RGPD et données clients en commerce : le guide

Dès qu'on parle de données personnelles, la panique n'est jamais loin. Et pourtant, quand on lance une carte de fidélité, un programme de points ou un système de notifications SMS, on récolte forcément des données : noms, prénoms, numéros de téléphone, adresses e-mail, historiques d'achat.

La bonne nouvelle ? Être conforme au RGPD pour un petit commerce n'est pas compliqué. C'est moins une forteresse légale à construire qu'une hygiène à adopter.

Cet article décortique les obligations réelles, sans jargon, pour vous aider à digitaliser votre commerce sans risque juridique.

Une liste de clients est un fichier de données personnelles

Une liste de clients, un historique d'achats, une adresse e-mail collectée lors d'une inscription : techniquement, ce sont des données personnelles. Et dès qu'on touche à des données personnelles, le RGPD s'applique.

Le règlement prévoit un plafond de sanction élevé pour les manquements les plus graves : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83, paragraphe 5 du règlement UE 2016/679). Ce plafond vise évidemment les grandes entreprises. Pour un commerce de proximité, le risque réel n'est pas l'amende record, c'est la mise en demeure et le temps perdu à régulariser un fichier mal constitué.

Qui est concerné ?

Vous êtes commerçant ? Restaurateur ? Coiffeur ? Fromager ? Vous êtes concerné.

Le RGPD s'applique :

• Dès que vous collectez un e-mail ou un numéro de téléphone
• Si vous lancez une carte de fidélité digitale
• Si vous envoyez des SMS ou des e-mails de promotion
• Si vous gérez un compte client en ligne
• Si un client vous demande ses données, car il en a le droit

Les 3 piliers de la conformité

1. Transparence et consentement Avant de collecter un e-mail ou un numéro, vous devez dire au client pourquoi. Pas de collecte silencieuse. Une case « je souhaite recevoir les actualités » fait le travail. Important : la case doit être cochée par le client, jamais pré-cochée. C'est un consentement opt-in, pas opt-out.

2. Minimisation des données Vous avez besoin d'un e-mail pour envoyer une facture ? Prenez l'e-mail. Vous n'avez pas besoin de la date de naissance, de l'adresse et de la profession « au cas où ». Ne collectez que ce qui sert.

3. Droit d'accès et de suppression Si un client demande quelles informations vous détenez sur lui, ou demande à être supprimé, vous devez répondre dans un délai d'un mois (article 12, paragraphe 3 du RGPD).

Les cas qui posent problème (et comment les éviter)

Cas 1 : les cartes de fidélité papier passées au numérique Vous avez des centaines de cartes papier avec des noms et des prénoms, et vous voulez les importer dans un outil numérique.

Problème : ces clients n'ont jamais consenti à cet usage. Solution : contactez-les pour demander l'accord (e-mail, SMS, affichette en magasin) et n'importez que ceux qui ont répondu.

Cas 2 : les SMS marketing sans accord préalable Vous avez le numéro d'un client parce qu'il a passé commande. Lui envoyer un SMS promotionnel sans son accord est interdit : la prospection par SMS suppose un consentement préalable (article L. 34-5 du code des postes et des communications électroniques). Solution : demandez l'accord au moment du paiement, par un formulaire ou un QR code, et gardez la trace de la réponse.

Cas 3 : les données héritées Vous avez un vieux fichier tableur qui traîne depuis des années. Certains numéros sont obsolètes, vous ne savez plus pourquoi telle adresse est là. Solution : nettoyez. Supprimez ce qui n'a plus d'usage, et tenez un registre simple de ce que vous gardez et pourquoi.

Une amende, comment ça arrive réellement ?

Rarement par hasard. Le plus souvent :

1. Une plainte d'un client auprès de la CNIL
2. Une demande d'accès ou de suppression restée sans réponse
3. Une fuite de données mal gérée

Le point commun des deux premiers : ils partent d'un client mécontent qu'on a ignoré. C'est la meilleure raison de traiter les demandes rapidement, avant même la raison légale.

Étape 1 : faire l'inventaire

Posez-vous la question : quelles données je collecte aujourd'hui ?

• Noms, prénoms, e-mails
• Numéros de téléphone (pour les SMS ou les appels)
• Adresses (livraison, facturation)
• Données de paiement (si vous vendez en ligne)
• Données comportementales (historique d'achat, date de dernière visite)

Écrivez-le. Littéralement. Pas besoin d'un dossier d'avocat : un tableur suffit.

La CNIL appelle ça un registre des traitements. Ça sonne officiel, mais c'est juste : quoi, pourquoi, comment, combien de temps.

Étape 2 : clarifier votre « pourquoi »

Pour chaque donnée, demandez-vous : pourquoi je la collecte ?

• E-mail : envoyer les factures et les actualités
• Numéro de téléphone : envoyer les SMS de promotion
• Historique d'achat : personnaliser les recommandations

Si vous ne trouvez pas de raison claire, vous n'avez pas besoin de la donnée.

Étape 3 : demander l'accord proprement

Quand vous collectez une donnée, dites au client pourquoi. Exemples :

À la caisse, sur un formulaire papier ou numérique : « Nous collectons votre e-mail pour vous envoyer votre facture et, si vous l'acceptez, nos promotions. » Case à cocher : j'accepte de recevoir les promotions.

Sur votre site : « Inscrivez-vous pour recevoir nos nouveautés. » Case à cocher : je veux recevoir les actualités.

SMS marketing : « Intéressé par nos offres par SMS ? Répondez OUI à ce message. »

Le piège : n'obligez jamais le client à accepter la prospection pour pouvoir acheter. La facture, oui. Les SMS promotionnels, non. Les deux consentements doivent être séparés.

Étape 4 : documenter le consentement

Gardez une trace du fait que le client a dit oui, et quand :

• Formulaire numérique : enregistrement automatique du consentement
• Formulaire papier : conservez-le ou scannez-le
• Case cochée sur la caisse tactile : votre système l'enregistre
• SMS : conservez le numéro et la date de la réponse

Pas besoin d'usine à gaz. Il faut simplement pouvoir montrer la trace le jour où on vous la demande.

Étape 5 : sécuriser les données

Restez pragmatique.

Qui a accès aux données ?

• Vous
• Votre équipe, à minima pour gérer la fidélité et les factures
• Un prestataire externe, si vous utilisez un logiciel de fidélité ou une plateforme SMS. Dans ce cas, un contrat de sous-traitance est obligatoire (article 28 du RGPD) : votre prestataire doit vous le fournir.

Sécurité informatique minimale :

• Un mot de passe solide sur votre système
• Une sauvegarde régulière
• Pas de tableur de clients qui traîne sur le poste du magasin
• Une connexion sécurisée si vous travaillez depuis chez vous

Ce n'est pas Fort Knox. C'est du bon sens.

Étape 6 : respecter les droits des clients

Un client vous demande ce que vous savez sur lui, ou demande à être effacé.

Droit d'accès : vous devez lui transmettre ses données dans le mois. Format libre : PDF, e-mail, impression.

Droit à l'effacement : il demande la suppression, vous supprimez, sauf si une obligation légale vous impose de conserver la pièce. C'est le cas des documents comptables : les pièces justificatives se conservent dix ans (article L. 123-22 du code de commerce). Une facture n'est donc pas effaçable à la demande, contrairement à une inscription à votre programme de fidélité.

Droit de rectification : il signale une erreur, vous corrigez.

Délai de réponse : un mois, prolongeable de deux mois pour les demandes complexes, à condition d'en informer le client.

Vous tenez une pizzeria et vous voulez lancer un programme de fidélité pour suivre les commandes et envoyer des offres.

Jours 1 à 5 : inventaire Vous listez ce que vous allez collecter : nom, prénom, e-mail, téléphone, adresse de livraison, historique de commandes. Pour chaque ligne, une raison.

Jours 6 à 10 : information des clients À la prochaine commande, vous glissez un papier : « Rejoignez notre programme de fidélité. Voici le QR code pour vous inscrire. » Ou un e-mail à votre base existante avec la même proposition.

Jours 11 à 20 : recueil du consentement Les clients scannent le QR code et s'inscrivent. L'écran dit clairement : « Vos données nous permettent de gérer vos commandes et votre facture. » Puis, séparément : « J'accepte de recevoir des offres personnalisées. » Le premier est nécessaire au service, le second est facultatif, et le client peut utiliser le programme sans l'accepter.

Jours 21 à 30 : sécurité Vous choisissez une plateforme qui héberge les données dans l'Union européenne, vous signez son contrat de sous-traitance, et vous ne conservez rien en clair de votre côté.

Le bénéfice réel de cette rigueur n'est pas d'éviter une amende improbable : c'est d'avoir un fichier propre, dont vous savez d'où vient chaque ligne, et que vous pouvez utiliser sans hésiter le jour où vous voulez relancer vos clients.

• J'ai listé toutes les données que je collecte, sur papier comme en numérique
• Pour chaque donnée, j'ai une raison claire
• Je demande l'accord avant de collecter, sauf pour les données strictement nécessaires au service
• J'explique au client pourquoi je collecte
• Je garde une trace du consentement, avec sa date
• Je sécurise mon système : mot de passe, sauvegarde
• Mon prestataire, si j'en ai un, m'a fourni un contrat de sous-traitance
• Je sais répondre à une demande d'accès ou de suppression dans le mois
• J'ai supprimé ou mis à jour les anciennes données
• Je revois ma conformité une fois par an

Pour un petit commerce, la conformité RGPD se résume à trois habitudes : transparence dans la collecte, sécurité basique, respect des droits. Aucune usine à gaz, aucun jargon à maîtriser.

La plupart des commerçants qui se digitalisent découvrent qu'un programme de fidélité conforme est plus simple qu'ils ne le pensaient, surtout s'ils choisissent un outil qui gère le RGPD pour eux : cartes de points, cartes à tampons digitales ou notifications SMS.

La vraie question n'est donc pas « suis-je conforme au RGPD ? » mais « comment je digitalise mon commerce de manière sûre pour fidéliser mes clients ? »

Si vous lancez une stratégie de fidélité, explorez pourquoi un programme de fidélité est indispensable et comment digitaliser une TPE simplement.