Comment gérer le droit à l'effacement (RGPD) dans Salesforce ?

Le droit à l'effacement (article 17 du RGPD, souvent appelé « droit à l'oubli ») permet à une personne de demander la suppression des données personnelles la concernant. Pour une ETI équipée de Salesforce, répondre à ces demandes suppose de savoir où se trouvent ces données, comment les supprimer ou les anonymiser sans casser l'intégrité fonctionnelle du CRM, et comment conserver une preuve de traitement. Ce sujet mêle conformité juridique et mise en œuvre technique : il mérite d'être cadré avant d'y répondre au cas par cas.

Ce que dit le cadre juridique

Le droit à l'effacement n'est pas absolu. Il s'applique dans plusieurs cas (données non nécessaires, retrait du consentement, opposition, traitement illicite), mais il connaît des limites : obligation légale de conservation (comptabilité, fiscalité, obligations sociales), constatation ou défense de droits en justice, ou intérêt public. En pratique, cela signifie qu'une facture liée à un contact ne peut pas être supprimée immédiatement, alors qu'un simple prospect sans historique légal peut l'être.

La CNIL rappelle que le responsable de traitement doit répondre à une demande dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes. Il est donc utile de vérifier les recommandations officielles sur cnil.fr avant de définir vos processus internes.

Localiser les données personnelles dans Salesforce

Avant d'effacer, il faut savoir où sont les données. Dans Salesforce, une même personne peut apparaître dans plusieurs objets et emplacements :

• Objets standard : Lead, Contact, Account (contacts personnes physiques), Case, Opportunity.
• Objets personnalisés propres à votre organisation.
• Activités : e-mails enregistrés, tâches, événements, notes.
• Champs libres et commentaires, où des données personnelles se glissent souvent.
• Pièces jointes et fichiers (Files, ContentDocument).
• Systèmes connectés : Marketing Cloud, Pardot/Account Engagement, outils tiers synchronisés, exports, sauvegardes.

Cette cartographie est la partie la plus souvent sous-estimée. Un registre des traitements à jour et une cartographie des flux entre Salesforce et les autres applications sont des prérequis.

Effacement, anonymisation ou pseudonymisation

Trois approches coexistent, à choisir selon le contexte.

Suppression pure

La suppression d'un enregistrement l'envoie d'abord dans la corbeille (Recycle Bin) pendant 15 jours, puis il est supprimé définitivement. Attention aux enregistrements liés : supprimer un compte peut entraîner la suppression en cascade de contacts et d'opportunités, ce qui n'est pas toujours souhaitable.

Anonymisation

Quand des données doivent être conservées pour des raisons statistiques ou d'intégrité (montants d'affaires, historique agrégé), l'anonymisation remplace les données identifiantes par des valeurs neutres et irréversibles. Une donnée réellement anonymisée sort du champ du RGPD. C'est souvent la meilleure option lorsque l'enregistrement porte des informations business qu'on ne veut pas perdre.

Pseudonymisation

La pseudonymisation remplace les identifiants par un jeton réversible via une table de correspondance. Elle réduit les risques mais reste soumise au RGPD, car la ré-identification demeure possible. Elle ne suffit donc pas à répondre à un droit à l'effacement, mais peut compléter d'autres mesures.

Outiller le processus dans Salesforce

Salesforce ne propose pas de bouton universel « effacer toutes les données d'une personne ». Plusieurs leviers existent :

• Suppression manuelle pour les cas simples, à condition de tracer l'action.
• Flows et Apex pour automatiser l'anonymisation de champs (nom, e-mail, téléphone, adresse) tout en conservant l'enregistrement.
• Data Mask pour anonymiser les environnements sandbox, utile pour éviter d'y conserver des données réelles.
• Solutions tierces spécialisées dans la gestion des demandes RGPD, disponibles sur l'AppExchange.
• API pour propager l'effacement vers les systèmes connectés (marketing, ERP, entrepôt de données).

Un point de vigilance : les sauvegardes et les exports. Une donnée supprimée dans Salesforce peut subsister dans une sauvegarde. La politique doit préciser comment ces copies sont purgées ou, à défaut, comment elles sont exclues de toute réutilisation.

Traçabilité et preuve de conformité

Le RGPD repose sur le principe de responsabilité (accountability). Vous devez pouvoir démontrer que la demande a été traitée. Cela implique :

• Un journal des demandes reçues et des actions réalisées (date, périmètre, décision de conserver ou effacer).
• La justification des données conservées au titre d'une obligation légale.
• Une durée de conservation définie par type de donnée, alignée avec des règles d'archivage automatique.

Documenter ce processus évite le traitement improvisé et sécurise l'entreprise en cas de contrôle.

Bonnes pratiques pour anticiper

1. Définir une politique de conservation par objet et par type de donnée avant tout développement.
2. Mettre en place des règles d'archivage et de purge automatiques plutôt que de tout gérer à la main.
3. Impliquer le DPO et les métiers pour distinguer ce qui doit être conservé de ce qui peut être effacé.
4. Tester les scénarios d'effacement en sandbox pour anticiper les suppressions en cascade.
5. Cartographier les flux vers les systèmes tiers afin que l'effacement soit propagé partout.

La gestion du droit à l'effacement dans Salesforce est autant un sujet d'organisation que de technique. Un cadrage rigoureux, une cartographie des données et des processus documentés valent mieux qu'une réponse au cas par cas.

Se faire accompagner

Si vous souhaitez structurer ce dispositif, plusieurs intégrateurs et cabinets spécialisés maîtrisent à la fois le paramétrage Salesforce et les exigences RGPD. INTEGREER est une plateforme neutre de mise en relation : nous pouvons vous orienter vers des prestataires adaptés à votre contexte, sans engagement, pour comparer les approches avant de décider.