Guide de gouvernance des données de la concession et du RGPD

1. Inventoriez les finalités avant les systèmes

La même personne peut être un lead, un acheteur, un emprunteur, un utilisateur de véhicule, un client du service, un plaignant ou un employé. Le même VIN peut apparaître dans évaluation, immatriculation, financement, assurance, garantie, réparation, assistance routière et services connectés. Un inventaire de systèmes seul ne peut pas montrer si la réutilisation est licite ou attendue.

Créez une carte de traitement par finalité. Pour chaque activité, enregistrez personnes concernées, catégories, source, base légale, destinataires, transferts, conservation, sécurité, décisions automatisées et responsable. Reliez-la au registre des activités de traitement de l'article 30 où applicable. Distinguez les données nécessaires pour exécuter un contrat du marketing et de l'analytique optionnels. Ne regroupez pas des finalités non liées dans un seul consentement.

Le RGPD exige liceité, loyauté et transparence ; limitation des finalités ; minimisation ; exactitude ; limitation de la conservation ; sécurité ; et responsabilisation. [1] Ces principes ne sont pas des exigences uniquement documentaires. Ils devraient changer quels champs CRM sont obligatoires, quels rôles peuvent exporter une liste de clients et quand les données de lead obsolètes sont supprimées.

2. Classifiez les données client et véhicule dans leur contexte

Noms, adresses e-mail personnelles, numéros de téléphone, signatures et détails financiers sont clairement des données personnelles. Les données véhicule nécessitent une analyse contextuelle. Un VIN, une immatriculation, une trace de localisation, un pattern de conduite, un historique de service ou un identifiant embarqué peuvent se rapporter à un propriétaire, détenteur, conducteur ou passager identifiable. La pseudonymisation réduit le risque mais ne sort pas nécessairement les données du RGPD si la ré-identification reste possible.

Les lignes directrices du Comité Européen de la Protection des Données sur les véhicules connectés soulignent qu'une grande partie des données générées par le véhicule sont personnelles et met en évidence localisation, données biométriques et données liées aux infractions comme catégories particulièrement sensibles dans le contexte. Elles favorisent le traitement local où possible et le contrôle de l'utilisateur sur la collecte. [2]

Classifiez les champs par sensibilité et finalité, pas par application. Les données enregistrées peuvent être ordinaires dans un flux de travail et révélatrices une fois combinées. Les notes en texte libre sont particulièrement risquées car le personnel peut saisir des détails de santé, familiaux, financiers ou de réclamation sans structure. Utilisez invites, formation et champs restreints pour réduire la collecte inutile.

3. Résolvez les rôles entre concession, groupe, constructeur et fournisseurs

Une concession est souvent responsable du traitement pour l'activité de vente et de service, mais les relations varient. Un constructeur peut être un responsable indépendant pour la garantie ou les services connectés, un responsable conjoint pour une campagne déterminée conjointement, ou recevoir des données sous un autre arrangement défini. Un fournisseur DMS agit couramment comme sous-traitant pour les données hébergées de la concession mais peut être responsable pour sa propre administration de compte ou ses logs de sécurité.

Ne copiez pas une étiquette de rôle d'un contrat sans tester la réalité. Demandez qui décide de la finalité et des moyens essentiels, qui répond aux demandes de droits, qui notifie qui d'une violation, quels sous-traitants ultérieurs sont impliqués et si les données sont utilisées pour entraîner des modèles ou benchmarker des clients. Documentez les motifs de partage et la minimisation des données à chaque interface.

L'accès aux véhicules connectés s'entrecroise maintenant aussi avec le Data Act de l'UE. Les lignes directrices automotive non contraignantes 2025 de la Commission Européenne expliquent comment les concepts du Data Act s'appliquent aux données véhicule, tout en soulignant que le RGPD continue de s'appliquer aux données personnelles. [3] Un droit d'accéder ou de partager des données de produit n'est pas une permission générale d'ignorer le droit de la confidentialité.

4. Concevez base légale et transparence autour du parcours

Ce tableau est un point de départ, pas une détermination légale. Les règles d'e-privacy et de marketing direct varient par canal et implémentation nationale. Le consentement doit être librement donné, spécifique, informé, univoque et révocable. Les intérêts légitimes nécessitent des évaluations de finalité, nécessité et mise en balance.

Fournissez des informations à plusieurs niveaux à des moments significatifs, pas une seule page de confidentialité éloignée. Expliquez le traitement essentiel à la demande, à l'essai, à l'achat, au service et à la connexion d'application. Rendez les préférences faciles à changer et propagez la révocation à chaque système de campagne pertinent.

5. Contrôlez identité, exactitude, accès et conservation

La correspondance client aide la continuité mais peut aussi combiner deux personnes incorrectement. Utilisez identifiants vérifiés, niveaux de confiance, revue pour les fusions conséquentes et une piste d'audit réversible. Préservez quelle source a fourni une valeur. Une concession devrait pouvoir expliquer pourquoi une personne a reçu un message et corriger rapidement un changement de propriété.

Implémentez un accès basé sur les rôles et la séparation des tâches. Un vendeur peut avoir besoin du contact actuel et du contexte de transaction, pas d'exports illimités ou de paie. Le reporting de groupe peut avoir besoin de données de filiale agrégées plutôt que de détail au niveau client. Revoyez les rôles privilégiés et les comptes inactifs. Enregistrez l'accès aux jeux de données à haut risque et enquêtez sur les exports massifs.

Fixez la conservation par enregistrement et finalité. Documents fiscaux, contrats, preuves de garantie, leads sans succès, enregistrements d'appels, données de localisation et échantillons d'entraînement de modèle nécessitent des périodes différentes. Tenez compte des délais de prescription et des blocages légaux, puis supprimez ou anonymisez. Testez sauvegardes et intégrations en aval pour qu'une suppression côté front-end ne soit pas seulement cosmétique.

6. Opérationnalisez droits, AIPD et incidents

Construisez un processus d'accueil vérifié pour les demandes d'accès, rectification, effacement, limitation, opposition et portabilité. Cherchez par identifiants client et véhicule à travers les systèmes CRM, DMS, appels, documents et marketing. Revoyez les données de tiers et les droits d'autres personnes avant la divulgation. Enregistrez la décision et la date de réponse.

Utilisez une analyse d'impact relative à la protection des données là où le traitement est susceptible de créer un risque élevé, spécialement surveillance systématique, nouvelles données connectées ou décisions automatisées significatives. Une AIPD devrait influencer la conception avant le lancement. Ce n'est pas un formulaire d'approbation rétrospectif.

Préparez le triage des violations. Le personnel devrait reconnaître factures mal dirigées, exports exposés, compromission de compte et ransomware comme des incidents de données personnelles possibles. Capturez rapidement les faits, contenez l'accès, préservez les preuves et soutenez l'évaluation du responsable des obligations de notification. Le RGPD fixe une période de notification à l'autorité de contrôle de 72 heures où le seuil de risque applicable est atteint. [1]

Où se situe Omnetic

Les modules documentés d'Omnetic apportent le contexte de client, véhicule, transaction, communication, inspection, stock et pricing dans les flux de travail opérationnels. Cette continuité peut soutenir exactitude, visibilité de la source et moins de passages de relais incontrôlés. Cela n'établit pas en soi la conformité RGPD.

Les concessions devraient demander à Omnetic les rôles de responsable et sous-traitant, les emplacements des données, les sous-traitants ultérieurs, le comportement de conservation et suppression, les contrôles d'accès, les logs d'audit, le support d'export, les termes d'incident et les détails de traitement IA. Les choix de pays, pack et déploiement peuvent changer la réponse.