Quelles sont les obligations RGPD pour la collecte en magasin ?
Avant toute collecte, vérifiez cinq points dans cet ordre : la finalité, la base légale, la minimisation des données, l’information des personnes et l’inscription au registre [4].
Minimisation, « Privacy by design » et choix de la base légale
Le client peut s’opposer librement à la communication de tout ou partie des informations personnelles le concernant. Notre astuce : collecter le moins de données possible.
Selon le RGPD, les commerçants ne doivent collecter que les données nécessaires à l’objectif poursuivi (« Privacy by default »). Nos astuces :
- Transmettre des cartes de fidélité opérationnelles sans information personnelle, à activer ensuite sur Internet.
- Se limiter à la collecte de l’e-mail.
À chaque donnée collectée correspond une finalité définie dès la conception (privacy by design), formalisée dans le registre des traitements. Les commerçants s’appuient sur trois bases légales : le consentement (36 %), l’exécution d’un contrat (16 %) et l’intérêt légitime (16 %). Dans 32 % des cas, la base légale n’est pas identifiée dans la charte. Renseignez-vous avant de choisir.
Nos astuces :
- Identifier les interactions avec les clients et leurs conséquences sur le traitement des données.
- Pour chaque traitement, décrire les données collectées, l’objectif, le temps de conservation et le fondement juridique.
Information sur le lieu de collecte et charte de confidentialité
Le RGPD impose de tracer toutes les décisions du client concernant ses données, en magasin comme en ligne. L’article 13 du RGPD impose une information « concise, transparente, compréhensible et aisément accessible » au moment de la collecte. Les clients reçoivent cette information par différents moyens :
- une mention sur les questionnaires d’adhésion ;
- un flyer transmis à l’inscription au programme ;
- des informations mises en avant lors d’un auto-enregistrement sur les bornes en magasin.
D’après l’étude Univers Retail / Generix Group, moins de 15 % des enseignes ont saisi l’opportunité du RGPD pour communiquer avec leurs clients. Les chartes de confidentialité doivent inclure : coordonnées du responsable de traitement (RT) et du délégué à la protection des données (DPD), finalités, destinataires des données, transferts éventuels et durée de conservation.
La notice doit être accessible et distincte des CGV. Seules 50 % des chartes sont réellement faciles d’accès. 66 % des notices concernent la seule collecte digitale. Seules 45 % ont un niveau d’information jugé adéquat.
Nos astuces :
- Disposer d’une notice accessible depuis les comptes clients et la page d’accueil.
- Analyser la collecte en point de vente au même titre que la collecte digitale.
- Indiquer les délais de conservation, les moyens de protection et les actions prévues en cas de violation.
Points de vigilance : profilage, partage entre enseignes et mineurs
Le profilage exige le consentement des clients et une étude d’impact. Le partage de données entre enseignes nécessite information et consentement. Pour les mineurs de moins de 15 ans, le RGPD impose une protection particulière : identifiez le titulaire de l’autorité parentale pour recueillir, traiter et conserver ces données.
Notre astuce : créez une structure dédiée à la mutualisation des bases si vous faites partie d’un groupe multi-enseignes.