Carte de fidélité et RGPD : ce qu'un commerçant a le droit de faire

Le premier principe du RGPD est la minimisation : vous ne collectez que les données réellement nécessaires au fonctionnement de votre programme. Pour une carte de fidélité, cela se résume presque toujours à un prénom et à un seul moyen de contact — un email OU un numéro de téléphone, pas les deux « au cas où ».

Tout le reste — date de naissance, adresse postale, profession, composition du foyer — ne se collecte que si vous avez une finalité précise et légitime qui le justifie. Demander une date de naissance « pour offrir un cadeau d'anniversaire » peut se défendre ; la demander sans usage réel est une donnée de trop.

La règle est simple à retenir : plus vous collectez, plus vous portez de responsabilité. Chaque champ de votre formulaire est une donnée à sécuriser, à conserver correctement et à pouvoir supprimer sur demande. Un formulaire court n'est pas seulement plus confortable pour le client — c'est aussi votre meilleure protection.

Le RGPD exige que tout traitement de données repose sur une « base légale ». Pour une carte de fidélité, il faut distinguer deux usages, qui n'ont pas la même base.

Le fonctionnement du programme lui-même — compter les points ou les tampons, déclencher et délivrer la récompense — relève de l'exécution du contrat que le client accepte en adhérant. En rejoignant votre programme, il conclut un accord simple : il cumule, vous récompensez. Cette partie ne nécessite pas de consentement séparé, car elle est indispensable au service que le client a demandé.

L'usage marketing — relance, promotion, prospection — est une autre histoire. Il nécessite en principe le consentement du client : un opt-in libre, éclairé et spécifique. Vous ne pouvez pas « forcer » ce consentement en le rendant obligatoire pour obtenir la carte. Un client doit pouvoir profiter de sa fidélité sans être obligé d'accepter vos messages promotionnels.

Pour être valable, le consentement doit être libre, éclairé, spécifique et univoque. En pratique, cela se traduit par des choix concrets au moment de l'inscription.

« Libre » signifie que le client peut adhérer au programme sans être obligé d'accepter la prospection : les deux décisions sont séparées. « Éclairé » veut dire qu'un texte clair explique ce que vous faites des données, avec un lien vers votre politique de confidentialité. « Spécifique » impose de distinguer les finalités plutôt qu'un vague « j'accepte tout ». « Univoque » écarte toute ambiguïté : une case à cocher NON pré-cochée, jamais un silence interprété comme un oui.

Le point le plus souvent raté est la case pré-cochée. Une case déjà cochée par défaut n'est pas un consentement valable au sens du RGPD. Le client doit accomplir un geste positif pour accepter.

La prospection commerciale par email ou SMS envers des particuliers suppose en principe un consentement préalable — l'opt-in. C'est la règle de base pour le démarchage.

Il existe toutefois une tolérance, souvent appelée « opt-in assoupli », pour l'email adressé à vos propres clients, au sujet de produits ou services analogues à ceux qu'ils ont déjà achetés, et à condition de leur offrir un moyen simple de se désinscrire à tout moment. Pour le SMS, en revanche, le consentement reste la règle la plus sûre.

Le cas des notifications Wallet est différent, et c'est un avantage concret. La notification qui arrive dans Apple Wallet ou Google Wallet ne nécessite ni numéro de téléphone ni opt-in SMS : le client qui ajoute votre carte à son Wallet accepte d'en recevoir les mises à jour. Il reste recommandé de respecter la finalité (informer sur la fidélité, pas spammer) et de permettre le retrait à tout moment — supprimer la carte suffit à couper le canal.

Le RGPD impose une limitation de la conservation : les données ne se gardent que le temps nécessaire à la finalité pour laquelle elles ont été collectées. On ne conserve pas un fichier client « à vie » par confort.

Pour les données de clients et de prospects, la CNIL retient couramment une durée de l'ordre de 3 ans à compter du dernier contact — dernière visite, dernier achat, dernière interaction. Au-delà, il faut supprimer les données ou les anonymiser. Ces durées sont indicatives : à vous de les adapter à votre activité et, surtout, de les documenter.

Documenter, ici, veut simplement dire écrire quelque part quelle durée vous appliquez et pourquoi. C'est cette trace qui montre votre conformité en cas de contrôle, bien plus qu'une durée « parfaite » choisie au hasard.

Le RGPD donne au client une série de droits sur ses données, que le commerçant doit être en mesure d'honorer : droit d'accès (savoir ce que vous détenez), de rectification (corriger une erreur), d'effacement (le « droit à l'oubli »), d'opposition (refuser un traitement, notamment la prospection) et de portabilité (récupérer ses données).

Concrètement, deux obligations en découlent. D'abord informer : mentionner l'existence de ces droits et un moyen de contact, généralement dans votre politique de confidentialité ou sur le support d'inscription. Ensuite pouvoir agir : si un client demande la suppression de ses données, vous devez être capable de la réaliser dans un délai raisonnable.

Un bon outil de fidélité facilite grandement ce point en rendant la suppression d'un client immédiate depuis votre tableau de bord, sans manipulation technique de votre part.

Le commerçant reste le responsable de traitement : c'est lui qui décide des finalités (pourquoi collecter) et des moyens principaux. Cette responsabilité ne se délègue pas à l'outil que vous utilisez.

Un outil de fidélité comme Passcard agit, lui, en sous-traitant : il traite les données pour votre compte, avec un hébergement dans l'Union européenne, une sécurisation des données et un mécanisme de suppression. Cela n'exonère pas le commerçant de ses obligations — mais un bon outil les facilite au quotidien : consentement recueilli proprement à l'inscription, minimisation appliquée par défaut (un prénom, un contact), suppression d'un client en un clic, et données hébergées en Europe.

D'ailleurs, chez les commerces équipés Passcard, la grande majorité des programmes n'ont besoin que d'un prénom et d'un seul moyen de contact pour fonctionner — ce qui place la minimisation, exigée par le RGPD, au cœur même du produit plutôt qu'en option à activer.

Tenir une carte de fidélité conforme au RGPD n'a rien d'insurmontable : collectez peu, informez clairement, séparez l'adhésion au programme de l'accord marketing, sécurisez, fixez une durée de conservation et sachez supprimer sur demande. La plupart de ces réflexes sont, en plus, du bon sens commercial.

Cet article donne des repères généraux et ne constitue pas un conseil juridique. Pour votre situation précise, consultez le site de la CNIL (cnil.fr) ou un professionnel du droit.