Les champs libres et les zones de commentaire

Attention aux champs libres et aux zones commentaires !

Les Zones de Libre Commentaire (ZLC) très fréquentes dans les différentes applications internes d’une entreprise constituent un outil incontournable au suivi client.

S’il n’est pas interdit d’utiliser ces champs de texte libre, la zone de libre commentaire des fiches clients est une zone à haut risque si son utilisation n’est pas encadrée par des règles connues et appliquées par tous les conseillers.

En effet, comme il s’agit d’un champ de texte libre, le risque d’y saisir des données particulières ou dites à caractère sensible est élevé.

Contrôler les espaces de textes libres

Tout aussi problématique, des appréciations fâcheuses, irrespectueuses, voire injurieuses sur le client peuvent y être saisi au détriment notamment du respect des principes de minimisation, de pertinence et de finalité du traitement des données.  Aussi faut-il absolument éviter la saisie de données dites à caractère sensible (santé, vie sexuelle, opinions politiques, etc. ou encore des commentaires subjectifs ou des jugements de valeur).

Si la meilleure des précautions est de garder à l’esprit que les personnes concernées (clients, usagers, salariés…) peuvent, à tout moment et sur simple demande, accéder au contenu de ces zones commentaires en exerçant leur droit d’accès, des outils peuvent également vous aider à vérifier votre conformité.

Vous trouverez ci-dessous les recommandations de la CNIL en la matière :

Règle n° 1 : penser à l’exercice du droit d’accès

Garder à l’esprit que la personne concernée peut à tout moment exercer son droit d’accès et lire ces commentaires !

Règle n° 2 : être objectif et neutre

Le règlement européen sur les données personnelles comme la loi informatique et libertés prévoit que les informations collectées sur les personnes doivent être adéquates, pertinentes et non excessives au regard de la finalité du traitement envisagé.

Les commentaires ne doivent donc pas être inappropriés, subjectifs et insultants.

Il apparaît légitime qu’une société opérant dans le secteur de l’habitat identifie les clients dont la situation particulière justifie un échelonnement de paiements. Cependant, l’inscription des motifs est souvent non pertinente voire excessive (par exemple,  le commentaire « en instance de divorce« , ou « client au chômage » a été considéré, dans certaines circonstances, comme inadéquat, non pertinent et excessif).

Règle n° 3 : attention aux données sensibles

Une attention particulière doit être portée aux données sensibles visées par l’article 9 du RGPD. Il s’agit des données relatives à l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que les données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne.

Ces informations ne peuvent être, sauf exceptions, renseignées qu’avec le consentement exprès des personnes. En l’absence de ce dernier, il faut se limiter à l’usage de termes neutres et objectifs tels, en matière de santé, que « hospitalisation » et ne pas préciser la pathologie précise affectant la personne concernée.

Règle n° 4 : sensibiliser les utilisateurs

La sensibilisation du personnel à la protection de la vie privée est indispensable. Le Délégué à la Protection des Données (DPO/Data Protection Officer en anglais) peut aussi être un relais efficace en matière de formation en interne.

Règle n° 5 : utiliser des outils conformes au RGPD

La réalisation d’audits réguliers et le recours à des outils vérifiant les mots contenus dans les zones commentaires doivent également être envisagés tel que celui proposé par l’éditeur de logiciel COHERIS. Enfin des extractions des commentaires peuvent être réalisées régulièrement pour s’assurer du respect de la réglementation.

En conclusion

Il faut permettre aux responsables de traitement de contrôler ces zones de risques pouvant nuire à la conformité de l’entreprise à la nouvelle réglementation RGPD.