Le salon professionnel s’achève. Les stands sont démontés, les badges sont rangés, et une dernière vague d’e-mails de remerciement vient d’être envoyée aux visiteurs. Pourtant, une question cruciale demeure, souvent reléguée au second plan : que deviennent les données personnelles collectées pendant l’événement ? Entre les scans de badges, les formulaires d’inscription, les échanges sur le stand et les applications mobiles, un organisateur ou un exposant peut facilement se retrouver avec des milliers de fiches contacts contenant des informations parfois sensibles. Et c’est là que le RGPD (Règlement Général sur la Protection des Données) entre en jeu, avec une exigence non négociable : la suppression des données après traitement n’est pas une option, c’est une obligation.
Je te propose aujourd’hui un guide pratique, concret et opérationnel pour maîtriser la gestion de la suppression des données sensibles après ton salon. Parce que, crois-moi, ce n’est pas en fermant les yeux que les données disparaissent magiquement. Il va falloir agir, et agir bien.
Pourquoi la suppression des données après salon est un enjeu majeur
Le RGPD n’est pas une simple formalité
Le RGPD, entré en vigueur le 25 mai 2018, a profondément transformé la manière dont les organisateurs et exposants doivent appréhender les données personnelles. Et contrairement à ce que certains pourraient penser, il ne s’agit pas d’une contrainte administrative dont on pourrait s’affranchir. Les amendes peuvent atteindre jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. De quoi refroidir les plus téméraires.
Mais au-delà de l’aspect purement légal, il y a une question de confiance. Les visiteurs d’un salon professionnel sont de plus en plus conscients de leurs droits. Ils savent qu’ils peuvent demander l’accès, la rectification ou la suppression de leurs données personnelles. Et ils n’hésitent plus à exercer ces droits.
Ce qu’on entend par « données sensibles »
Toutes les données ne se valent pas. Le RGPD distingue les données personnelles « classiques » (nom, prénom, e-mail, téléphone) des données sensibles (catégorie spéciale au sens de l’article 9). Il s’agit notamment :
- L’origine raciale ou ethnique
- Les opinions politiques
- Les convictions religieuses ou philosophiques
- L’appartenance syndicale
- Les données génétiques ou biométriques
- Les données de santé
- L’orientation sexuelle
Dans le contexte d’un salon professionnel, on peut également y ajouter des informations comme les besoins d’accessibilité (mobilité réduite, allergies alimentaires, etc.) qui sont parfois collectées lors de l’inscription pour faciliter l’accueil des visiteurs.
La règle d’or ? Ne jamais collecter de données sensibles sauf si c’est absolument nécessaire et que tu as une base légale solide. Et si tu le fais, leur suppression doit être irréprochable.
Qui est responsable de quoi ? Le jeu des acteurs
L’organisateur : responsable de traitement
L’organisateur du salon est généralement considéré comme le responsable de traitement au sens du RGPD. C’est lui qui détermine les finalités et les moyens du traitement des données. Il est donc le premier garant de la conformité, y compris pour la phase de suppression post-événement.
L’exposant : responsable… ou sous-traitant ?
C’est là que ça se complique. Lorsque tu scannes un badge de visiteur sur ton stand, tu deviens responsable de traitement pour les données que tu collectes. Tu décides de leur utilisation, de leur conservation et, in fine, de leur suppression.
En revanche, si tu utilises une plateforme de gestion d’événements ou un logiciel de lead retrieval, cette plateforme agit comme sous-traitant. Elle traite les données pour ton compte et selon tes instructions. Mais la responsabilité finale de la suppression te revient.
Le cas du sous-traitant : un partenaire clé
Les plateformes comme Ultiplace intègrent dans leurs contrats des clauses spécifiques de traitement des données (DPA – Data Processing Agreement). Elles s’engagent à restitution ou suppression des données à la fin de la prestation, selon le choix du client. C’est un point essentiel à vérifier avant de signer avec un prestataire.
Les étapes clés pour une suppression efficace des données
1. Définir une politique de conservation avant même le salon
Comme le rappellent les experts, « Si tu commences à réfléchir à la manière dont tu vas gérer les défis du RGPD après ton événement, tu es déjà trop tard ». La planification doit commencer en amont :
- Définis des durées de conservation claires pour chaque catégorie de données
- Identifie les données sensibles qui pourraient être collectées
- Prépare des procédures pour répondre aux demandes de suppression (délai de 30 jours)
2. Collecter uniquement ce qui est nécessaire (principe de minimisation)
Le RGPD impose le principe de minimisation des données : tu ne dois collecter que les informations strictement nécessaires à la finalité poursuivie.
- Évite de demander des données sensibles sur tes formulaires d’inscription
- Si tu utilises des applications ou des kiosques en stand, audite régulièrement les champs proposés
- Segmente les données : tout le monde n’a pas besoin d’avoir accès à toutes les informations
3. Obtenir un consentement explicite et éclairé
Le consentement est l’une des bases légales les plus utilisées dans le secteur événementiel. Mais attention :
- Le consentement doit être explicite (pas de cases pré-cochées)
- Tu dois informer clairement les personnes sur l’utilisation de leurs données
- Le consentement doit être révocable à tout moment
4. Organiser la suppression : le plan d’action post-salon
Une fois le salon terminé, voici les actions à mener :
a) Faire l’inventaire des données collectées
- Centralise toutes les sources : badges scannés, formulaires papier, applications mobiles, e-mails échangés, cartes de visite numérisées
- Identifie les doublons et les données obsolètes
- Classe les données par catégorie (données personnelles standard vs données sensibles)
b) Appliquer les délais de conservation définis
- Supprime immédiatement les données qui n’ont plus d’utilité
- Pour les données utiles (relances commerciales, statistiques…), applique la durée de conservation que tu as définie
- Anonymise plutôt que de supprimer lorsque c’est possible et pertinent
c) Traiter les demandes de suppression (right to be forgotten)
Les visiteurs ont le droit de demander la suppression de leurs données (Article 17 du RGPD). Tu dois :
- Mettre en place une procédure pour recevoir et traiter ces demandes
- Répondre dans les 30 jours
- Supprimer les données de tous tes systèmes (CRM, bases de données, fichiers Excel…)
Les outils et bonnes pratiques pour une suppression maîtrisée
Choisir des outils compatibles RGPD
Tous les outils ne se valent pas. Privilégie des solutions qui intègrent nativement des fonctionnalités de gestion des données :
- Paramètres de conservation configurables
- Possibilité d’anonymiser ou de supprimer les fiches contacts
- Traçabilité des consentements
Éviter les pièges classiques
Ne stocke pas les données dans des fichiers Excel éparpillés sur les ordinateurs de l’équipe. C’est le meilleur moyen de perdre la trace des données et de ne pas pouvoir les supprimer correctement.
Privilégie une solution centralisée (un CRM, une plateforme dédiée) qui te permet de gérer l’ensemble des données depuis un seul endroit.
Former ses équipes
La conformité RGPD ne se décrète pas, elle se vit au quotidien. Forme tes équipes (hôtes, hôtesses, commerciaux) aux bonnes pratiques :
- Ne pas collecter de données sans consentement explicite
- Savoir à qui s’adresser en cas de question sur les données
- Connaître la procédure de suppression
Cas pratiques : que faire dans des situations concrètes ?
Situation 1 : Un visiteur demande la suppression de ses données 3 mois après le salon
Tu as 30 jours pour répondre. Tu dois :
- Identifier toutes les occurrences des données de ce visiteur dans tes systèmes
- Supprimer ces données de tous les supports (CRM, fichiers exportés, listes de diffusion…)
- Confirmer la suppression au visiteur
- Documenter la demande et son traitement
Situation 2 : Tu as scanné des badges contenant des données sensibles (ex : mention d’allergies)
- Supprime immédiatement ces données si elles ne sont plus nécessaires
- Si elles étaient nécessaires pour l’organisation du salon (catering, accès), définis une durée de conservation très courte
- Ne conserve pas ces données à des fins marketing
Situation 3 : Tu utilises un sous-traitant (plateforme de lead retrieval)
- Vérifie que ton contrat avec le sous-traitant prévoit la suppression des données à la fin de la prestation
- Demande une attestation de suppression
- Conserve cette attestation comme preuve de conformité
L’audit post-salon : une étape indispensable
Après chaque salon, réalise un audit de tes pratiques :
- Vérifie que toutes les suppressions ont bien été effectuées
- Contrôle que les durées de conservation sont respectées
- Identifie les éventuelles fuites de données ou oublis
- Documente tes actions pour prouver ta conformité
Cet audit te permettra également d’améliorer tes processus pour le prochain salon.
FAQ – Foire aux questions
Q : Quelle est la durée maximale de conservation des données après un salon ?
R : Il n’y a pas de durée légale fixe. Tout dépend de la finalité du traitement. En règle générale, les données collectées pour une prospection commerciale ne devraient pas être conservées au-delà de 3 ans sans nouvelle interaction. Pour les données sensibles, la durée doit être la plus courte possible.
Q : Que faire si je n’arrive pas à localiser toutes les données d’un visiteur ?
R : C’est un problème classique lorsque les données sont dispersées. La solution : centraliser tes données dans un outil unique et documenter tes processus. Si tu ne parviens pas à localiser certaines données, tu dois en informer le visiteur et justifier tes efforts.
Q : Puis-je conserver des données à des fins statistiques après anonymisation ?
R : Oui, l’anonymisation (rendre les données totalement non identifiables) permet de les conserver à des fins statistiques sans être soumis aux contraintes du RGPD. En revanche, la pseudonymisation ne suffit pas.
Q : Quelles sont les exceptions au droit à la suppression ?
R : Le droit à la suppression n’est pas absolu. Il existe des exceptions, notamment lorsque la conservation est nécessaire au respect d’une obligation légale (ex : obligations fiscales, comptables).
Q : Les visiteurs non-européens sont-ils concernés par le RGPD ?
R : Oui, si tu collectes des données de résidents de l’UE, même lors d’un salon hors d’Europe, le RGPD peut s’appliquer.
Un enjeu de confiance autant que de conformité
La gestion de la suppression des données sensibles après un salon professionnel n’est pas une tâche annexe. C’est un pilier de la relation de confiance que tu construis avec tes visiteurs et partenaires. Chaque donnée collectée est une promesse : celle de respecter la vie privée, de ne pas abuser de la confiance accordée, et de supprimer ce qui doit l’être lorsque le moment est venu.
Les bénéfices d’une bonne pratique
Au-delà de la conformité RGPD, une politique de suppression rigoureuse présente des avantages concrets :
- Une image de marque renforcée : les visiteurs se souviennent des organisateurs et exposants qui respectent leurs données
- Une réduction des risques : moins de données = moins de risques de fuite ou de piratage
- Une meilleure qualité de données : en nettoyant régulièrement ta base, tu travailles avec des données fraîches et pertinentes
Mon conseil d’expert
« La suppression des données, ce n’est pas la fin du processus, c’est la preuve que tu as maîtrisé tout le cycle de vie de la donnée. Un salon réussi, c’est un salon où les données collectées sont traitées avec le même soin que les visiteurs accueillis. »
— Expert invité : Marc Delaunay, consultant en conformité RGPD pour le secteur événementiel
Un dernier mot pour la route (et pour sourire)
Je sais, je sais, tout ça peut sembler fastidieux. Entre les cases à cocher, les durées de conservation et les demandes de suppression, on pourrait presque regretter l’époque du bon vieux carnet de contacts papier. Mais avoue qu’avoir une base de données propre et conforme, c’est quand même plus sexy qu’un tas de cartes de visite qui traînent dans un tiroir depuis trois salons. Et puis, tu n’auras pas à expliquer à un visiteur mécontent pourquoi tu lui as envoyé 47 e-mails alors qu’il t’avait juste demandé l’heure du café.
« Un salon propre, des données nettes, une conformité parfaite. »