Samedi soir, 21 h 20, un courriel entre à l’adresse info@votreconcession.quebec.
Le courriel de votre client, M. Tartempion, est une simple demande pour obtenir par écrit l’ensemble des renseignements personnels que vous détenez sur lui, bref son dossier complet ! Il ne fait que valoir son droit, celui de vous faire une demande d’accès à l’information. Top chrono, vous avez 30 jours pour répondre…
Ce que vous ne faites pas !
Ce n’est pas un manque de volonté ou même de connaissance de la loi ; vous n’avez tout simplement pas vu passer ce courriel, car l’adresse utilisée, créée il y a 12 ans par votre responsable TI (qui était peut-être votre beau-frère), a été indiquée « par défaut » par votre fournisseur de site Web comme coordonnée de votre responsable PRP (protection des renseignements personnels) dans votre politique de confidentialité.
Considérez-vous comme salués, concessionnaires automobiles, propriétaires et responsables PRP. Si déjà vous avez des questions concernant le terme responsable PRP, le délai de 30 jours pour répondre à une demande ou le principe même de demande d’accès à l’information, imaginez recevoir une communication d’audience de la Commission d’accès à l’information (CAI) et une proposition de médiation. Tout ça pour ne pas avoir répondu dans le délai prescrit, car le silence est juridiquement considéré comme un refus. Et c’est la raison pour laquelle M. Tartempion a déposé une demande d’examen de mésentente auprès de la Commission d’accès à l’information. Vous faites quoi à partir de là ?
« La CAI s’attend à ce que vous prouviez avoir mené une recherche exhaustive. Ce processus ne se limite pas à imprimer les fiches clients. Elle recommande une méthode rigoureuse (souvent basée sur le Qui, Quoi, Où, Quand, Comment et Pourquoi). »
« Le repérage complet et sérieux des renseignements personnels en entreprise » est littéralement le titre de la fiche d’information de la CAI qui peut vous servir de guide. Déjà, avec le titre, la table est mise pour votre obligation de repérer tous les renseignements personnels de votre client. Si vous aviez une seule base de données et le minimum nécessaire en copies papier, ça serait beaucoup plus simple. Je vous le confirme, car mes partenaires et moi accompagnons des concessionnaires dont c’est la réalité. Je vous propose de réaliser un exercice rapide qui est à la base de toute demande d’accès, donc même sans audience ou médiation à préparer, dans lequel vous devez documenter vos recherches à travers le chaos organisé de votre écosystème et vos cinq, six ou sept bases de données… qui ne se parlent pas. ;-)
La CAI s’attend à ce que vous prouviez avoir mené une recherche exhaustive. Ce processus ne se limite pas à imprimer les fiches clients. Elle recommande une méthode rigoureuse (souvent basée sur le Qui, Quoi, Où, Quand, Comment et Pourquoi). C’est comme faire une inspection multipoint certifiée sur un véhicule d’occasion. Vous ne pouvez pas juste dire que les freins « ont l’air bons » ; vous devez mesurer l’épaisseur des plaquettes, vérifier les disques et noter chaque mesure dans un rapport officiel pour prouver que l’inspection a réellement eu lieu selon les standards.
Voici à quoi vos journées de recherche pourraient ressembler à la suite d’une simple demande d’accès à l’information.
Tel un Indiana Jones, Christophe Colomb, Dr Emmett Brown ou Néo (c’est votre histoire, votre choix), vous commencez votre périple en terres inconnues dans vos systèmes informatiques, à la recherche des renseignements personnels du client qui s’y trouvent.
- Vous devez extraire des entrailles de votre DMS les contrats de vente, l’historique complet des bons de travail, les notes internes sur le client et l’historique financier.
- Vous êtes ensuite téléporté dans votre CRM, où vous conservez les fiches clients (doublons !), les journaux d’appels, les notes des employés et les suivis de prospection.
- Vous continuez vers l’obscurité, où résident tous vos logiciels tiers, détenus par des sous-traitants tels que les compagnies de financement et les agences de marketing, les outils d’évaluation de véhicules d’échange, les rendez-vous au service, les commandes de pièce, sans oublier votre CMP, ou Consent Management Platform (gestionnaire de consentement).
Votre recherche se termine dans les méandres des communications numériques, comme les courriels et les SMS, où vous interrogez les boîtes courriel professionnelles des directeurs, vendeurs, F&I et conseillers techniques, ainsi que les services de messagerie instantanée et le clavardage de tous les départements utilisés pour communiquer avec le client.
Votre expédition de plaisir se poursuit dans le monde physique des dossiers et des archives.
- Vous allez au cœur des données, qui est protégé et verrouillé, votre salle d’archives, pour sortir le dossier client s’il n’a pas été déchiqueté après la fin de sa durée de conservation.
- Vous faites quelques détours pour terminer l’exploration avec le papier, comme dans des classeurs relatifs à l’administration, aux ventes, aux pièces et au service, qui doivent être examinés physiquement.
- Enfin, avec votre dernier souffle, vous devez vérifier si des documents sont entreposés hors site. Vous devez vérifier si vous les détenez encore, s’ils ont été anonymisés ou s’ils ont été détruits une fois la finalité de leur collecte accomplie.
Tout au long de votre périple, vous devez documenter votre démarche (trace écrite).
Pour que le repérage soit considéré comme « sérieux », vous devez entre autres consigner par écrit :
- Les départements consultés (ventes, F&I, service, pièces, carrosserie, comptabilité).
- Les systèmes ou appareils spécifiquement examinés ou exclus.
- L’identité des personnes ayant effectué les recherches et leur connaissance des systèmes de classement.
- Vous devez documenter les mots clés de recherche utilisés.
Lorsqu’ils sont exposés à ces faits et à cette réalité, les propriétaires et dirigeants me disent : « Ça n’a pas de bon sens, Dom ! Je peux-tu juste gérer ma business ! »
Je vous entends et je suis d’accord avec vous. Mais entre nous, ne devriez-vous pas avoir une base de données propre et à jour de l’ensemble de vos clients ? Ne dit-on pas depuis plusieurs années que la donnée, c’est de l’or ? Ne devriez-vous pas avoir une meilleure vision d’ensemble et un contrôle des données qui serviront à votre marketing, à la fidélisation et à la personnalisation de l’expérience client ?
« Parce que la responsabilité de la protection des renseignements personnels incombe aux dirigeants, il est crucial de maîtriser l’ampleur d’une recherche de renseignements et de se préparer à gérer les nouveaux droits des clients, qui peuvent mettre vos processus à l’épreuve à tout moment. »
Finalement, vos obligations ne sont-elles pas l’occasion pour votre concession ou groupe de revenir à la base et de prendre conscience de votre écosystème, de tous les renseignements personnels qui sont collectés, entreposés, utilisés, partagés et qui circulent ? Plusieurs motivations vous sont offertes, car la base du marketing, c’est la bonne utilisation des données, tout comme la bonne gestion d’une entreprise !
Parce que la responsabilité de la protection des renseignements personnels incombe aux dirigeants, il est crucial de maîtriser l’ampleur d’une recherche de renseignements et de se préparer à gérer les nouveaux droits des clients, qui peuvent mettre vos processus à l’épreuve à tout moment.
Alors que les données des clients deviennent à la fois votre plus grand atout et votre plus grande source de risque, la question n’est plus de savoir si vos pratiques seront un jour mises à l’épreuve, mais quand. Comment votre concessionnaire transformera-t-il ce défi en un gage de confiance ?
Pourquoi ne pas commencer à regarder ça à l’interne, avec votre comité et votre responsable PRP, avant de faire face à une demande d’accès ou même à d’autres dispositions comme exiger la rectification de données inexactes, la portabilité des données informatisées vers un autre fournisseur ou encore le « droit à l’oubli » par la désindexation de certains liens.
Cet exercice vous fait revenir à la base, limiter la collecte à ce qui est nécessaire, éliminer des copies inutiles, bref, « nettoie » vos processus en les simplifiant et en diminuant probablement le pied carré de vos archives. Encore mieux qu’un nettoyeur d’injecteur. C’est une opportunité d’affaires, de se démarquer avec l’éthique et le professionnalisme ou, pour certains, simplement une façon d’éviter les médiations, audiences et pénalités possibles !
À chacun sa motivation, à chacun son histoire.
