’entrée.

3. La sécurité logique

C’est le niveau des données, des applications et des droits. Pour votre CRM, cela se traduit par cinq mesures.

Des mots de passe conformes aux recommandations actuelles

Les règles ont changé, et beaucoup d’entreprises appliquent encore les anciennes. La CNIL, dans sa recommandation de juillet 2022, préconise désormais :

• 12 caractères minimum mêlant majuscules, minuscules, chiffres et caractères spéciaux, pour un mot de passe sans mesure complémentaire ;
• le blocage du compte après plusieurs tentatives infructueuses ;
• la vérification que le mot de passe choisi ne figure pas parmi les plus courants.

Le changement le plus notable concerne l’expiration : la CNIL ne recommande plus le renouvellement périodique des mots de passe pour les comptes ordinaires. L’expérience a montré que cette contrainte pousse les utilisateurs vers des variantes prévisibles, ce qui affaiblit la sécurité au lieu de la renforcer. Si votre politique impose encore un changement tous les trois mois, elle est datée.

Une traçabilité complète

Votre CRM doit conserver l’historique des connexions et des actions effectuées sur les données. Sans cette traçabilité, vous ne pouvez ni détecter une anomalie ni documenter une violation auprès de la CNIL.

Des droits d’accès fins

Chaque personne ne doit accéder qu’aux données nécessaires à son travail. C’est le principe de minimisation appliqué aux accès internes, et c’est ce que permet une gestion des données correctement paramétrée.

Des exports encadrés

Limitez les droits d’export vers un tableur ou tout autre format. Une base de contacts exportée échappe instantanément à tous vos dispositifs : plus de traçabilité, plus de contrôle d’accès, plus de suppression possible.

La suppression des accès au départ d’un salarié

Cela paraît évident, et c’est pourtant le manquement le plus fréquent. Intégrez cette suppression à votre procédure de départ, au même titre que la restitution du matériel.

La sécurité n’est qu’une partie du sujet

Cet article traite de la sécurité, mais le règlement couvre d’autres obligations : le registre des traitements, l’information des personnes, le recueil du consentement, les durées de conservation et les droits des personnes, droit d’accès, de rectification, d’opposition, à la limitation, à la portabilité et à l’effacement.

Ces obligations valent pour toutes les structures, y compris les plus petites. Nous les détaillons, sur un cas concret, dans notre article sur les obligations RGPD des associations, dont l’essentiel s’applique à n’importe quelle organisation.

Enfin, une base bien tenue est plus facile à mettre en conformité qu’une base laissée en friche : purger ce qui n’a plus d’usage sert les deux objectifs à la fois, comme nous l’expliquons dans nos conseils sur la qualité des données.

Vos questions sur la sécurité des données CRM

Faut-il encore imposer un changement de mot de passe régulier ?

Non, pas pour les comptes ordinaires. La CNIL a abandonné cette recommandation en 2022 parce qu’elle conduit à des mots de passe plus faibles. Elle reste pertinente sur les comptes à privilèges élevés.

L’hébergement des données doit-il être en France ?

Pas obligatoirement, mais les transferts hors Union européenne exigent un encadrement juridique spécifique. Un hébergement européen simplifie considérablement le dossier, et rassure les clients qui posent la question.

Qui est responsable en cas de fuite chez le prestataire ?

Vous restez responsable du traitement vis-à-vis des personnes concernées. Le contrat de sous-traitance répartit les obligations, mais il ne vous exonère ni de la notification à la CNIL ni de l’information des personnes.

Faut-il chiffrer les données dans le CRM ?

Le chiffrement des échanges est indispensable. Celui des données stockées se justifie dès que vous traitez des données sensibles, santé ou infractions notamment, où il devient difficilement contournable.

Que faire en cas de violation de données ?

Notifier la CNIL sous 72 heures, et informer les personnes concernées si le risque pour elles est élevé. Documentez l’incident même quand la notification n’est finalement pas requise.

Sources :

• Mots de passe : recommandations pour maîtriser sa sécurité, CNIL : https://www.cnil.fr/fr/mots-de-passe-recommandations-pour-maitriser-sa-securite
• Délibération n° 2022-100 du 21 juillet 2022 relative aux mots de passe, CNIL : https://www.cnil.fr/sites/cnil/files/atoms/files/deliberation-2022-100-du-21-juillet-2022_recommandation-aux-mots-de-passe.pdf