RGPD et registre du commerce néerlandais : guide de conformité

Lorsque vous commencez à utiliser les données du registre du commerce néerlandais (données KVK) dans votre application, une question se pose naturellement : quelles sont les implications du RGPD ? Faut-il un consentement ? Peut-on stocker les données ? Qu’en est-il des entrepreneurs individuels dont l’adresse personnelle figure au registre ?

Cet article propose un guide pratique pour s’y retrouver avec le RGPD lorsque l’on travaille avec les données d’entreprises néerlandaises. Il ne constitue pas un conseil juridique (consultez toujours un avocat qualifié pour votre situation précise), mais il vous aidera à comprendre les points clés.

Données publiques et données personnelles

Il faut d’abord comprendre que les données KVK occupent une place particulière au regard du RGPD. Le Handelsregister néerlandais (registre du commerce) est un registre public. Son but est d’assurer la transparence sur les entreprises actives aux Pays-Bas. La plupart des données qu’il contient sont publiques de manière délibérée.

Toutefois, « public » ne signifie pas « exempt d’obligations RGPD ». Le RGPD s’applique à tout traitement de données personnelles, que ces données soient accessibles publiquement ou non. La question clé est donc : les données que vous utilisez constituent-elles des données personnelles ?

Ce qui n’est pas une donnée personnelle

Les données relatives à des personnes morales (BV, NV, stichting, vereniging) ne sont en général pas des données personnelles au sens du RGPD :

• La raison sociale d’une BV ou d’une NV
• L’adresse enregistrée d’un établissement
• Le numéro KVK
• Les codes SBI (classification des activités)
• La date d’immatriculation
• La forme juridique

Ces éléments concernent une personne morale, et non une personne physique.

Ce qui est une donnée personnelle

Certaines données KVK se rapportent à des personnes physiques identifiables :

• Les informations sur l’entrepreneur individuel (eenmanszaak) : le nom du propriétaire est une donnée personnelle
• Les adresses personnelles : lorsqu’un entrepreneur individuel travaille depuis son domicile, son adresse enregistrée est une adresse personnelle
• Les noms des dirigeants et des représentants autorisés : ils identifient des personnes physiques
• Les numéros BSN : ils ne sont pas disponibles via les API publiques, mais existent dans le registre complet

Le cas délicat de l’entrepreneur individuel

Les entreprises individuelles (eenmanszaken) forment la catégorie la plus sensible. Aux Pays-Bas, des centaines de milliers d’entreprises individuelles sont immatriculées. Pour ces entreprises :

• Le nom commercial inclut souvent le nom personnel du propriétaire
• L’adresse enregistrée peut être une adresse de résidence
• Le numéro KVK est directement lié à un individu

La KVK elle-même a reconnu ce problème. Depuis 2022, les entrepreneurs individuels peuvent demander que leur adresse personnelle soit masquée au public. Tous ne l’ont toutefois pas fait, et d’anciennes données peuvent encore contenir ces adresses.

Comment procéder

Lorsque votre application traite des données sur des entreprises individuelles, tenez compte des points suivants :

1. Ne stockez pas plus que nécessaire : si vous n’avez besoin que de la raison sociale et du numéro KVK, ne stockez pas l’adresse
2. Distinguez adresse professionnelle et adresse personnelle : si possible, signalez quand une adresse peut être résidentielle
3. Prévoyez un moyen pour les personnes de demander la suppression : les entrepreneurs individuels doivent pouvoir vous demander d’effacer leurs données
4. Documentez votre base légale : expliquez pourquoi vous avez besoin de ces données (voir ci-dessous)

Base légale du traitement

Au titre du RGPD, il vous faut une base légale pour traiter des données personnelles. Pour les données du registre du commerce, les bases les plus courantes sont :

Intérêt légitime (article 6, paragraphe 1, point f)

C’est la base la plus fréquemment utilisée pour traiter des données publiques du registre du commerce. Vous avez un intérêt légitime à savoir avec qui vous faites des affaires et à mener une due diligence. Pour vous en prévaloir, identifiez votre intérêt, démontrez la nécessité, mettez-le en balance avec les droits des personnes concernées et documentez l’analyse.

Exécution d’un contrat (article 6, paragraphe 1, point b)

Si vous traitez des données KVK pour exécuter un contrat, par exemple pour émettre une facture avec la dénomination légale et l’adresse corrects, l’exécution du contrat est votre base légale.

Obligation légale (article 6, paragraphe 1, point c)

Certains traitements de données d’entreprise sont imposés par la loi. Par exemple, le droit fiscal néerlandais exige de vérifier les numéros de TVA (BTW) pour les opérations intracommunautaires.

Minimisation des données

Le RGPD vous impose de ne collecter et de ne traiter que les données dont vous avez réellement besoin. Appliquez ce principe à votre intégration des données KVK :

• Si vous voulez seulement vérifier qu’une entreprise existe, ne stockez pas le profil complet
• Si vous avez besoin de la raison sociale pour la facturation, vous n’avez pas forcément besoin des codes SBI
• Pour une validation ponctuelle, envisagez de ne pas stocker les données du tout

// Example: store only what you need
function extractRelevantFields(kvkResponse) {
  return {
    kvkNumber: kvkResponse.kvkNumber,
    tradeName: kvkResponse.tradeName,
    // Only store address if needed for invoicing
    invoiceAddress: needsInvoicing
      ? formatAddress(kvkResponse.address)
      : null,
    // Do not store owner name if you do not need it
    verifiedAt: new Date().toISOString()
  };
}

Limitation de la conservation

Le RGPD exige de ne pas conserver les données personnelles plus longtemps que nécessaire. Définissez des durées de conservation claires :

• Données des clients actifs : conservation pendant toute la durée de la relation commerciale
• Données de facturation : le droit néerlandais impose une conservation de 7 ans à des fins fiscales
• Cache des recherches : courte durée (24 heures à 7 jours), puis actualisation depuis la source
• Données de prospects : définissez une durée raisonnable (par exemple 12 mois d’inactivité)

// Example: automatic cleanup of cached data
async function cleanupOldCacheEntries() {
  const cutoffDate = new Date();
  cutoffDate.setDate(cutoffDate.getDate() - 7);

  await cache.deleteWhere('createdAt < ?', cutoffDate);
}

Liste de contrôle de conformité

Utilisez cette checklist lorsque vous intégrez des données KVK à votre application :

• Identifiez les champs KVK dont vous avez réellement besoin et déterminez votre base légale
• Documentez votre analyse de l’intérêt légitime (le cas échéant)
• Mettez à jour votre politique de confidentialité pour mentionner le traitement des données KVK
• Appliquez la minimisation des données : ne demandez et ne stockez que les champs nécessaires
• Traitez avec un soin particulier les données des entrepreneurs individuels
• Mettez en place des politiques de conservation et de nettoyage des données
• Respectez les droits des personnes concernées : accès (art. 15), effacement (art. 17), opposition (art. 21) et portabilité (art. 20)
• Vérifiez et actualisez régulièrement les données en cache

Travailler avec un sous-traitant

Si vous utilisez une API tierce comme KVKBase pour accéder aux données KVK, vous devez vous demander si ce prestataire est un sous-traitant au sens du RGPD. Dans la plupart des cas, un fournisseur d’API qui récupère et renvoie des données sur votre instruction est un sous-traitant, et vous devez disposer d’un accord de traitement des données (DPA).

Conclusion

L’utilisation des données du registre du commerce néerlandais est en général simple du point de vue du RGPD, surtout lorsqu’il s’agit de données sur des personnes morales comme les BV et les NV. Le principal point de vigilance concerne les données des entrepreneurs individuels, où informations personnelles et données d’entreprise sont entremêlées.

En appliquant la minimisation des données, en définissant des politiques de conservation claires et en documentant votre base légale, vous pouvez utiliser les données KVK en toute confiance et en conformité. En cas de doute sur votre situation, consultez un spécialiste de la protection des données.