Un impayé qui traîne, une tentative de fraude au paiement : la tentation de ficher le client devient forte. Le RGPD n’interdit pas ces fichiers d’exclusion. Il les encadre strictement. Voici ce que vous pouvez inscrire, et ce qui vous expose à une plainte.
Une entreprise peut-elle créer sa propre liste noire ?
Oui, sous conditions. Le RGPD autorise un fichier interne destiné à prévenir les impayés ou la fraude.
La base légale mobilisée est presque toujours l’intérêt légitime. Protéger sa trésorerie constitue un intérêt reconnu. La CNIL précise les conditions de recours à cet intérêt.
Mais cet intérêt ne suffit pas seul. Vous devez vérifier qu’il ne porte pas une atteinte disproportionnée aux droits du client. Ce test de mise en balance se documente à l’avance.
Concrètement, listez les intérêts en jeu avant toute inscription. Notez pourquoi le fichage reste nécessaire et proportionné. Un fichier fondé sur de simples soupçons échoue à ce test.
Mauvais payeur ou fraudeur : quelle différence ?
La distinction change tout. Un mauvais payeur relève d’un litige commercial. Un fraudeur relève d’une manoeuvre déloyale.
Pour un impayé, l’inscription doit reposer sur une dette certaine, exigible et non contestée. Une facture discutée par le client ne peut pas fonder un fichage.
Pour la fraude, la prudence est maximale. Les données relatives aux infractions et condamnations sont très protégées par l’article 10 du RGPD.
Vous ne pouvez pas qualifier vous-même un client de « fraudeur » au sens pénal. Décrivez des faits objectifs, pas une culpabilité. En pratique, un simple retard ponctuel ne justifie pas un fichage durable.
Quelles règles pour un fichier d’exclusion conforme ?
Un fichier légal repose sur quelques principes simples. Le tableau ci-dessous résume l’essentiel.
| Règle | Ce que cela implique |
|---|---|
| Base légale | Intérêt légitime documenté, avec test de mise en balance |
| Critères d’inscription | Faits objectifs et avérés, jamais de simple suspicion |
| Durée de conservation | Limitée, radiation après régularisation ou paiement |
| Information | Le client est informé de son inscription |
| Droits | Accès, rectification et opposition garantis |
| Sécurité | Accès réservé aux personnes habilitées |
La durée de conservation mérite une attention particulière. Un client qui régularise doit sortir du fichier.
Peut-on partager sa liste noire entre entreprises ?
C’est le point le plus sensible. Mutualiser un fichier d’exclusion multiplie les risques pour les personnes.
Un client fiché par erreur se verrait alors refusé partout. Ce type de traitement exige une analyse d’impact et des garanties renforcées.
Certains fichiers sectoriels existent déjà, comme les fichiers d’incidents bancaires. Ils sont strictement encadrés par la loi.
Une entreprise ne peut pas reconstituer son propre fichier partagé en dehors de ce cadre. Avant tout partage, interrogez la finalité et le périmètre. Un doute doit conduire à renoncer.
Construire un fichier d’exclusion sans se tromper de base légale demande méthode et recul. Un accompagnement DPO externalisé sécurise vos critères d’inscription, vos durées et l’information des clients.
Que risque une liste noire non conforme ?
Un fichage abusif expose à plusieurs suites. Le client peut saisir la CNIL d’une plainte.
Une inscription sans base solide peut entraîner une mise en demeure, voire une sanction financière. La réputation de l’entreprise en souffre aussi. Anticiper vaut toujours mieux que corriger après une plainte.
Intégrer ces règles dans votre gestion de la relation client évite ces écueils. La conformité devient un réflexe, pas une contrainte.
FAQ
Peut-on ficher un client sur simple soupçon ?
Non. Une liste noire ne peut reposer que sur des faits avérés et objectifs. Un simple doute, un litige en cours ou une facture contestée ne suffisent pas. Inscrire un client sans preuve solide expose à une plainte et à une sanction de la CNIL.
Faut-il informer le client de son inscription ?
Oui. La transparence reste une obligation du RGPD. Vous pouvez différer cette information si elle compromet une enquête sur une fraude en cours. Ce report doit rester temporaire et proportionné, jamais définitif ni systématique.
Combien de temps garder un mauvais payeur en base ?
La durée doit rester limitée et justifiée. Dès que le client règle sa dette, il sort du fichier. À défaut de paiement, une durée maximale doit être fixée à l’avance, en lien avec les délais de recouvrement applicables.
Un client peut-il exiger sa suppression ?
Il dispose d’un droit d’accès et de rectification. Son droit d’opposition peut être écarté si vous démontrez des raisons impérieuses et légitimes, comme la prévention d’une fraude avérée. Une inscription infondée, elle, doit être effacée.
