RGPD et salons : pourquoi Excel est devenu votre plus grand risque juridique

Il y a dans la quasi-totalité des organisations événementielles un fichier qui concentre, à lui seul, l’essentiel du risque juridique RGPD de l’entreprise. Il ne ressemble à rien d’extraordinaire. Il s’appelle souvent « exposants_2026_v3_finale_CORRIGEE.xlsx », il est partagé sur un drive commun, il voyage par email entre le commercial, l’assistante de direction et le prestataire logistique, et il contient les noms, prénoms, emails professionnels, numéros de téléphone et coordonnées bancaires de plusieurs centaines d’exposants.

Ce fichier est une bombe à retardement juridique.

Le montant cumulé des amendes prononcées par la CNIL en 2025 atteint 486 839 500 euros, en très nette augmentation par rapport à 2024 (55,2 millions d’euros) et 2023 (89,2 millions d’euros). Le message est sans ambiguïté : la conformité au RGPD n’est plus une obligation théorique réservée aux grandes entreprises du numérique. Le risque de sanction RGPD ne concerne plus seulement les grands acteurs du numérique : toute entreprise, PME ou organisme public qui traite des données personnelles peut être contrôlé et faire l’objet de mesures correctrices.

Ce guide détaille pourquoi Excel est structurellement incompatible avec une gestion RGPD sérieuse dans le contexte événementiel, quels sont les risques concrets pour votre organisation, et comment Planexpo élimine ces risques en remplaçant le fichier partagé par un écosystème de données sécurisé, tracé et auditable.

Ce que le RGPD impose concrètement à un organisateur de salon

Avant d’identifier les failles d’Excel, il est utile de rappeler précisément ce que le RGPD exige de tout responsable de traitement, et un organisateur de salon l’est pleinement dès la première collecte de données exposant ou visiteur.

La base légale de collecte

Chaque donnée personnelle collectée doit reposer sur une base légale explicite : consentement éclairé, exécution d’un contrat, intérêt légitime. Pour un exposant qui signe un contrat de participation, la base légale contractuelle est relativement simple à établir. En revanche, pour les visiteurs dont les emails sont collectés lors de l’inscription, pour les contacts prospects issus de salons précédents, ou pour les données transmises par des prestataires tiers, la base légale doit être documentée et vérifiable à tout moment.

La durée de conservation limitée

Le RGPD interdit de conserver des données personnelles au-delà de la durée nécessaire à leur finalité. Pour un fichier exposant, cela signifie concrètement que les données d’un exposant qui n’a pas reparticipé depuis trois éditions consécutives ne peuvent pas rester indéfiniment dans votre base. En 2025, la sécurisation insuffisante des données personnelles, l’absence de coopération avec la CNIL et le non-respect des droits des personnes constituent les trois principaux motifs de sanction dans le cadre de la procédure simplifiée. La non-prise en compte des demandes d’effacement, un exposant qui demande à être supprimé de votre base, fait partie de ces motifs récurrents.

La sécurité technique des données

L’article 32 du RGPD impose des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données. La CNIL a annoncé qu’elle consacrerait 50 % de ses contrôles et actions répressives à la sécurité des données en 2026, en réponse à la multiplication des violations massives constatées ces deux dernières années. Cela concerne directement les modalités de stockage, de partage et d’accès à vos fichiers exposants, et c’est précisément là qu’Excel échoue structurellement.

Le droit d’accès et de portabilité

Tout exposant peut, à tout moment, vous demander quelles données vous détenez sur lui, à quelle fin, et pendant combien de temps. Il peut également demander à les récupérer dans un format structuré. Dans une organisation qui gère ses données dans des fichiers Excel dispersés entre plusieurs collaborateurs, répondre à cette demande dans le délai réglementaire d’un mois relève du défi opérationnel.

Pourquoi Excel est structurellement incompatible avec le RGPD

Excel n’a pas été conçu pour être un outil de gestion de données personnelles conforme au RGPD. C’est un tableur de calcul et d’analyse, puissant dans son domaine, mais aveugle aux exigences réglementaires de traçabilité, de sécurité et de gouvernance des données. Voici les six failles structurelles qui font d’Excel votre plus grand risque juridique.

Faille 1 : l’absence totale de traçabilité des accès

Excel ne sait pas qui a ouvert le fichier, qui a modifié quelle ligne, qui a exporté les données vers une autre destination. Un fichier partagé sur un drive commun est accessible à l’ensemble des personnes disposant du lien, sans journal d’accès, sans alerte en cas d’accès anormal, sans possibilité de démontrer a posteriori qui a consulté les données d’un exposant spécifique.

Or, la CNIL peut vous demander, dans le cadre d’un contrôle, de prouver que l’accès aux données personnelles est limité aux seules personnes qui en ont besoin pour l’exercice de leurs fonctions. Un drive partagé avec un fichier Excel accessible à toute l’équipe, y compris les stagiaires, les prestataires externes et les anciens collaborateurs dont les accès n’ont pas été révoqués, ne satisfait pas cette exigence.

Faille 2 : la prolifération incontrôlée des copies

Chaque fois qu’un collaborateur envoie le fichier par email, le télécharge sur son poste local ou le copie pour « travailler dessus », il crée une nouvelle instance des données personnelles qui échappe à tout contrôle centralisé. En cas de violation de données, vous devez être capable de notifier la CNIL dans les 72 heures et d’identifier précisément quelles données ont été compromises. Impossible si les données existent en dix copies dispersées sur autant de postes et de boîtes mail.

Cette problématique de dispersion est directement liée aux enjeux de cybersécurité des données exposants développés dans notre analyse dédiée : chaque copie non contrôlée est une surface d’attaque supplémentaire.

Faille 3 : l’impossibilité de gérer les durées de conservation

Excel ne supprime pas automatiquement les données périmées. Il n’envoie pas d’alerte quand la durée de conservation d’un contact est dépassée. Il ne distingue pas les exposants actifs des contacts historiques dont les données ne devraient plus être traitées. En pratique, les fichiers exposants des organisations événementielles accumulent des données sur dix, quinze, parfois vingt ans, bien au-delà de toute durée de conservation légitime.

Faille 4 : l’absence de chiffrement natif

Un fichier Excel peut être protégé par un mot de passe, mais ce mécanisme est notoire pour sa faiblesse : des outils gratuits permettent de le contourner en quelques minutes. Il n’existe pas de chiffrement de niveau professionnel intégré nativement dans Excel. Les données transitent en clair par email, sont stockées en clair sur les postes locaux, et sont sauvegardées en clair dans les drives cloud non dédiés aux données sensibles. La CNIL considère désormais le MFA et le chiffrement comme des prérequis non négociables pour les bases de données contenant des données personnelles.

Faille 5 : l’impossibilité de répondre aux droits des personnes

Quand un exposant exerce son droit d’effacement : « supprimez toutes les données que vous avez sur moi », vous devez être capable de localiser et supprimer toutes les occurrences de ses données dans l’ensemble de votre système d’information dans un délai d’un mois. Avec des données dispersées dans plusieurs versions d’un fichier Excel, sur plusieurs postes et dans plusieurs archives email, cet exercice est impossible à réaliser de manière exhaustive et vérifiable.

Faille 6 : le partage non contrôlé avec les prestataires

La gestion d’un salon implique de partager des données exposants avec des prestataires externes : agences de communication, régisseurs logistiques, hôtesses d’accueil, traiteurs. Chaque partage de fichier avec un tiers constitue un transfert de données personnelles qui doit reposer sur un contrat de sous-traitance conforme au RGPD. En pratique, ces données sont transmises par simple email sans contrat de sous-traitance formalisé, une non-conformité que les contrôles CNIL identifient systématiquement. Ce risque de sous-traitance non encadrée est également l’un des points soulevés dans notre article sur l’interopérabilité CRM et facturation : chaque intégration non contractualisée entre outils est une faille potentielle.

Le risque réel pour un organisateur de salon : ce que dit la réglementation

Une sanction RGPD peut prendre plusieurs formes : rappel à l’ordre, injonction, limitation d’un traitement, suspension de flux, amende. En procédure ordinaire, une sanction RGPD peut aller jusqu’à 20 M€ ou 4 % du chiffre d’affaires annuel mondial. Pour une ETI organisant plusieurs salons par an, 4 % du chiffre d’affaires annuel représente une somme considérable.

Mais le risque financier direct n’est pas le seul à considérer. Une violation de données exposants comme des adresses, des données bancaires, des coordonnées de contacts, peut déclencher une procédure CNIL initiée non pas par un contrôle proactif, mais par une plainte d’un exposant lésé. Et dans l’univers des salons professionnels B2B, où la réputation est le premier actif commercial, une procédure CNIL rendue publique est un dommage réputationnel potentiellement plus coûteux que l’amende elle-même.

Les organismes qui considèrent encore la protection des données comme une formalité administrative s’exposent à des risques financiers et réputationnels croissants, et ce, qu’ils emploient dix personnes ou dix mille. La taille de l’organisation n’est plus un bouclier. Ce qui compte désormais, c’est la capacité à démontrer des mesures techniques et organisationnelles proportionnées, et un fichier Excel partagé ne constitue pas une mesure proportionnée pour une base de données de plusieurs centaines d’exposants.

Planexpo : de la faille Excel à la conformité par défaut

La bonne nouvelle est que la mise en conformité RGPD d’une organisation événementielle ne nécessite pas un projet informatique de six mois ou le recrutement d’un DPO à temps plein. Elle nécessite de remplacer le fichier Excel par un écosystème de données conçu pour opérer en conformité par défaut, ce que Planexpo fournit nativement.

Un accès aux données strictement contrôlé et tracé

Dans Planexpo, chaque accès aux données exposants est lié à un compte utilisateur nominatif, avec des droits configurables selon le rôle : commercial, chef de projet, prestataire externe. Toute consultation, modification ou export est enregistré dans un journal d’accès auditable. En cas de contrôle CNIL, vous disposez d’une preuve documentaire de qui a accédé à quelles données et à quel moment, l’inverse exact d’un fichier Excel partagé.

Une donnée unique, centralisée, sans prolifération de copies

L’espace exposant Planexpo concentre l’ensemble des données dans un environnement unique. Les collaborateurs travaillent sur la même donnée en temps réel, sans télécharger de copie locale, sans transmettre de fichier par email. La surface d’exposition en cas de violation est réduite à son minimum : une seule instance des données, dans un environnement sécurisé, sans copies dispersées.

La gestion automatisée des durées de conservation

Planexpo permet de configurer des règles de conservation des données conformes à votre politique RGPD : archivage automatique après N éditions sans participation, alerte pour les contacts inactifs depuis X mois, suppression programmée des données périmées. Ce que l’équipe ne peut pas faire manuellement, parce qu’aucun humain ne surveille ligne par ligne un fichier de 800 contacts, le système le fait automatiquement et de manière vérifiable. C’est exactement le type d’automatisation documenté dans notre article sur l’upselling et l’automatisation du portail exposant : les règles configurées une fois agissent de manière continue, sans intervention manuelle.

La traçabilité des consentements et des bases légales

Pour chaque contact de la base, Planexpo enregistre la base légale du traitement, l’origine de la collecte et, le cas échéant, le consentement explicite. Si un exposant exerce son droit d’accès ou son droit d’effacement, la réponse peut être préparée en quelques minutes à partir de données structurées et centralisées et non en plusieurs jours de recherche dans des archives dispersées.

Le cadre contractuel des sous-traitants natif

Tout accès d’un prestataire externe aux données exposants via Planexpo est encadré par les conditions générales de sous-traitance de la plateforme, conformes au RGPD. Le contrat de sous-traitance n’est plus un document à rédiger et à faire signer manuellement pour chaque nouveau prestataire, il est intégré dans les conditions d’accès à la plateforme. Ce point est essentiel pour les organisateurs qui travaillent avec des prestataires récurrents mais dont le cadre contractuel RGPD n’a jamais été formalisé.

La sécurité technique au niveau professionnel

Planexpo opère sur une infrastructure cloud sécurisée, avec chiffrement des données au repos et en transit, authentification multifacteur disponible pour les accès administrateurs, et journalisation des événements de sécurité. Ce niveau de sécurité technique, qu’une organisation événementielle ne pourrait pas atteindre avec un hébergement de fichiers Excel sur un drive grand public, est fourni par défaut, sans investissement infrastructure supplémentaire.

Le plan d’action RGPD pour un organisateur de salon : par où commencer

Passer d’une gestion Excel à une gestion RGPD-compliant ne s’improvise pas, mais ne nécessite pas non plus un chantier de transformation pluriannuel. Voici la séquence recommandée pour une mise en conformité structurée et réaliste.

La première étape est le registre des traitements. Toute organisation traitant des données personnelles doit tenir un registre des activités de traitement. Pour un organisateur de salon, il recense a minima les traitements suivants : données exposants (contrats, facturation, logistique), données visiteurs (inscriptions, badging), données prospects (fichiers de démarchage commercial), données collaborateurs. Ce registre est le document de référence en cas de contrôle CNIL et son absence est sanctionnable.

La deuxième étape est l’audit de vos fichiers existants. Listez tous les endroits où des données personnelles sont actuellement stockées : drives partagés, boîtes mail, postes locaux, CRM, logiciels de facturation. Cet inventaire révèle systématiquement des données oubliées, des copies non contrôlées et des durées de conservation dépassées. C’est le diagnostic qui justifie la migration vers un outil centralisé.

La troisième étape est la centralisation progressive dans Planexpo. Commencez par les données exposants actifs, la base la plus critique en termes de volume et de sensibilité, et migrez-les dans l’écosystème Planexpo. Configurez les règles de conservation et les droits d’accès, et formez l’équipe à ne plus travailler en dehors de la plateforme. L’objectif est d’éliminer le fichier Excel partagé comme outil de référence avant la prochaine édition. Cette centralisation bénéficie directement à l’ensemble de la chaîne commerciale, comme l’illustre le cas client du salon RENT : une donnée centralisée est une donnée exploitable pour le rebooking, la relance et la personnalisation.

La quatrième étape est la formalisation des contrats de sous-traitance. Pour chaque prestataire externe qui accède à des données exposants : agences, régisseurs, hôtesses, vérifiez l’existence d’un contrat de sous-traitance RGPD. Avec Planexpo, les accès prestataires sont encadrés nativement ; pour les prestataires qui reçoivent des données par d’autres canaux, un modèle de DPA (Data Processing Agreement) standard doit être systématiquement signé.

La cinquième étape est la mise en place d’une procédure de réponse aux droits des personnes. Définissez un processus interne pour répondre aux demandes d’accès, de rectification et d’effacement dans le délai réglementaire d’un mois. Avec Planexpo, la réponse à ces demandes est opérationnelle depuis le tableau de bord de gestion des contacts, aucun développement spécifique n’est nécessaire.

RGPD et performance commerciale : les deux faces d’une même médaille

Il serait réducteur de présenter la conformité RGPD uniquement comme une contrainte à subir. Une base de données exposants bien structurée, correctement maintenue et conforme aux règles de conservation est, par définition, une base de données de meilleure qualité et une meilleure base de données est un meilleur outil commercial.

Les contacts dont les données sont à jour, dont les préférences sont documentées et dont l’historique de participation est tracé sont les contacts sur lesquels le rebooking prédictif fonctionne le mieux. Ce n’est pas un hasard : les organisateurs qui ont le taux de renouvellement exposant le plus élevé sont aussi ceux qui ont la donnée la plus propre. La conformité RGPD et la performance commerciale ne s’opposent pas, elles se renforcent mutuellement, à condition que la donnée soit gérée dans un outil conçu pour les deux.

C’est d’ailleurs ce que souligne notre analyse sur les modèles de monétisation hybrides : la valorisation des données exposants et visiteurs comme actif commercial durable n’est possible que si ces données sont structurées, maintenues et conformes, trois propriétés qu’un fichier Excel ne peut pas garantir.

Conclusion : le fichier Excel a rendu de bons et loyaux services. Il est temps de le remercier.

Excel a été l’outil de gestion par défaut de l’événementiel pendant vingt ans. Il a permis d’organiser des milliers de salons avec une souplesse que peu d’autres outils offraient à l’époque. Mais le monde réglementaire a changé, les risques ont changé, et les attentes des exposants, de plus en plus sensibles à la protection de leurs données, ont changé.

En 2026, gérer des centaines de données personnelles dans un fichier non sécurisé, partagé sans contrôle et conservé sans limite de durée n’est plus seulement une mauvaise pratique : c’est une exposition juridique documentable, sanctionnable et publique.

Planexpo n’est pas seulement un logiciel de gestion de salon plus efficace, c’est l’environnement dans lequel votre organisation peut enfin gérer ses données exposants avec la rigueur que la réglementation exige et la performance commerciale que votre activité mérite.