Questions fréquentes
Un CRM marketing nécessite-t-il toujours une AIPD ?
Pas systématiquement, mais un CRM qui combine profilage à grande échelle et scoring d'engagement remplit souvent au moins deux des 9 critères du CEPD, ce qui déclenche l'obligation d'AIPD. Voir « Quand l'AIPD est-elle obligatoire ? ».
Quels sont les risques principaux d'un CRM B2C dans une AIPD ?
Les risques les plus fréquents sont l'accès illégitime via compromission d'un compte administrateur, les transferts hors UE non sécurisés via un outil d'e-mailing, et la conservation excessive de données comportementales anciennes.
Comment évaluer le sous-traitant e-mailing ou analytics d'un CRM dans l'AIPD ?
Un scan RGPD des documents publics du sous-traitant (politique de confidentialité, DPA, clauses contractuelles types pour les transferts hors UE) permet d'obtenir un score RGPD indépendant à intégrer dans la section sous-traitants de l'AIPD.
Faut-il l'avis du DPO pour un CRM équipé de ces outils ?
Oui, l'article 35.2 du RGPD impose de consulter le DPO lorsqu'il a été désigné. Son avis, écrit, conditionne souvent la mise en œuvre d'un plan d'action correctif avant le déploiement complet du traitement.