RGPD et fidélité : collecter les données de vos clients en toute légalité

Un programme de fidélité, par nature, collecte des données personnelles : email, nom, historique d'achats, fréquence de visite. C'est précisément ce qui le rend utile — et ce qui le soumet au RGPD. Bonne nouvelle : pour un commerçant, la conformité tient en quelques principes clairs, et la CNIL les explique noir sur blanc. Voici l'essentiel.

Cet article est une synthèse pédagogique des recommandations de la CNIL. Il ne remplace pas un conseil juridique adapté à votre situation.

1. Avoir une base légale (et c'est simple ici)

Pour faire fonctionner le programme lui-même (enregistrer les points, attribuer les récompenses), la base légale est l'exécution du contrat que vous passez avec le client adhérent : il s'inscrit, vous gérez sa fidélité. La CNIL cite explicitement « l'enregistrement de l'historique des achats dans un programme de fidélité en échange de promotions » comme un service légitime^[1].

2. Informer au moment de la collecte

Quand un client s'inscrit, vous devez l'informer clairement de ce que vous faites de ses données^[1] : qui collecte, pourquoi, combien de temps, et quels sont ses droits. En pratique, une courte mention sur le formulaire d'inscription + une politique de confidentialité accessible suffisent.

3. Le consentement, uniquement là où il le faut

Distinguez deux choses :

• Faire vivre la carte (points, récompenses) : pas besoin de consentement spécifique, c'est l'exécution du contrat.
• Envoyer de la prospection (offres, newsletters par email/SMS à des particuliers) : il faut en principe un consentement préalable, « libre, spécifique, éclairé et univoque » — une case à cocher dédiée, jamais pré-cochée^[2].

4. Ne pas conserver les données indéfiniment

La CNIL recommande une règle simple pour la relation client : conserver les données pendant la relation commerciale, puis 3 ans à compter du dernier contact du client (dernier achat, dernière interaction)^[3]. Au-delà, on supprime ou on anonymise. Pour les prospects non-clients, c'est aussi 3 ans à compter du dernier contact^[3].

5. Ne jamais collecter de données sensibles

Un programme de fidélité n'a aucune raison de demander des données dites « sensibles » au sens de l'article 9 du RGPD : origine ethnique, opinions politiques ou religieuses, données de santé, orientation sexuelle, données biométriques… Leur traitement est interdit par principe^[4]. Limitez-vous au strict nécessaire : email, nom, historique d'achats.

6. Respecter les droits de vos clients

Chaque client peut demander à accéder à ses données, les corriger, les faire effacer, ou s'opposer à la prospection. Vous disposez d'un délai maximal d'un mois pour répondre^[5]. Prévoyez un simple email de contact dédié — c'est suffisant pour un commerce.

La checklist du commerçant conforme

• ✅ Une mention d'information sur le formulaire d'inscription
• ✅ Une case à cocher dédiée (non pré-cochée) pour la prospection
• ✅ Une politique de confidentialité accessible
• ✅ Une durée de conservation définie (3 ans après le dernier contact)
• ✅ Aucune donnée sensible collectée
• ✅ Un moyen simple de se désinscrire et d'exercer ses droits
• ✅ Un hébergement des données en Europe

Choisir un outil conçu pour le RGPD

Le plus simple reste de s'appuyer sur une solution qui intègre ces exigences. Cartezia est une plateforme française, hébergée en Europe : les données restent dans l'UE, la collecte est limitée à l'essentiel, et vos clients gardent la main sur leurs informations. Vous vous concentrez sur la fidélisation, pas sur la paperasse.