RGPD et recouvrement automatisé : guide complet de conformité

Automatiser le recouvrement de créances est un levier puissant pour les PME : gain de temps, reduction des impayés, tresorerie amelioree. Mais toute automatisation impliquant des donnees personnelles doit respecter le Reglement General sur la Protection des Donnees (RGPD). Et dans le domaine du recouvrement, les enjeux sont particulierement sensibles.

Ce guide complet vous explique comment automatiser votre recouvrement tout en restant 100 % conforme au RGPD et aux regles de la DGCCRF. Que vous utilisiez un logiciel de recouvrement, un agent IA specialise ou des relances manuelles, ces principes s’appliquent a votre activite.

4,3 Mds € — Montant cumule des amendes RGPD prononcees en Europe depuis 2018 (IAPP, 2025)

Les fondamentaux du RGPD appliques au recouvrement

Le RGPD (Reglement UE 2016/679) encadre tout traitement de donnees personnelles dans l’Union europeenne. Dans le contexte du recouvrement, les donnees personnelles traitees incluent :

• Identite du debiteur : nom, prenom, raison sociale, numero SIREN/SIRET
• Coordonnees : adresse postale, email, telephone
• Donnees financieres : montants dus, historique de paiement, RIB, coordonnees bancaires
• Donnees contractuelles : numero de facture, conditions de paiement, echeances
• Historique des echanges : emails envoyes, relances effectuees, reponses du debiteur

Ces donnees sont soumises aux six principes fondamentaux du RGPD, que tout systeme de recouvrement, qu’il soit manuel ou automatisé, doit respecter.

Les 6 principes RGPD a respecter

1. Liceite, loyaute, transparence : le traitement doit reposer sur une base légale valide et le debiteur doit etre informe du traitement de ses donnees
2. Limitation des finalites : les donnees ne peuvent etre utilisees que pour le recouvrement de la créance concernee, pas pour du demarchage commercial
3. Minimisation des donnees : ne collecter que les donnees strictement necessaires au recouvrement
4. Exactitude : les donnees doivent etre a jour et exactes (montants, coordonnees)
5. Limitation de la conservation : les donnees doivent etre supprimees une fois la finalite atteinte
6. Integrite et confidentialite : les donnees doivent etre protegees contre les acces non autorises

Les bases légales du traitement en recouvrement

Le RGPD exige que tout traitement de donnees repose sur l’une des six bases légales definies a l’article 6. Pour le recouvrement de créances, trois bases légales sont pertinentes.

L’interet legitime (article 6.1.f)

C’est la base légale la plus couramment utilisee en recouvrement. Le creancier a un interet legitime a recouvrer les sommes qui lui sont dues. Cet interet est reconnu par la jurisprudence et la CNIL, a condition de respecter un equilibre avec les droits du debiteur.

Pour invoquer l’interet legitime, vous devez documenter une analyse de ponderation (balance of interests test) demontrant que votre interet l’emporte sur les droits du debiteur. En pratique, cette condition est generalement remplie pour les créances commerciales legitimes.

L’execution du contrat (article 6.1.b)

Lorsque la créance decoule d’un contrat, le traitement des donnees pour le recouvrement peut etre justifie par l’execution de ce contrat. Le debiteur a accepte les conditions de paiement ; le recouvrement en est la consequence naturelle.

L’obligation légale (article 6.1.c)

Certains aspects du recouvrement relevent d’obligations légales : conservation des documents comptables pendant 10 ans (article L123-22 du Code de commerce), emission de factures conformes, calcul des pénalités de retard selon les taux legaux.

En pratique, la plupart des PME s’appuient sur une combinaison de l’interet legitime et de l’execution du contrat pour fonder leur traitement de recouvrement.

Durees de conservation des donnees

La CNIL est particulierement attentive aux durees de conservation dans le secteur du recouvrement. Voici les delais a respecter :

Type de donnees	Duree de conservation	Base légale
Documents comptables (factures, avoirs)	10 ans	Art. L123-22 Code de commerce
Contrats commerciaux	5 ans apres fin du contrat	Prescription civile (art. 2224 Code civil)
Donnees de relance (emails, courriers)	5 ans apres le dernier contact	Prescription civile
Donnees de paiement (RIB, transactions)	13 mois apres le debit	Directive services de paiement
Dossiers contentieux	Duree de la procedure + 5 ans	Prescription civile
Donnees de prospection	Interdites dans le cadre du recouvrement	Limitation des finalites (RGPD)

Attention : le pieges de la sur-conservation. Conserver des donnees de debiteurs au-dela des delais legaux est une infraction au RGPD. Un systeme de recouvrement automatisé doit integrer des mecanismes de purge automatique des donnees perimees.

Les droits des debiteurs face au recouvrement automatisé

Le RGPD confere aux debiteurs des droits specifiques que votre processus de recouvrement, qu’il soit manuel ou automatisé, doit pouvoir satisfaire.

Droit d’acces (article 15)

Le debiteur peut demander a connaitre toutes les donnees que vous detenez sur lui : montants, historique de relance, notes internes, scoring de risque. Vous disposez d’un mois pour repondre a cette demande. Un systeme automatisé doit pouvoir generer ce rapport facilement.

Droit de rectification (article 16)

Si le debiteur constate une erreur (mauvais montant, coordonnees incorrectes, facture deja reglee), il peut exiger la correction immediate de ses donnees. Les relances doivent etre suspendues le temps de la verification.

Droit d’opposition (article 21)

Le debiteur peut s’opposer au traitement automatisé de ses donnees. Important : cela ne l’exonere pas de sa dette. L’opposition porte sur le mode de traitement, pas sur l’obligation de payer. En pratique, si un debiteur exerce ce droit, vous devez cesser les relances automatiques mais pouvez poursuivre le recouvrement manuellement.

Droit a l’effacement (article 17)

Le debiteur peut demander la suppression de ses donnees, mais uniquement si la créance est soldee et que les delais de conservation legaux sont ecoules. Tant que la dette existe, l’effacement peut etre refuse sur le fondement de l’interet legitime ou de l’obligation légale.

Droit a la limitation du traitement (article 18)

En cas de contestation de la créance, le debiteur peut demander le gel du traitement de ses donnees. Les relances automatiques doivent alors etre suspendues jusqu’a resolution du litige.

Les regles DGCCRF specifiques au recouvrement

Au-dela du RGPD, la Direction Generale de la Concurrence, de la Consommation et de la Repression des Fraudes (DGCCRF) impose des regles strictes pour le recouvrement amiable, codifiees aux articles R124-1 a R124-7 du Code des procedures civiles d’execution.

Obligations d’information

Toute relance amiable doit obligatoirement mentionner :

• Le nom et les coordonnees du creancier (ou de son mandataire)
• Le fondement et le montant de la créance, avec un decompose (principal, interets, pénalités, indemnite forfaitaire)
• L’indication que le debiteur peut contester la créance
• Les modalites de paiement proposees

Pratiques interdites

La DGCCRF sanctionne severement certaines pratiques abusives :

• Faux documents officiels : courriers imitant des actes judiciaires ou des mises en demeure huissier
• Harcelement : relances excessives (plus d’un contact par jour ou appels repetes)
• Menaces disproportionnees : annoncer des poursuites judiciaires que l’on n’a pas l’intention d’engager
• Frais non prevus : facturer des frais de recouvrement non mentionnes dans le contrat ou la loi
• Contact des tiers : informer l’employeur ou la famille du debiteur de sa situation

Sanctions en cas de pratiques abusives. Les pratiques commerciales agressives en matiere de recouvrement sont passibles de 2 ans d’emprisonnement et 300 000 euros d’amende (article L132-11 du Code de la consommation). Pour les personnes morales, l’amende peut atteindre 1 500 000 euros.

Penalites de retard et indemnite forfaitaire

Le Code de commerce (article L441-10) encadre strictement les pénalités applicables entre professionnels :

• Penalites de retard : au minimum 3 fois le taux d’interet legal, ou le taux de la BCE majore de 10 points (le plus eleve des deux)
• Indemnite forfaitaire de recouvrement : 40 euros par facture (article D441-5), exigible de plein droit sans mise en demeure
• Indemnite complementaire : si les frais de recouvrement reels depassent 40 euros, le creancier peut reclamer le complement sur justificatif

Comment Agensio garantit la conformité RGPD

L’agent de recouvrement Agensio a ete concu des le depart avec la conformite RGPD comme exigence fondamentale, et non comme un ajout posterieur. Voici comment chaque aspect reglementaire est integre.

Base légale documentee

Chaque dossier de recouvrement est associe a une base légale explicite (interet legitime ou execution du contrat). L’agent genere automatiquement le registre des traitements conforme a l’article 30 du RGPD, et maintient une trace d’audit complete de toutes les actions effectuees.

Minimisation et securite des donnees

L’agent ne collecte que les donnees strictement necessaires au recouvrement : identite, coordonnees, donnees de facturation. Toutes les donnees sont chiffrees au repos et en transit, hebergees sur des serveurs europeens (Supabase, infrastructure AWS eu-west), avec des acces restreints par role (Row Level Security).

Purge automatique

Un systeme de purge automatique supprime les donnees perimees en respectant les durees de conservation légales. Les dossiers soldes sont archives pendant la duree de prescription applicable, puis automatiquement anonymises ou supprimes.

Gestion des droits des debiteurs

L’agent gere nativement les demandes d’exercice de droits RGPD :

• Droit d’acces : generation automatique d’un rapport PDF complet en moins de 24 heures
• Droit de rectification : mise a jour immediate des donnees avec suspension des relances
• Droit d’opposition : basculement automatique en mode manuel avec notification au creancier
• Droit a l’effacement : suppression des donnees si les conditions légales sont remplies, avec justification documentee en cas de refus

Relances conformes DGCCRF

Chaque relance generee par l’agent inclut automatiquement toutes les mentions obligatoires : identification du creancier, decompose de la creance, droit de contestation, modalites de paiement. Les delais entre relances respectent un calendrier progressif qui exclut tout risque de harcelement. Pour en savoir plus sur notre approche, consultez notre politique de confidentialite.

Checklist de conformité pour votre entreprise

Que vous utilisiez Agensio ou un autre outil, voici la checklist complete pour vous assurer que votre recouvrement automatisé est conforme.

• Identifier et documenter la base légale de chaque traitement de recouvrement
• Inscrire le traitement dans votre registre des activites de traitement (article 30)
• Informer les debiteurs du traitement de leurs donnees (mention dans les CGV ou courrier de relance)
• Mettre en place un processus de reponse aux demandes d’exercice de droits (acces, rectification, opposition, effacement)
• Definir et appliquer des durees de conservation conformes pour chaque type de donnees
• Implementer la purge automatique des donnees perimees
• Securiser les donnees : chiffrement, controle d’acces, sauvegardes
• Former les collaborateurs impliques dans le recouvrement aux obligations RGPD
• Verifier que chaque relance contient les mentions obligatoires DGCCRF
• Respecter les delais raisonnables entre relances (pas de harcelement)
• Documenter la conformité : conserver les preuves d’envoi, les reponses, les exercices de droits
• Realiser une analyse d’impact (AIPD) si le volume de donnees traitees est eleve
• Verifier la conformité des sous-traitants (hebergeur, outil d’emailing) et signer les clauses contractuelles necessaires
• Designer un DPO (obligatoire si traitement a grande echelle) ou a defaut un referent RGPD interne

Les pénalités en cas de non-conformité

Le non-respect du RGPD dans le cadre du recouvrement expose votre entreprise a des sanctions financieres considerables.

20 M€ ou 4 % — Amende maximale RGPD : 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel (le plus eleve des deux)

En France, la CNIL a prononce des sanctions significatives dans le secteur du recouvrement. Les infractions les plus frequentes concernent :

• Defaut d’information des personnes concernees (les debiteurs ne sont pas informes du traitement de leurs donnees)
• Conservation excessive des donnees (dossiers soldes conserves indefiniment)
• Absence de securite adequate (acces non controles aux fichiers de debiteurs)
• Non-respect des droits des personnes (demandes d’acces ou d’opposition ignorees)

Au-dela des amendes CNIL, le non-respect des regles DGCCRF en matiere de recouvrement peut entrainer des sanctions penales (jusqu’a 300 000 euros d’amende et 2 ans d’emprisonnement) ainsi que des dommages reputationnels durables.

Recouvrement B2B vs B2C : les différences RGPD

Les regles RGPD s’appliquent differemment selon que votre debiteur est un professionnel (B2B) ou un particulier (B2C).

Recouvrement B2B (entre professionnels)

Le RGPD s’applique des lors que vous traitez des donnees de personnes physiques, meme dans un contexte B2B. Le nom et l’email du contact au sein de l’entreprise debitrice sont des donnees personnelles protegees. En revanche, les donnees purement juridiques (SIREN, raison sociale) ne sont pas des donnees personnelles.

Le recouvrement B2B beneficie generalement d’un cadre plus souple : l’interet legitime est plus facilement justifiable, les delais de paiement sont encadres par la loi (30 jours par defaut, 60 jours maximum selon l’article L441-10 du Code de commerce), et l’indemnite forfaitaire de 40 euros s’applique automatiquement.

Recouvrement B2C (envers des particuliers)

Le recouvrement B2C est soumis a des regles plus strictes. Le consommateur beneficie d’une protection renforcee : information prealable obligatoire, delais de reflexion, interdiction des pratiques agressives (Code de la consommation). L’analyse de ponderation pour l’interet legitime doit etre plus detaillee, et le droit d’opposition est plus facilement exerce.

L’automatisation conforme : un avantage, pas un risque

Paradoxalement, un recouvrement bien automatisé est souvent plus conforme qu’un recouvrement manuel. Voici pourquoi :

• Tracabilite totale : chaque action est horodatee et journalisee, contrairement a un appel telephonique ou un email improvise
• Mentions obligatoires systematiques : un modele automatisé n’oublie jamais d’inclure les mentions DGCCRF
• Delais respectes : l’automatisation garantit des intervalles raisonnables entre relances, eliminant le risque de harcelement
• Purge automatique : les donnees perimees sont supprimees sans intervention humaine, supprimant le risque de sur-conservation
• Gestion des droits standardisee : les demandes d’exercice de droits sont traitees de maniere uniforme et dans les delais legaux

L’automatisation ne cree pas le risque RGPD, elle le reduit, a condition que le systeme ait ete concu dans le respect de la reglementation des le depart (privacy by design).

En resume : les points cles a retenir

Le recouvrement automatisé et la conformité RGPD ne sont pas antagonistes. Au contraire, une automatisation bien concue renforce la conformité en garantissant tracabilite, respect des delais et gestion rigoureuse des droits des debiteurs. Voici les points essentiels :

• Le recouvrement repose principalement sur la base légale de l’interet legitime ou de l’execution du contrat
• Les durees de conservation doivent etre definies et appliquees automatiquement pour chaque type de donnees
• Les droits des debiteurs (acces, rectification, opposition, effacement) doivent pouvoir etre exerces a tout moment
• Les relances doivent respecter les mentions obligatoires DGCCRF et les regles anti-harcelement
• L’automatisation, quand elle est concue en privacy by design, est un atout pour la conformité
• Les sanctions sont lourdes (jusqu’a 20 millions d’euros ou 4 % du CA) mais facilement evitables avec les bonnes pratiques

L’agent de recouvrement Agensio integre nativement l’ensemble de ces exigences reglementaires. Vous recuperez vos impayes sans jamais compromettre votre conformite.

Questions frequentes

Quelle base légale utiliser pour le recouvrement automatisé en RGPD ?

La base légale la plus appropriee est l’interet legitime du creancier (article 6.1.f du RGPD). Vous pouvez aussi invoquer l’execution du contrat (article 6.1.b) lorsque le recouvrement decoule directement de la relation contractuelle. L’obligation légale (article 6.1.c) s’applique notamment pour la conservation des documents comptables pendant 10 ans. En pratique, les PME s’appuient generalement sur une combinaison de ces bases.

Combien de temps peut-on conserver les donnees d’un debiteur ?

La CNIL recommande de respecter les durees suivantes : donnees de facturation pendant 10 ans (obligation comptable), donnees de relance pendant 5 ans apres le dernier contact (prescription civile), donnees de paiement pendant 13 mois apres le debit (directive services de paiement). Une fois ces delais ecoules, les donnees doivent etre supprimees ou anonymisees. Un systeme de purge automatique est fortement recommande.

Un debiteur peut-il s’opposer au recouvrement automatisé de sa dette ?

Un debiteur peut exercer son droit d’opposition au traitement automatisé de ses donnees (article 21 du RGPD), mais cela ne l’exonere pas de sa dette. L’opposition porte sur le traitement des donnees, pas sur l’obligation de payer. Si un debiteur s’oppose, vous devez cesser les relances automatiques mais pouvez poursuivre le recouvrement par voie manuelle ou judiciaire. L’agent de recouvrement Agensio gere automatiquement ces demandes d’opposition en basculant le dossier en mode manuel.