En menant nos recherches sur les fonctionnalités de Carsu, nous nous sommes entretenus avec un gérant d’atelier en Allemagne qui disposait de plusieurs années de données clients — noms, historiques d’interventions, coordonnées, fiches véhicules. Tout ce qu’il fallait pour envoyer des rappels saisonniers, relancer après une réparation et fidéliser ses clients. Mais il n’a jamais envoyé un seul message. La raison ? Il craignait d’enfreindre le RGPD.
Cette conversation nous a marqués, car elle résume un problème que nous observons dans tout le secteur. Les gérants d’atelier savent que le RGPD existe. Ils savent que les amendes sont bien réelles. Mais faute de consignes claires sur ce qu’ils ont réellement le droit de faire, la réaction par défaut est de ne rien faire — et de perdre les bénéfices relationnels d’une donnée structurée et bien gérée.
Ce guide s’adresse à tous les ateliers dans cette situation. Si vous êtes dans l’UE ou au Royaume-Uni, vous êtes un responsable de traitement au sens du Règlement général sur la protection des données (RGPD). Vous traitez des données personnelles chaque fois qu’un client réserve une prestation, dépose un véhicule ou règle une facture. Cela s’accompagne d’obligations légales précises — mais les respecter est plus simple que la plupart des gérants ne le pensent. Et comme vous le verrez ci-dessous, bien faire ne se limite pas à éviter les amendes : cela vous permet aussi de communiquer correctement avec vos clients.
En mars 2026, les autorités européennes de protection des données ont prononcé plus de 2 700 amendes pour un total de plus de 6 milliards d’euros. La violation la plus fréquente ? L’absence de base légale suffisante pour le traitement des données — exactement le type de lacune que cette checklist vous aide à combler.
Pour une vue plus large des raisons pour lesquelles le RGPD compte dans l’aftermarket automobile, lisez The GDPR Opportunity No One in the Automotive Aftermarket Is Talking About.
Quelle base légale un atelier doit-il utiliser pour traiter les données de ses clients ?
En vertu de l’article 6 du RGPD, vous avez besoin d’un motif valable — une « base légale » — pour traiter les données personnelles d’une personne. Pour les ateliers indépendants, trois des six bases disponibles couvrent presque tout :
Le contrat. Lorsqu’un client confie son véhicule pour une intervention, il existe un contrat — même informel. Vous avez besoin de son nom, de ses coordonnées et des informations sur le véhicule pour réaliser le travail. C’est votre base légale pour les données de service essentielles. Aucun formulaire de consentement n’est nécessaire.
L’intérêt légitime. Envoyer un rappel indiquant qu’il est temps de monter les pneus hiver ou qu’une échéance d’entretien approche ? On peut raisonnablement considérer que c’est dans votre intérêt comme dans celui du client. L’intérêt légitime peut couvrir cela, à condition que le bénéfice pour votre entreprise ne prime pas sur la vie privée du client. Un rappel saisonnier de pneus à un client existant est un usage raisonnable. Partager les données d’un client avec des tiers sans lien ne l’est pas — cela échoue sur plusieurs fondements du RGPD, et pas seulement sur la mise en balance des intérêts.
Le consentement. E-mails marketing, messages promotionnels, newsletters — tout ce qui dépasse la relation de service directe nécessite généralement un consentement explicite, librement donné. Un opt-in clair. Pas de case pré-cochée. Pas de clause noyée dans les petits caractères. Pour plus de sécurité, envisagez le double opt-in — le client confirme son abonnement via un message de suivi avant de recevoir le moindre message marketing. Ce n’est pas exigé par le RGPD dans la plupart des juridictions, mais cela produit des preuves de consentement plus nettes et élimine quasiment les plaintes.
L’erreur la plus courante : tout traiter sur la base du consentement, ce qui crée de la paperasse et des risques inutiles. Si vous disposez d’une base contractuelle, utilisez-la. Réservez le consentement aux situations qui l’exigent réellement.
Que se passe-t-il lorsqu’un client formule une demande d’accès à ses données ?
Un client vous envoie un message demandant : « Quelles données détenez-vous sur moi ? » Au regard du RGPD, il s’agit d’une demande d’accès (DAD). Vous disposez d’un mois civil pour répondre en indiquant :
- Quelles données personnelles vous détenez
- Pourquoi vous les traitez
- Avec qui vous les avez partagées
- Combien de temps vous comptez les conserver
- D’où proviennent les données
- Si une prise de décision automatisée est en jeu
Réfléchissez maintenant à l’endroit où votre atelier stocke ces données. Sont-elles toutes dans un seul système ? Ou éparpillées entre votre DMS, WhatsApp, vos e-mails, un tableur et des factures papier dans un tiroir ?
Si vous ne pouvez pas en dresser un tableau complet en un mois, vous avez un problème structurel. Il en va de même pour les demandes de suppression — vous devez effacer les données d’un client dans tous les systèmes où elles se trouvent.
Les ateliers qui gèrent bien cela sont ceux qui disposent d’un système de référence unique — une seule plateforme où résident toutes les données clients, consultables et exportables.
La checklist RGPD : sept étapes que tout atelier devrait suivre
1. Constituez un inventaire des données. Recensez les données personnelles que vous détenez, où elles sont stockées et pourquoi. Un simple tableur listant les types de données, les lieux de stockage, la base légale et les durées de conservation suffit. Mais il doit exister par écrit.
2. Publiez une politique de confidentialité. Indiquez à vos clients ce que vous faites de leurs données. Un avis imprimé dans votre espace d’accueil, une page sur votre site, ou les deux. En langage clair : ce que vous collectez, pourquoi, avec qui vous le partagez, combien de temps vous le conservez et comment ils peuvent exercer leurs droits.
3. Conservez des preuves de consentement. Pour tout traitement fondé sur le consentement (marketing, newsletters), conservez une trace de la date et de la manière dont le consentement a été donné. « Il m’a donné son e-mail » n’est pas une preuve de consentement. Un opt-in horodaté en est une.
4. Définissez une politique de conservation des données. Ne conservez pas les données indéfiniment. Définissez combien de temps vous gardez les dossiers après la dernière intervention — trois ans est courant pour les données de service d’un véhicule, mais les durées de conservation dépendent des délais de prescription en matière de responsabilité civile, qui varient selon les pays. Vérifiez vos obligations locales. Au terme de la durée de conservation, supprimez ou anonymisez.
5. Mettez en place des contrats de sous-traitance. Chaque service cloud ou plateforme tierce traitant vos données clients est un sous-traitant. Vous avez besoin d’un accord de traitement des données (DPA) avec chacun. La plupart des fournisseurs SaaS sérieux l’incluent dans leurs conditions — mais vérifiez que le DPA couvre bien les activités de traitement précises pour lesquelles vous utilisez l’outil, et pas seulement les conditions standard.
6. Préparez un plan de réponse aux violations. Si des données clients sont compromises, vous disposez de 72 heures pour le signaler à votre autorité de contrôle. Ayez un plan avant d’en avoir besoin : qui contacter, quoi documenter et comment notifier les clients concernés.
7. Sensibilisez votre personnel.Toute personne qui manipule des données clients doit en comprendre les bases. Les conseillers service doivent savoir qu’il ne faut pas partager les coordonnées d’un client sur des canaux ouverts. Lorsqu’il s’agit de communiquer avec les clients, le personnel doit suivre vos consignes. Le personnel administratif doit savoir reconnaître et traiter une demande relative aux données. Une présentation de 30 minutes une fois par an fait une vraie différence.
Le RGPD britannique est-il identique au RGPD européen ?
Le Royaume-Uni a conservé le RGPD sous le nom de « UK GDPR » et le complète par le Data Protection Act 2018. Les principes fondamentaux sont les mêmes, mais le Data Use and Access Act 2025 introduit des changements concernant l’évaluation de l’intérêt légitime et le consentement aux cookies. Si vous opérez dans les deux juridictions, un seul cadre de conformité ne couvre plus les deux.
Au sein de l’UE, l’application varie selon les pays. La CNIL française est intransigeante sur les cookies. Le Garante italien impose des exigences spécifiques concernant les données des salariés. L’AEPD espagnole a prononcé plus de 1 000 amendes — plus que toute autre autorité de l’UE. Même règlement, cultures d’application différentes. Tenez-en compte si vous vous développez sur plusieurs marchés.
Comment Carsu gère le RGPD pour les ateliers
Chez Carsu, la gestion du RGPD est intégrée à la plateforme de gestion d’atelier — non pas comme un module de conformité ajouté, mais comme la couche de gouvernance des données qui fait fonctionner tout le reste correctement.
Concrètement, cela se traduit par : des politiques de conservation intégrées, un suivi automatisé du consentement, des accords de traitement des données en standard, et la possibilité de répondre à une demande d’accès par un simple export plutôt qu’en fouillant cinq systèmes. Lorsqu’un client demande « quelles données détenez-vous sur moi ? », c’est un clic, et non une semaine à éplucher des fils WhatsApp, des tableurs et des dossiers papier.
Le bénéfice en matière de conformité découle d’une donnée client propre, structurée et bien gouvernée — un seul parcours de réservation au lieu de trois canaux, une seule politique de conservation au lieu de règles éparpillées entre les outils, une seule fiche client consultable au lieu de fragments dispersés en cinq endroits.
Si vous souhaitez voir comment cela fonctionne, contactez-nous.
