Données d’entreprises et RGPD : ce que vous avez le droit de stocker
Les données d’identification d’une société (SIREN, SIRET, raison sociale, adresse du siège, code NAF, effectif) ne sont pas des données à caractère personnel : le RGPD, applicable depuis le 25 mai 2018, exclut expressément les personnes morales de son champ. Vous pouvez donc les collecter, les stocker et les enrichir sans base légale particulière ni durée de conservation imposée par ce texte. L’exception tient aux entrepreneurs individuels (micro-entrepreneurs, artisans, professions libérales) : leur SIREN, leur nom et leur adresse, souvent personnelle, sont des données personnelles à part entière, soumises au droit d’opposition et à la diffusion restreinte appliquée par l’INSEE dans Sirene. Un fichier B2B contient presque toujours les deux catégories mélangées, ce qui impose d’appliquer à l’ensemble les règles les plus protectrices : information, base légale de l’intérêt légitime, durées de conservation documentées et mise à jour régulière. Un outil comme Trouve-ton-siret.com, qui vérifie et enrichit un fichier de SIRET en masse à partir de la base Sirene officielle, respecte ce statut de diffusion et vous aide à tenir l’obligation d’exactitude.
Le RGPD ne protège que les personnes physiques
Le règlement général sur la protection des données, publié au Journal officiel de l’Union européenne et consultable sur Légifrance, s’applique depuis le 25 mai 2018. Son considérant 14 est sans ambiguïté : le texte « ne couvre pas le traitement des données à caractère personnel qui concernent les personnes morales, et en particulier des entreprises dotées de la personnalité juridique, y compris le nom, la forme juridique et les coordonnées de la personne morale ». Une SAS, une SARL, une SA ou une association n’ont donc aucun droit à faire valoir au titre du RGPD sur leur SIREN, leur adresse ou leur code NAF.
Concrètement, pour une société, vous pouvez stocker sans contrainte issue du RGPD : le SIREN et les SIRET de ses établissements, la dénomination, la forme juridique, l’adresse du siège, le code NAF, la tranche d’effectif, la date de création, le numéro de TVA intracommunautaire et le statut actif ou cessé. Aucune base légale à documenter, aucune durée de conservation imposée par le règlement, aucun droit d’accès à organiser.
Deux nuances s’imposent toutefois. D’abord, les personnes qui gravitent autour de la société restent protégées : le nom du gérant, l’adresse e-mail nominative de votre interlocuteur comptable ou le portable d’un acheteur sont des données personnelles, même rattachées à une personne morale. Ensuite, le RGPD n’est pas le seul texte applicable : la licence de réutilisation de Sirene et vos engagements contractuels encadrent aussi ce que vous faites de ces données.
La définition qui sert de boussole tient en deux phrases : une donnée d’entreprise relève du RGPD dès lors qu’elle permet d’identifier, directement ou indirectement, une personne physique vivante ; elle y échappe lorsqu’elle ne décrit qu’une personne morale. Le SIREN d’une SARL est hors champ ; le SIREN d’un plombier en entreprise individuelle, qui porte son nom et souvent son adresse de domicile, est pleinement dans le champ.
Entrepreneurs individuels : des personnes physiques dans votre fichier B2B
C’est le point que les directions financières sous-estiment. D’après l’INSEE, la France a enregistré plus de 1,1 million de créations d’entreprises en 2024, dont près des deux tiers sous le régime du micro-entrepreneur. Ajoutez les artisans, commerçants, agriculteurs et professions libérales exerçant en nom propre : une part significative de vos fournisseurs, sous-traitants, freelances et petits clients sont des personnes physiques au sens juridique du terme.
Pour ces entrepreneurs, le SIREN n’identifie pas une structure distincte : il est attribué à la personne et la suit toute sa vie, quelle que soit l’activité exercée. La dénomination dans Sirene est son nom et son prénom. L’adresse de l’établissement est très souvent celle de son domicile. Chacune de ces informations est une donnée à caractère personnel, et son traitement par votre entreprise relève intégralement du RGPD : base légale, information, droits d’accès, de rectification et d’opposition, durée de conservation limitée, sécurité.
Le tableau ci-dessous résume, donnée par donnée, ce qui change selon la nature juridique du titulaire.
| Donnée | Société (personne morale) | Entrepreneur individuel | Conséquence pratique |
|---|---|---|---|
| SIREN / SIRET | Hors RGPD | Donnée personnelle (identifiant rattaché à la personne à vie) | Stockage licite, mais droits d’accès et d’opposition à prévoir pour les EI |
| Dénomination / nom | Hors RGPD (raison sociale) | Donnée personnelle (nom et prénom) | Remplacée par « [ND] » dans Sirene en cas d’opposition |
| Adresse | Hors RGPD (siège, établissements) | Donnée personnelle (souvent le domicile) | Réduite à la commune dans Sirene en cas d’opposition |
| Code NAF, date de création, effectif | Hors RGPD | Donnée personnelle par rattachement, mais toujours diffusée par l’INSEE | Conservation et enrichissement possibles |
| Numéro de TVA intracommunautaire | Hors RGPD | Donnée personnelle (dérivé du SIREN) | Vérification licite au titre de l’intérêt légitime |
| Nom du dirigeant, e-mail ou téléphone d’un contact | Donnée personnelle | Donnée personnelle | Information et droit d’opposition à la prospection dans les deux cas |
Diffusion restreinte dans Sirene : le droit d’opposition et le statut « P »
Le législateur a tiré les conséquences de cette distinction dans le répertoire lui-même. L’article A123-96 du Code de commerce, consultable sur Légifrance, permet à toute personne physique immatriculée de s’opposer à la diffusion de ses données par l’INSEE. Jusqu’en mars 2023, cette opposition rendait l’entrepreneur totalement « non diffusible » : son SIREN n’apparaissait nulle part dans les fichiers ouverts. Depuis le 21 mars 2023, l’INSEE applique une diffusion partielle : l’unité légale reçoit le statut de diffusion « P », ses éléments d’identité (nom, prénom, dénomination usuelle) et son adresse précise sont remplacés par la mention « [ND] », tandis que le SIREN, le SIRET, le code NAF, la date de création et la commune restent accessibles.
Cette règle s’impose à tous les réutilisateurs. Sirene est publié en open data depuis le 1er janvier 2017 sous la Licence Ouverte 2.0 d’Etalab, qui exige de respecter le statut de diffusion : vous ne pouvez pas reconstituer un nom ou une adresse masqués à partir d’une autre source, puis les rediffuser. Que vous passiez par les fichiers stock Sirene publiés sur data.gouv.fr ou par l’API recherche-entreprises.api.gouv.fr, vous recevrez les mêmes champs masqués pour ces entrepreneurs.
Ce que vous pouvez faire d’un SIRET « non diffusible » déjà présent dans votre fichier
La diffusion restreinte encadre ce que l’INSEE publie, pas ce que vous détenez légitimement. Si un auto-entrepreneur non diffusible est votre fournisseur, vous avez reçu son nom, son adresse et son SIRET par sa facture ou son contrat : vous pouvez les conserver au titre de l’exécution du contrat et de vos obligations comptables. Ce que vous ne pouvez pas faire : utiliser ces coordonnées pour alimenter une base de prospection vendue ou partagée, ni les republier dans un annuaire. Et lorsque vous enrichissez votre fichier depuis Sirene, acceptez que certaines lignes reviennent avec « [ND] » : c’est le signe que le traitement est conforme, pas un défaut de l’outil.
Base légale, information, opposition : les trois réflexes d’un fichier B2B conforme
Dès lors que votre fichier contient ne serait-ce qu’une entreprise individuelle (et il en contient), la méthode la plus sûre consiste à traiter l’ensemble comme s’il relevait du RGPD. Trois réflexes couvrent l’essentiel.
- Documenter la base légale. Pour un fichier clients et fournisseurs, c’est l’exécution du contrat (article 6.1.b) et le respect d’obligations légales comme la tenue de la comptabilité ou la vigilance envers les sous-traitants (article 6.1.c). Pour la prospection B2B et l’enrichissement depuis Sirene, c’est l’intérêt légitime (article 6.1.f), que la CNIL admet pour les sollicitations professionnelles adressées à des professionnels, à condition de les informer et de leur permettre de s’opposer.
- Informer. Lorsque vous complétez un fichier clients avec l’adresse, le code NAF ou l’effectif tirés de Sirene, vous collectez des données de façon indirecte : l’article 14 du RGPD vous impose de mentionner la source (le répertoire Sirene de l’INSEE) et les catégories de données dans votre politique de confidentialité, au plus tard au premier contact ou dans le mois qui suit la collecte.
- Traiter les oppositions sans délai. Un entrepreneur individuel peut s’opposer à tout moment à la prospection (article 21), sans avoir à se justifier. Tenez une liste de suppression et confrontez-la au fichier avant chaque campagne, y compris lorsque la donnée revient par un nouvel enrichissement.
Inscrivez ce traitement dans votre registre des activités de traitement (article 30) sous une fiche « gestion des fichiers clients, fournisseurs et prospects ». Une analyse d’impact n’est pas requise pour un fichier B2B classique : la CNIL la réserve aux traitements à risque élevé, ce que ne sont pas des identifiants et des coordonnées professionnelles.
Combien de temps conserver les données d’un fichier B2B
Le RGPD ne fixe aucun délai chiffré : il exige une durée proportionnée à la finalité (article 5.1.e). Pour les sociétés, aucune limite ne s’applique au titre du RGPD, mais les repères ci-dessous restent de bonnes pratiques de gouvernance. Pour les entrepreneurs individuels, ils deviennent des obligations. Ils proviennent du référentiel « gestion commerciale » de la CNIL, du Code de commerce et du Livre des procédures fiscales.
- Prospects (aucune relation contractuelle) : 3 ans à compter du dernier contact émanant du prospect, selon le référentiel CNIL. Au-delà, suppression ou nouvelle manifestation d’intérêt.
- Clients et fournisseurs : toute la durée de la relation commerciale, puis archivage intermédiaire pendant le délai de prescription commerciale de 5 ans (article L110-4 du Code de commerce).
- Pièces comptables et factures : 10 ans à compter de la clôture de l’exercice (article L123-22 du Code de commerce), 6 ans au minimum au titre du contrôle fiscal (article L102 B du Livre des procédures fiscales). La facturation électronique, obligatoire en réception pour toutes les entreprises depuis le 1er septembre 2026, n’a pas modifié ces délais.
- Résultats d’une vérification SIRET (statut actif ou cessé, date du contrôle) : conservez la trace aussi longtemps que la pièce qu’elle justifie, car elle démontre votre diligence en cas de litige ou de redressement.
Checklist de conservation en 7 points
- Marquer chaque ligne du fichier avec sa nature juridique (société ou entrepreneur individuel), lisible dans Sirene via la catégorie juridique 1000 pour les personnes physiques.
- Associer à chaque ligne une finalité (client, fournisseur, prospect) et une date de dernier contact.
- Purger ou anonymiser les prospects sans interaction depuis 3 ans.
- Basculer en archive à accès restreint les clients et fournisseurs inactifs pendant 5 ans, puis ne conserver que les pièces comptables.
- Conserver les champs masqués « [ND] » tels quels : ne jamais les compléter depuis une source non officielle.
- Tenir une liste d’opposition à la prospection et la confronter au fichier avant chaque envoi.
- Dater chaque vérification Sirene et prévoir une mise à jour au moins annuelle du fichier.
Exactitude : l’obligation que les DAF oublient
L’article 5.1.d du RGPD impose que les données personnelles soient « exactes et, si nécessaire, tenues à jour », et que « toutes les mesures raisonnables » soient prises pour effacer ou rectifier sans tarder les données inexactes. Appliqué à un fichier B2B, ce principe fait d’une mise à jour régulière depuis Sirene non pas un risque, mais une mesure de conformité : un micro-entrepreneur radié depuis deux ans qui continue de recevoir vos relances, ou un artisan dont vous conservez une ancienne adresse de domicile, constitue une donnée inexacte au sens du règlement.
Les volumes rendent le contrôle manuel illusoire : l’INSEE enregistre chaque année plusieurs centaines de milliers de cessations et de transferts d’établissements. Plutôt que de vérifier fiche par fiche, vous pouvez repasser votre fichier entier dans Sirene en un seul import : chaque SIRET revient avec son statut, son adresse à jour et son code NAF, les lignes des entrepreneurs ayant exercé leur droit d’opposition étant restituées masquées. Trouve-ton-siret.com s’appuie pour cela sur l’API officielle recherche-entreprises.api.gouv.fr, ce qui garantit que le statut de diffusion est respecté à la source, sans filtrage de votre part.
Cette mise à jour prend tout son sens maintenant que la réception des factures électroniques est obligatoire et que l’émission le devient pour les PME le 1er septembre 2027 : les plateformes agréées rejettent les factures adressées à un SIREN cessé ou erroné. Si votre base n’a pas été revue depuis plusieurs mois, commencez par remettre d’aplomb votre CRM avant que vos factures ne transitent par une plateforme, puis planifiez un contrôle récurrent.
Ce qu’il faut retenir
Les données d’identification des sociétés (SIREN, SIRET, adresse, NAF, effectif, TVA) sont hors du champ du RGPD : stockez-les, enrichissez-les et conservez-les selon vos besoins de gestion. Les mêmes données, lorsqu’elles concernent un entrepreneur individuel, sont des données personnelles : base légale documentée, information, droit d’opposition, durées de conservation et exactitude s’appliquent. Comme tout fichier B2B mélange les deux, appliquez les règles les plus protectrices à l’ensemble, respectez le statut de diffusion « P » de Sirene et faites de la mise à jour régulière votre meilleure preuve de conformité.
Questions fréquentes
Un numéro SIRET est-il une donnée personnelle au sens du RGPD ?
Cela dépend du titulaire. Le SIRET d’une société (SAS, SARL, SA, association) décrit une personne morale et échappe au RGPD, conformément à son considérant 14. Le SIRET d’un entrepreneur individuel ou d’un micro-entrepreneur est rattaché à une personne physique, la suit toute sa vie et constitue donc une donnée à caractère personnel, avec les droits d’accès, de rectification et d’opposition qui s’y attachent.
Puis-je garder dans mon CRM les coordonnées d’un auto-entrepreneur « non diffusible » dans Sirene ?
Oui, si vous les avez obtenues légitimement, par exemple sur sa facture ou son contrat : la diffusion restreinte limite ce que l’INSEE publie, pas ce que vous détenez pour exécuter une relation commerciale. En revanche, vous ne devez ni reconstituer les champs masqués « [ND] » depuis une autre source, ni réutiliser ces coordonnées pour de la prospection, ni les republier dans un annuaire.
Combien de temps peut-on conserver les données d’un prospect B2B ?
Le référentiel « gestion commerciale » de la CNIL retient trois ans à compter du dernier contact émanant du prospect. Passé ce délai, les données doivent être supprimées ou anonymisées, sauf si la personne manifeste à nouveau son intérêt. Pour un client ou un fournisseur, la conservation court pendant toute la relation, puis cinq ans en archive au titre de la prescription commerciale, les pièces comptables étant gardées dix ans.
Dois-je prévenir mes clients quand j’enrichis mon fichier avec les données de l’INSEE ?
Pour les sociétés, non : leurs données ne relèvent pas du RGPD. Pour les entrepreneurs individuels présents dans le fichier, oui : l’article 14 du RGPD impose d’indiquer, dans votre politique de confidentialité ou au premier contact, que des données sont collectées indirectement depuis le répertoire Sirene de l’INSEE, avec la finalité et la durée de conservation. Une mention dans votre notice d’information ou vos conditions générales suffit en pratique.
Vérifier ou mettre à jour un fichier de SIRET en masse est-il compatible avec le RGPD ?
Oui, et c’est même recommandé : l’article 5.1.d du RGPD impose que les données personnelles soient exactes et tenues à jour, ce qui vaut pour les entrepreneurs individuels de votre base. Un outil comme Trouve-ton-siret.com contrôle un fichier entier de SIRET en quelques minutes à partir de l’API officielle recherche-entreprises.api.gouv.fr et restitue les lignes des entrepreneurs ayant exercé leur droit d’opposition avec les champs masqués, de sorte que le statut de diffusion est respecté automatiquement.