Carte de fidélité et RGPD : les règles à respecter

Une carte de fidélité collecte des données personnelles : un prénom, souvent un numéro de téléphone, parfois une date d’anniversaire et l’historique des passages. Le RGPD s’applique donc, même pour un petit commerce. Les règles essentielles tiennent en cinq points : collecter le strict nécessaire, informer vos clients, recueillir leur accord avant de leur envoyer des offres, ne pas garder les données indéfiniment, et respecter leurs droits.

Cet article résume les recommandations publiées par la CNIL. Il ne remplace pas un conseil juridique adapté à votre situation.

Collecter uniquement les données utiles

C’est le principe de minimisation : ne demandez que ce qui sert vraiment au programme. Pour une carte de fidélité, le prénom suffit souvent. Le numéro de téléphone n’est utile que si vous en avez un usage précis ; la date d’anniversaire, que si vous souhaitez un message ce jour-là. Moins de champs, c’est aussi plus d’inscriptions.

Informer vos clients

Au moment de l’inscription, le client doit savoir qui collecte ses données, pourquoi, combien de temps elles sont conservées et comment exercer ses droits. Une mention courte sur le formulaire, complétée par une politique de confidentialité accessible, répond à cette obligation.

Recueillir l’accord avant d’envoyer des offres

Le principe : un consentement préalable

Pour la prospection par voie électronique auprès de particuliers, un e-mail par exemple, la règle est le consentement préalable (article L.34-5 du code des postes et des communications électroniques). Selon la CNIL, ce consentement doit être libre, spécifique, éclairé et univoque, et donné par un geste positif : une case à cocher dédiée. Les cases pré-cochées sont interdites, et l’acceptation de conditions générales ne suffit pas. Pour une carte de fidélité, appliquez ce principe à toutes vos offres, notifications de la carte comprises.

L’exception des clients existants

La CNIL admet une exception : un commerçant peut envoyer des offres à ses propres clients pour des produits ou services analogues à ceux qu’ils ont déjà achetés, à condition qu’ils en aient été informés et puissent s’y opposer facilement, au moment de la collecte et dans chaque message. L’exception ne couvre pas les offres de partenaires.

Dans chaque message

Chaque message doit indiquer clairement qui l’envoie et proposer un moyen simple de ne plus en recevoir, par exemple un lien de désinscription dans un e-mail, ou un lien vers ses préférences au dos de la carte de fidélité.

Bon réflexe : séparez les accords. Une case pour adhérer au programme, une autre pour recevoir des offres.

Ne pas conserver les données indéfiniment

Le référentiel de la CNIL sur la gestion des activités commerciales donne des repères (ils ne sont pas contraignants, mais tout écart doit pouvoir être justifié) :

• Pendant l’adhésion : les données du programme de fidélité peuvent être conservées pendant la durée de la relation avec le client.
• Compte inactif : le référentiel retient comme repère une suppression deux ans après la dernière action de la personne, après l’avoir prévenue si possible.
• Prospection : les données utilisées pour vos offres peuvent être conservées trois ans après la fin de la relation commerciale.
• Opposition : la liste des personnes qui ont refusé vos messages est conservée au moins trois ans, uniquement pour respecter ce refus.

Au-delà, supprimez les données ou anonymisez-les de façon irréversible si vous voulez garder des statistiques.

Respecter les droits de vos clients

Vos clients peuvent accéder à leurs données, les faire rectifier ou supprimer, s’opposer à vos offres et retirer leur consentement à tout moment. La CNIL a aussi précisé que le droit à la portabilité s’applique aux programmes de fidélité. Prévoyez un moyen simple d’exercer ces droits et répondez dans un délai d’un mois.

Sécurité et prestataires

Si un prestataire gère votre carte pour vous, il agit comme sous-traitant : un contrat doit encadrer ce qu’il fait des données, et il doit les protéger. Renseignez-vous sur le lieu d’hébergement et sur les autres sous-traitants qu’il utilise. Pensez enfin à inscrire votre programme de fidélité dans votre registre des traitements ; la CNIL propose un modèle simplifié pour les petites structures.

La check-list du commerçant

1. Je ne demande que les données utiles (le prénom suffit souvent).
2. J’informe mes clients au moment de l’inscription.
3. Les accords sont séparés et les cases ne sont jamais pré-cochées.
4. Chaque message indique l’expéditeur et permet de ne plus en recevoir.
5. Je supprime les comptes inactifs au bout d’une durée raisonnable.
6. Un client peut retirer son accord ou supprimer ses données simplement.
7. Mon prestataire est encadré par un contrat et héberge les données de façon sécurisée.

Comment LOYNA vous aide

Sur la page d’inscription LOYNA, l’adhésion au programme et l’accord pour les offres dans le Wallet sont des cases distinctes, jamais pré-cochées. Au dos de chaque carte, un lien « Mes préférences » permet au client de retirer ses accords ou de supprimer ses données, et vous pouvez exporter ou supprimer un client depuis sa fiche. La notification de proximité ne transmet aucune position : c’est le téléphone du client qui détecte qu’il est près de la boutique, et LOYNA ne reçoit jamais sa localisation. Les données du service sont hébergées dans l’Union européenne. Le détail figure dans notre politique de confidentialité.

Pour aller plus loin : comment créer une carte de fidélité et notre guide de la carte de fidélité digitale.

Sources

• CNIL, La prospection commerciale par courrier électronique
• CNIL, Communications par voie électronique aux prospects et clients : quelles règles respecter ?
• CNIL, Questions-réponses sur les référentiels relatifs à la gestion des activités commerciales
• CNIL, Programmes de fidélité : la CNIL précise l’application du droit à la portabilité