Une coach qui vend en messages privés depuis deux ans a, dans son téléphone, plusieurs centaines de personnes qui lui ont raconté leur situation : ce qu'elles veulent changer, ce qu'elles ont déjà essayé, parfois leur budget, parfois leur santé. Elle n'a jamais ouvert de tableur et n'a pas l'impression de tenir un fichier. Elle en tient un quand même, et il est plus riche que la plupart des bases clients.
Ce sujet se confond avec deux autres, dont il faut le séparer tout de suite. Les règles des plateformes décident de ce qui fait restreindre un compte, et c'est Meta qui les écrit. La transparence des systèmes d'intelligence artificielle relève du règlement européen sur l'IA, dont l'obligation pèse d'abord sur l'éditeur de l'outil. Le règlement sur les données personnelles, lui, part de vous : c'est votre activité, vos conversations, votre responsabilité.
Voici ce qu'il demande concrètement à quelqu'un qui vend en conversation, avec une limite annoncée d'emblée : la CNIL ne publie pas de fiche consacrée aux messageries de réseaux sociaux, et nous ne citerons aucune sanction visant un indépendant sur ce terrain, faute d'en connaître une. Ce qui suit s'appuie sur les règles générales et sur les positions publiées de la CNIL, transposées à un canal qu'elle n'a pas traité séparément.
Une conversation privée est un fichier, même sans fichier
Une donnée personnelle est toute information qui permet d'identifier quelqu'un, directement ou non. Un pseudonyme, un prénom, un numéro de téléphone, une photo de profil et le récit d'une situation personnelle en font partie, et une conversation en messages privés en contient tout du long.
Tant que vous discutez avec vos amis, le règlement ne s'applique pas : il écarte de son champ les activités strictement personnelles ou domestiques. Vendre un accompagnement n'entre pas dans cette exception. Dès lors que vous conservez, triez, annotez, exportez ou faites analyser ces échanges pour votre activité, vous devenez responsable de ce que vous en faites, et la taille de votre structure ne change rien à ce statut.
La plateforme a ses propres obligations pour ses propres traitements, ce qui ne transfère pas les vôtres. Le compte Instagram appartient à Meta, la relation commerciale vous appartient.
Le mot qui gouverne tout le reste se trouve à l'article 5 du règlement : le responsable d'un traitement doit être en mesure de démontrer qu'il respecte les principes posés. C'est le sens du titre de cet article. Personne ne vous demandera de justifier chaque message, mais on peut vous demander d'expliquer ce que vous faites, et une réponse vague vaut une absence de réponse.
Sur quoi repose votre droit d'écrire
La CNIL distingue deux situations, et ses règles sur les communications électroniques vers les prospects et les clients posent la ligne.
Vers un particulier, la prospection par voie électronique suppose un consentement préalable, c'est-à-dire un accord libre, spécifique, éclairé et univoque donné avant le message. Une seule exception est admise : la personne est déjà cliente et la prospection porte sur des produits ou services similaires à ceux qu'elle a achetés. Dans ce cas, il faut l'informer et lui laisser un droit d'opposition.
Vers un professionnel, le consentement préalable n'est pas systématiquement requis, à trois conditions qui se cumulent : la sollicitation est en lien avec l'activité professionnelle de la personne contactée, celle-ci est informée de l'origine de ses données et de la finalité du message, et elle peut s'opposer simplement à recevoir la suite.
Ces textes visent le courrier électronique, le SMS et l'automate d'appel. Aucune fiche de la CNIL ne traite spécifiquement du message privé sur un réseau social, et nous n'irons pas jusqu'à écrire qu'un message privé est juridiquement un courrier électronique : ce n'est pas à nous d'en décider. Le principe, en revanche, ne dépend pas du tuyau emprunté, et il retombe exactement sur la ligne qui sépare la relance du démarchage à froid. Une personne qui vous a écrit d'elle-même a engagé la relation, et la conversation en porte la preuve, horodatée, dans le fil. Une liste de profils extraits sur un critère de bio ne vous laisse rien à montrer, parce qu'il n'y a rien eu à montrer.
C'est le premier point où la conformité et le chiffre vont dans le même sens. Le geste que vous pouvez justifier est aussi celui qui répond le mieux.
Combien de temps garder une conversation qui n'a rien donné
Des données personnelles ne se conservent pas indéfiniment, et la durée se détermine par rapport à la finalité poursuivie. La CNIL décrit trois temps successifs : la base active, tant que la donnée sert à l'objectif ; l'archivage intermédiaire, quand elle ne sert plus mais reste utile en cas de contentieux ou imposée par une obligation légale ; l'archivage définitif, réservé à ce qui a une valeur historique.
Pour la prospection, les questions-réponses de la CNIL sur ses référentiels commerciaux donnent un repère chiffré : les données relatives aux prospects utilisées à des fins de prospection commerciale peuvent être conservées pendant un délai de trois ans à compter de leur collecte ou du dernier contact venant du prospect. Au terme de ce délai, l'organisme peut reprendre contact pour demander si la personne souhaite continuer à recevoir des sollicitations, et sans réponse positive et explicite, les données devraient être supprimées ou archivées. La CNIL ajoute que ces référentiels ne sont pas contraignants, et qu'un responsable de traitement peut s'en écarter à condition de pouvoir justifier son choix.
Lisez bien le point de départ, parce qu'il est souvent raconté de travers : c'est le dernier contact venant du prospect, pas le vôtre. Relancer quelqu'un ne repousse donc pas mécaniquement l'échéance de trois ans. C'est sa réponse qui la repousse, et c'est cohérent : le délai mesure un intérêt manifesté par la personne, pas votre persévérance.
Sur ce canal, la bonne nouvelle est que la date est déjà là. Chaque conversation porte celle de son dernier message, et vous n'avez donc rien à reconstituer : vous avez à décider une durée, à l'écrire quelque part, et à faire le ménage une fois par an sur ce qui la dépasse.
Quand quelqu'un demande à voir ses données ou à disparaître
C'est la partie que presque personne n'a préparée, et c'est aussi celle qui arrive sans prévenir, en une phrase, dans la conversation elle-même.
La CNIL détaille la marche à suivre pour répondre à une demande de droit d'accès : un mois au maximum pour une demande simple, trois mois pour une demande complexe, par exemple lorsqu'une personne réclame une copie de l'intégralité de ses données, et huit jours pour des données de santé. Ce que vous devez lui communiquer est précis : les finalités du traitement, les catégories de données concernées, l'identité des destinataires, et la durée de conservation envisagée. Vous pouvez refuser une demande manifestement infondée ou excessive, notamment par son caractère répétitif, ou lorsque les données ne sont plus conservées, mais un refus se motive et s'annonce à la personne.
Le droit à l'effacement et le droit d'opposition suivent la même logique. Quelqu'un peut vous demander d'arrêter de le solliciter, et cette demande n'a pas besoin d'être formulée dans un vocabulaire juridique : un « ne me recontactez plus » dans un message privé en est une.
Reste la question pratique, qui n'a rien d'évident sur ce canal : effacer quoi, au juste. La conversation vit dans la messagerie de la plateforme, entre deux comptes, et elle relève du régime de celle-ci. Ce que vous devez traiter, c'est ce que vous en avez fait chez vous, ce qui suppose de savoir où sont les copies : vos notes, votre tableur, vos étiquettes, vos exports, l'outil que vous utilisez. Une demande d'effacement à laquelle on ne peut pas répondre en un mois n'est pas un problème de droit, c'est un problème de rangement.
Un mot pour les métiers où la conversation dérape vite vers le médical. Un coach en nutrition dont les prospects racontent leur poids, leurs troubles ou leurs traitements collecte des données sensibles, souvent sans les avoir demandées, et ces données relèvent d'un régime plus strict que le reste. Le minimum est de ne pas les recopier ailleurs et de ne pas les garder au-delà de ce qui sert.
Le registre, la pièce que presque personne ne tient
La CNIL est sans ambiguïté sur le registre des activités de traitement : l'obligation concerne tous les organismes, publics comme privés et quelle que soit leur taille, dès lors qu'ils traitent des données personnelles.
Une dérogation existe sous 250 salariés, et beaucoup s'arrêtent là en concluant qu'elle les dispense. Elle ne dispense de presque rien. Restent à inscrire les traitements qui ne sont pas occasionnels, comme la gestion des clients, ceux qui présentent un risque pour les droits des personnes, et ceux qui portent sur des données sensibles. La CNIL le formule ainsi : en pratique, cette dérogation est donc limitée à des cas très particuliers de traitements, mis en œuvre de manière occasionnelle et non routinière. Une activité de prospection menée toute l'année n'a rien d'occasionnel, et le registre est donc dû, même quand on travaille seul.
Il n'a pas besoin d'être long. Pour chaque traitement, il doit mentionner les finalités, les catégories de personnes concernées, les catégories de données traitées, les destinataires et les sous-traitants, les éventuels transferts hors de l'Union, les délais d'effacement, et une description générale des mesures de sécurité. Une page suffit à décrire un traitement nommé « prospection et suivi commercial en messagerie privée », et la CNIL publie un modèle simplifié pour les petites structures.
Votre outil est un sous-traitant, et ça vous engage
Dès que vous branchez un logiciel sur vos conversations, il traite des données pour votre compte. La CNIL définit le sous-traitant comme la personne physique ou morale qui traite des données pour le compte d'un autre organisme, le responsable de traitement, dans le cadre d'un service ou d'une prestation, et elle rappelle que ces traitements doivent être encadrés par un contrat. L'article 28 du règlement demande aussi que vous choisissiez un prestataire offrant les garanties nécessaires, ce qui suppose de regarder avant de signer plutôt qu'après.
Quatre questions suffisent à savoir où vous mettez les pieds, et elles valent pour n'importe quel éditeur, y compris pour nous. Où les données sont-elles hébergées, qui y a accès, combien de temps sont-elles conservées, et servent-elles à entraîner un modèle. La cinquième compte autant : où est-ce écrit, et depuis quand.
Ce que Ficiel publie sur ces points tient dans sa politique de confidentialité. Les données du service sont hébergées dans l'Union européenne et isolées par organisation, elles ne sont jamais utilisées pour entraîner un modèle d'intelligence artificielle, et elles ne sont ni vendues ni cédées. Le contrat qui encadre la sous-traitance se demande à l'éditeur, et c'est une question à poser avant de connecter quoi que ce soit.
Sur le traitement lui-même, l'architecture du produit change ce que vous avez à déclarer. Kord est l'agent IA de Ficiel : il relit les conversations, retrouve les prospects qui dormaient, prépare les relances avec la vraie voix de l'utilisateur, et c'est toujours l'humain qui valide l'envoi. Le tri et la préparation restent des traitements, qui ont leur place dans votre registre et dans votre information ; la validation humaine, elle, garde le dernier geste de votre côté.
Par quoi commencer, cette semaine
Ouvrez un document d'une page et décrivez un seul traitement : son nom, les canaux concernés, ce que vous en faites, la durée que vous retenez, les personnes et les outils qui y ont accès. Vous venez d'écrire votre registre, et il sera plus utile le jour d'un contrôle que n'importe quelle intention.
Ajoutez ensuite deux lignes à votre page de confidentialité : ce que deviennent les conversations reçues en messages privés, et l'adresse à laquelle demander l'accès, la rectification ou l'effacement. Vérifiez au passage que vous sauriez répondre en un mois, ce qui revient à savoir où sont toutes les copies.
Décidez enfin ce que vous faites des conversations plus anciennes que la durée choisie, et faites-le une fois, sérieusement, plutôt que de le prévoir tous les trimestres. Puis reprenez vos relances là où elles sont légitimes : dans les fils que les personnes ont ouverts elles-mêmes.
FAQ
C'est quoi Ficiel ?
Ficiel est une boîte de réception IA qui relit l'historique de conversations Instagram, WhatsApp et LinkedIn pour retrouver et relancer les prospects restés sans réponse. Il travaille sur vos propres comptes et sur des conversations que les personnes ont ouvertes, et c'est vous qui validez chaque envoi.
Ai-je le droit de relancer un prospect qui m'a écrit il y a deux ans ?
Cette personne a engagé la relation, ce qui vous place du côté le plus solide de la ligne tracée par la CNIL entre le contact sollicité et le démarchage d'inconnus. Deux ans restent par ailleurs dans le délai de trois ans que la CNIL retient pour les données de prospection. Le message doit rester en rapport avec ce qu'elle était venue chercher, et lui laisser un moyen simple de vous dire d'arrêter.
Combien de temps puis-je garder une conversation avec un prospect ?
La CNIL retient trois ans à compter de la collecte ou du dernier contact venant du prospect, et précise qu'au terme du délai les données devraient être supprimées ou archivées sans réponse positive et explicite de la personne. Attention au point de départ : c'est le dernier contact venant d'elle, pas votre dernière relance. Ce référentiel n'est pas contraignant, mais s'en écarter demande de pouvoir justifier pourquoi.
Un prospect peut-il exiger que j'efface notre conversation ?
Oui, et sa demande n'a pas besoin d'être formulée en termes juridiques. Vous devez y répondre dans un délai d'un mois, porté à trois mois si la demande est complexe, et effacer ce que vous détenez : vos notes, vos étiquettes, vos exports, la copie présente dans votre outil. Un refus reste possible, par exemple si la demande est manifestement infondée ou excessive, mais il doit être motivé et annoncé à la personne.
Dois-je tenir un registre si je travaille seul ?
En pratique, oui. La CNIL rappelle que l'obligation concerne tous les organismes quelle que soit leur taille, et la dérogation prévue sous 250 salariés ne couvre que des traitements occasionnels et non routiniers. Une prospection menée toute l'année n'en fait pas partie. Une page décrivant un seul traitement suffit à commencer.
Faire lire mes conversations par une IA pose-t-il un problème ?
Ce n'est pas interdit, c'est un traitement de plus, qui a sa place dans votre registre et dans l'information que vous donnez aux personnes. L'éditeur qui fournit l'outil est votre sous-traitant, ce qui suppose un contrat et des garanties vérifiables. La question de savoir si votre prospect doit être averti qu'une IA lui écrit relève d'un autre texte, le règlement européen sur l'intelligence artificielle, traité dans notre article sur l'obligation de transparence.
