Règles de suppression des comptes clients inactifs
Règles de suppression des comptes clients inactifs
Un compte client inactif ne doit pas être conservé indéfiniment lorsqu’aucune finalité légitime ne justifie plus le maintien de ses données.
La suppression d’un compte doit toutefois être distinguée de la suppression de toutes les informations associées. Certaines données peuvent devoir être conservées plus longtemps lorsqu’elles sont nécessaires à l’exécution d’une obligation légale, à la gestion d’une garantie, à la preuve d’une transaction ou à la défense d’un droit.
Qu’est-ce qu’un compte client inactif
Un compte peut être considéré comme inactif lorsqu’aucune connexion, commande, modification de profil ou autre interaction significative n’a été enregistrée pendant une période prolongée.
L’inactivité ne doit pas être déterminée uniquement à partir de l’absence d’achat.
Un client peut conserver un compte utile pour consulter une ancienne commande, suivre une garantie ou exercer certains droits.
La durée d’inactivité doit donc être appréciée en fonction de la finalité réelle du compte.
Pourquoi les comptes inactifs doivent être réévalués
Le RGPD impose de ne pas conserver les données personnelles plus longtemps que nécessaire au regard des finalités poursuivies.
Lorsqu’un compte n’est plus utilisé et qu’aucune raison juridique, contractuelle ou opérationnelle ne justifie sa conservation, les données qui lui sont associées doivent être supprimées ou anonymisées.
La conservation systématique et illimitée de comptes inutilisés serait difficilement compatible avec le principe de limitation de la conservation.
Suppression du compte et conservation des données de commande
La fermeture d’un compte client ne signifie pas nécessairement que l’historique complet des transactions doit disparaître immédiatement.
Certaines données relatives aux commandes peuvent devoir être conservées pour :
les obligations comptables ;
les obligations fiscales ;
la gestion des garanties ;
les remboursements ;
la preuve de la relation contractuelle ;
la prévention ou la gestion des litiges.
Dans ce cas, les données qui ne sont plus nécessaires au fonctionnement du compte peuvent être supprimées, tandis que les informations devant être conservées sont archivées séparément avec un accès limité.
Données pouvant être supprimées lors de la fermeture d’un compte
Selon la configuration du service et les obligations applicables, la suppression d’un compte peut notamment concerner :
les préférences du profil ;
certaines adresses enregistrées ;
les préférences de navigation associées au compte ;
certaines données de personnalisation ;
les préférences marketing qui ne doivent plus être utilisées ;
les informations devenues inutiles au regard de la finalité initiale.
La suppression doit être organisée de manière à ne pas effacer des données qui doivent encore être conservées légalement.
Données pouvant être conservées après suppression du compte
Certaines informations peuvent être conservées après la désactivation ou la suppression de l’espace client.
Cela peut notamment comprendre :
les factures ;
les données nécessaires à la preuve des commandes ;
certaines informations de paiement sous forme limitée ;
les données relatives aux remboursements ;
les informations nécessaires à une garantie ;
les éléments liés à un litige en cours ;
les preuves d’exercice d’un droit ;
les informations nécessaires au respect d’une obligation légale.
Ces données ne doivent pas continuer à être utilisées pour les finalités ordinaires du compte lorsque celles-ci ont cessé.
Archivage intermédiaire
Lorsqu’une donnée ne doit plus être utilisée activement mais doit encore être conservée, elle peut être placée en archivage intermédiaire.
L’accès à cet archivage doit être limité aux personnes qui en ont réellement besoin.
Les données archivées ne doivent pas être utilisées pour des campagnes marketing, une personnalisation commerciale ou d’autres finalités devenues incompatibles avec leur conservation.
Durée d’inactivité avant réévaluation
Il n’existe pas nécessairement une durée unique applicable à tous les comptes et à tous les traitements.
La durée doit être définie en fonction de :
la nature du compte ;
l’existence ou non de commandes ;
la fréquence normale d’utilisation ;
les obligations légales ;
les garanties encore en cours ;
les attentes raisonnables du client.
Une boutique peut fixer une durée interne de réévaluation, à condition qu’elle soit cohérente avec ses finalités et sa politique de conservation.
Comptes sans aucune commande
Un compte créé mais jamais utilisé pour passer une commande peut généralement être supprimé plus facilement qu’un compte associé à des transactions.
Dans ce cas, les obligations de conservation liées aux ventes sont souvent plus limitées.
Il faut néanmoins vérifier si certaines données doivent encore être conservées pour des raisons de sécurité, de preuve ou de respect d’une demande antérieure.
Comptes associés à des commandes anciennes
Lorsqu’un compte contient un historique de commandes, il convient de distinguer l’accès au compte de la conservation juridique des transactions.
L’espace client peut être supprimé ou désactivé tandis que certaines informations de commande restent archivées.
Cette séparation permet de respecter à la fois le principe de minimisation des données et les obligations de conservation.
Comptes associés à une garantie en cours
Un compte ne doit pas être supprimé d’une manière qui empêche la gestion correcte d’une garantie légale ou d’une demande après-vente encore pertinente.
Les données strictement nécessaires à la gestion du dossier peuvent donc être conservées jusqu’à la fin de la période utile.
Une fois cette finalité terminée, leur conservation doit être réévaluée.
Comptes faisant l’objet d’un litige
Lorsqu’un litige est en cours ou raisonnablement prévisible, certaines données peuvent être conservées afin de constater, exercer ou défendre des droits en justice.
Cette conservation doit être limitée aux informations réellement nécessaires au dossier.
L’existence d’un litige ne justifie pas la conservation indéfinie de toutes les données du compte.
Comptes liés à des obligations comptables
Les données nécessaires à la comptabilité peuvent être conservées pendant la durée légalement applicable.
Elles doivent être distinguées des données utilisées pour l’exploitation quotidienne du compte.
La fermeture de l’espace client n’efface donc pas automatiquement les documents comptables qui doivent encore être conservés.
Suppression automatique ou manuelle
La suppression des comptes inactifs peut être effectuée selon un processus automatique ou à la suite d’un contrôle manuel.
Une suppression automatique doit prévoir des garde-fous afin d’éviter d’effacer un compte encore nécessaire pour une commande, une garantie ou un litige.
Un contrôle périodique peut également être utilisé pour identifier les comptes dont la conservation n’est plus justifiée.
Information préalable du client
Lorsqu’une suppression automatique est prévue après une longue période d’inactivité, il est recommandé d’informer le client avant la fermeture lorsque cela est pertinent.
Cette information peut permettre au client :
de se reconnecter ;
de mettre à jour ses données ;
de récupérer certaines informations ;
de signaler qu’il souhaite conserver son compte.
L’information préalable ne doit pas être utilisée comme moyen de relancer automatiquement des communications commerciales sans base juridique appropriée.
Réactivation d’un compte
Si le client se reconnecte ou effectue une action significative avant la suppression définitive, le compte peut être considéré comme actif à nouveau.
La simple réception d’un e-mail par le client ne devrait pas nécessairement être considérée comme une activité suffisante.
Il est préférable de se fonder sur une interaction réelle avec le compte ou le service.
Suppression à la demande du client
Un client peut demander l’effacement de certaines données dans les conditions prévues par le RGPD.
La demande doit être examinée indépendamment du calendrier interne de suppression des comptes inactifs.
Lorsque le droit à l’effacement est applicable, la boutique ne doit pas attendre la date normale de purge des comptes.
Lorsque certaines données doivent légalement être conservées, le client doit pouvoir être informé de cette limitation.
Vérification de l’identité
Avant de supprimer un compte à la demande d’une personne, il peut être nécessaire de vérifier son identité.
Cette vérification doit rester proportionnée au risque.
Il n’est pas nécessaire de demander systématiquement une copie d’un document d’identité lorsqu’une méthode moins intrusive permet de vérifier raisonnablement que la demande provient du titulaire du compte.
Opposition au marketing après suppression
Lorsqu’un compte est supprimé, les préférences marketing liées à ce compte ne doivent plus être utilisées pour continuer une prospection non autorisée.
Cependant, lorsqu’un client s’est opposé au marketing, une information minimale concernant cette opposition peut être conservée afin d’éviter qu’il soit réinscrit par erreur dans une liste commerciale.
Cette conservation a une finalité différente de celle du compte client.
Cookies et compte supprimé
La suppression d’un compte client ne supprime pas automatiquement tous les cookies présents sur l’appareil du client.
Les cookies sont gérés séparément selon leur finalité et leur durée.
Un utilisateur peut également utiliser les outils de gestion des préférences du site ou de son navigateur pour supprimer ou désactiver certains traceurs.
Les données liées au compte et les données stockées localement dans le navigateur doivent donc être distinguées.
Données sauvegardées
Lorsqu’un compte est supprimé des systèmes actifs, certaines copies peuvent temporairement subsister dans des sauvegardes techniques.
Ces sauvegardes ne doivent pas être utilisées pour restaurer volontairement un compte supprimé sans justification.
Elles doivent suivre leur propre cycle de rétention et être protégées contre les accès non nécessaires.
La présence temporaire d’une donnée dans une sauvegarde ne doit pas servir de prétexte à une conservation active indéfinie.
Données anonymisées
Lorsqu’une donnée n’a plus besoin d’être rattachée à une personne, elle peut parfois être anonymisée de manière effective.
Une donnée réellement anonymisée n’est plus une donnée personnelle lorsqu’il n’est raisonnablement plus possible de réidentifier la personne.
Une simple suppression du nom ou du prénom ne suffit pas toujours si d’autres éléments permettent encore l’identification.
Pseudonymisation et suppression
La pseudonymisation ne doit pas être confondue avec l’anonymisation.
Une donnée pseudonymisée reste une donnée personnelle lorsqu’une réidentification reste possible à l’aide d’informations complémentaires.
Elle continue donc à être soumise au RGPD.
La pseudonymisation peut améliorer la sécurité, mais elle ne remplace pas nécessairement une suppression lorsque celle-ci est requise.
Accès interne aux comptes inactifs
L’accès aux comptes inactifs doit être limité.
Un compte inutilisé ne devrait pas rester accessible sans raison à un grand nombre de personnes internes ou prestataires.
La réduction des droits d’accès diminue le risque d’utilisation accidentelle ou abusive de données anciennes.
Sécurité avant suppression
La période précédant la suppression ne doit pas devenir une zone de moindre sécurité.
Un compte inactif doit rester protégé contre :
les accès non autorisés ;
la récupération frauduleuse ;
les changements d’adresse non légitimes ;
la réutilisation de mots de passe compromis.
Lorsque le système le permet, des mesures supplémentaires peuvent être appliquées aux comptes inutilisés depuis longtemps.
Comptes compromis et inactifs
Lorsqu’un compte inactif présente des signes de compromission, il peut être temporairement bloqué ou soumis à une vérification supplémentaire.
La sécurité peut justifier certaines mesures de restriction avant même l’expiration de la période normale d’inactivité.
Ces mesures ne doivent toutefois pas entraîner la suppression injustifiée de droits liés à des commandes existantes.
Données des tiers présentes dans un compte
Un compte peut contenir des coordonnées appartenant à d’autres personnes, par exemple une ancienne adresse de livraison correspondant à un destinataire tiers.
Lorsque ces données ne sont plus nécessaires, leur conservation doit également être réévaluée.
Le fait qu’elles aient été initialement fournies par le titulaire du compte ne justifie pas leur maintien indéfini.
Historique des demandes de service client
Les échanges avec le service client peuvent être conservés plus longtemps que le compte lorsqu’ils sont nécessaires pour :
suivre une réclamation ;
gérer un remboursement ;
documenter une garantie ;
prévenir un litige ;
respecter une obligation légale.
Ils doivent toutefois être supprimés ou archivés lorsqu’ils ne présentent plus d’utilité légitime.
Données utilisées pour la fraude et la sécurité
Certaines informations minimales peuvent être conservées après la fermeture d’un compte lorsqu’elles sont nécessaires à la prévention d’une fraude ou d’un abus.
Cette conservation doit reposer sur une base juridique valable et être limitée aux données pertinentes.
Elle ne doit pas permettre de reconstituer inutilement l’intégralité du profil commercial du client.
Suppression des préférences inutiles
Lorsque le compte est fermé, les données qui ne servent plus à aucune obligation particulière doivent être supprimées.
Cela peut notamment concerner :
certaines préférences d’affichage ;
les produits enregistrés ;
les préférences facultatives ;
certaines données de personnalisation ;
les informations de profil sans utilité contractuelle.
Cette séparation contribue à réduire la quantité de données conservées.
Traçabilité de la suppression
La boutique peut conserver une trace minimale indiquant qu’une opération de suppression a été effectuée.
Cette trace peut être utile pour démontrer le traitement d’une demande ou le respect d’une politique interne.
Elle ne doit pas contenir davantage d’informations que nécessaire.
Suppression chez les prestataires
Lorsqu’un prestataire traite des données pour le compte de la boutique, la suppression ne doit pas être examinée uniquement dans le système principal.
Lorsque cela est applicable, les procédures doivent également permettre la suppression ou l’expiration des données détenues par les sous-traitants.
Les responsabilités dépendent du rôle exact de chaque prestataire et des accords de traitement applicables.
Délais techniques de suppression
Une suppression demandée ou programmée peut nécessiter un délai technique raisonnable afin d’être propagée dans différents systèmes.
Pendant cette période, les données ne doivent pas continuer à être utilisées pour des finalités ordinaires devenues inutiles.
Le délai technique doit rester compatible avec les obligations prévues par le RGPD.
Compte supprimé et nouvelle inscription
Lorsqu’un ancien client crée ultérieurement un nouveau compte, il ne faut pas supposer automatiquement qu’il souhaite restaurer toutes les anciennes préférences.
Les nouvelles données doivent être traitées selon les choix et finalités applicables au nouveau compte.
Certaines informations historiques légalement conservées peuvent toutefois rester associées à une même personne lorsque cela est nécessaire pour des obligations légales ou contractuelles.
Ce qui ne doit pas être supprimé trop tôt
Une politique de suppression trop agressive peut également créer des risques.
Il convient notamment de ne pas supprimer prématurément les éléments nécessaires :
à une commande encore en cours ;
à un remboursement non finalisé ;
à une livraison ;
à une garantie ;
à une obligation comptable ;
à un litige ;
à une demande RGPD encore en traitement.
La minimisation des données doit donc être conciliée avec les autres obligations légales.
Ce qui ne doit pas être conservé trop longtemps
À l’inverse, une ancienne préférence de profil, une adresse inutilisée ou une donnée de personnalisation sans finalité active ne devrait pas être conservée uniquement « au cas où ».
La conservation préventive sans objectif précis est contraire à une bonne gestion des données.
Chaque catégorie de données doit être associée à une finalité et à une durée justifiable.
Révision périodique des comptes
Une boutique peut mettre en place une revue périodique des comptes afin d’identifier :
les comptes actifs ;
les comptes temporairement inactifs ;
les comptes sans commande ;
les comptes pouvant être supprimés ;
les comptes dont certaines données doivent être archivées.
Cette approche permet d’éviter une accumulation permanente de données inutiles.
Checklist avant suppression d’un compte
Avant de supprimer un compte inactif, il convient de vérifier :
si une commande est encore en cours ;
si un remboursement reste à traiter ;
si une garantie est susceptible d’être exercée ;
si un litige existe ;
si certaines données doivent être conservées légalement ;
si les préférences marketing doivent être supprimées ou conservées uniquement sous forme de liste d’opposition ;
si les prestataires concernés doivent également effectuer une suppression ;
si une information préalable du client est appropriée.
Après la suppression
Une fois le compte supprimé, l’accès normal à l’espace client doit être désactivé.
Les données qui n’ont plus de finalité doivent être supprimées ou anonymisées.
Les informations qui doivent encore être conservées doivent être séparées des systèmes d’usage quotidien lorsque cela est possible et rester accessibles uniquement aux personnes autorisées.
Principe essentiel
La bonne pratique n’est ni de conserver chaque compte indéfiniment, ni de supprimer automatiquement toutes les données dès qu’un client cesse de se connecter.
Il faut distinguer le compte utilisateur, les informations commerciales facultatives et les données que la loi ou la relation contractuelle impose encore de conserver.
Une politique de suppression conforme repose donc sur trois principes : identifier les comptes réellement inactifs, supprimer les données devenues inutiles et conserver uniquement les informations qui disposent encore d’une finalité légitime et d’une durée de conservation justifiable.