À qui appartiennent les données de vos clients ? Fidélité et RGPD

Réponse courte : vous n'êtes pas propriétaire, vous êtes responsable

En droit, les données de vos clients ne vous « appartiennent » pas comme un stock que vous posséderiez. Le RGPD (Règlement (UE) 2016/679) ne crée aucun droit de propriété sur les données personnelles. Il vous confie un rôle précis, celui de responsable de traitement, assorti d'obligations, et il accorde à vos clients des droits sur leurs informations.

En pratique, le glissement est important : vous n'êtes pas propriétaire, vous êtes responsable. Et cette responsabilité implique de garder la maîtrise de votre base, donc de pouvoir l'exporter à tout moment, sans rester prisonnier d'un outil.

Le RGPD ne parle pas de propriété, mais de responsabilité

Le RGPD raisonne en termes de rôles, pas de possession. Vous êtes le responsable de traitement : c'est vous qui décidez pourquoi et comment les données sont collectées. L'outil que vous utilisez (caisse, carte de fidélité, CRM) est généralement un sous-traitant : il traite les données pour votre compte, selon vos instructions.

Votre client, lui, reste la personne concernée. Il ne perd jamais ses droits sur ses propres données, même après les avoir communiquées. Comprendre ces trois rôles évite la plupart des erreurs : la donnée n'est pas un bien que l'on achète ou que l'on revend librement, c'est une information confiée, encadrée par des règles.

Sur quelle base légale collectez-vous ces données ?

Toute collecte doit reposer sur l'une des bases légales prévues par l'article 6 du RGPD. Pour un programme de fidélité, deux cas reviennent le plus souvent :

• L'exécution du contrat peut justifier la gestion de la carte de fidélité elle-même (cumul de points, accès aux avantages), car le client adhère à un programme.
• Le consentement est généralement requis pour la prospection commerciale par voie électronique (e-mails, SMS promotionnels). La CNIL rappelle que ce consentement doit être libre, spécifique, éclairé et univoque, et qu'il doit pouvoir être retiré aussi facilement qu'il a été donné.

Concrètement : une case à cocher non pré-cochée, une information claire au moment de l'inscription, et un moyen simple de se désinscrire. Vous devez aussi être en mesure de prouver ce consentement.

Finalité, minimisation et durée de conservation

Le RGPD pose le principe de minimisation (article 5) : vous ne collectez que ce qui est nécessaire à un objectif précis. Pour de la fidélité, le numéro de téléphone ou l'e-mail suffisent souvent ; la date de naissance complète ou des données sensibles n'ont, le plus souvent, rien à y faire.

Vous devez aussi définir une durée de conservation. La CNIL recommande de conserver les données d'un prospect 3 ans à compter du dernier contact (dernier achat, clic, ouverture). Au-delà, les données doivent être supprimées ou archivées. Annoncer cette durée à vos clients renforce la confiance et vous met en conformité.

Les droits de vos clients sur leurs données

Vos clients disposent de droits que vous devez pouvoir honorer, en principe sous un mois :

Le droit à la portabilité (article 20) mérite une attention particulière : il s'applique aux données fournies par le client, traitées de façon automatisée, sur la base du consentement ou d'un contrat. Votre outil doit donc être capable de restituer ces données dans un format structuré et lisible par machine.

La vraie question pour un commerçant : pouvez-vous récupérer votre base ?

Au-delà des droits de vos clients, votre enjeu quotidien est simple : rester maître de votre fichier. Si vous changez d'outil demain, pouvez-vous repartir avec vos contacts ?

La réponse est encadrée par l'article 28 du RGPD, qui régit la relation avec un sous-traitant. Le contrat qui vous lie à votre prestataire doit notamment prévoir qu'en fin de relation, vos données vous soient restituées ou supprimées. C'est votre meilleure protection contre l'enfermement (le « lock-in »).

Avant de choisir une solution de fidélité, vérifiez donc trois points :

• L'export de votre base est-il possible, libre et gratuit ?
• Dans quel format ? Un fichier CSV ou Excel exploitable, pas une capture d'écran.
• Que devient votre base si vous résiliez ?

Chez Fidël, cette exigence est au cœur de notre approche : votre base reste la vôtre, exportable quand vous le souhaitez. Vous pouvez découvrir notre offre fondateur à 19 € HT par mois à vie (17 € HT par mois en annuel) et la logique de réseau de commerçants qui vous met en relation avec une clientèle déjà fidèle à Nice et à Paris.

Bonnes pratiques pour un commerçant serein

• Informez clairement au moment de l'inscription : qui collecte, pourquoi, combien de temps, et comment exercer ses droits.
• Recueillez un consentement explicite pour la prospection, et conservez-en la preuve.
• Limitez la collecte au strict nécessaire.
• Tenez un registre simple de vos traitements (obligation pour la plupart des structures).
• Choisissez un outil qui exporte, et lisez la clause de restitution avant de signer.
• Sécurisez l'accès aux données (mots de passe, droits limités par utilisateur).

À titre de repère, le RGPD prévoit des sanctions pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83). L'objectif n'est pas de faire peur, mais de rappeler que la conformité est un investissement de confiance, pas une contrainte de plus.

Cet article est fourni à titre informatif et ne constitue pas un conseil juridique. La réglementation évolue et chaque situation est particulière : pour vos obligations précises, rapprochez-vous d'un professionnel du droit ou consultez directement les ressources officielles de la CNIL.

En résumé

Les données de vos clients ne sont pas votre propriété au sens strict, mais elles relèvent de votre responsabilité, et vos clients conservent des droits sur elles. La bonne posture : collecter peu, informer clairement, recueillir le consentement utile, et surtout choisir un outil qui ne vous retient pas en otage. Garder la possibilité d'exporter votre base, c'est garder votre liberté commerciale.