Un programme de fidélité et le RGPD

1. Les informations collectées se rapportent à des personnes physiques identifiées (nom, adresse électronique) : ce sont des données à caractère personnel (article 4, point 1, du RGPD). Leur collecte et leur conservation constituent un traitement ; la boutique en est le responsable.

2. Manquements.

• Minimisation des données : revenus, situation de famille et surtout religion (donnée sensible) ne sont pas nécessaires à une carte de fidélité.
• Limitation de la conservation : aucune durée n'est fixée.
• Intégrité et confidentialité : tous les vendeurs accèdent à tout ; le principe du moindre privilège n'est pas appliqué.
• Licéité, loyauté, transparence et limitation des finalités : la transmission à un partenaire, pour une autre finalité, sans information ni consentement, est irrégulière.

3. Mise en conformité. Ne collecter que le nom, l'adresse électronique et éventuellement la date de naissance (offre d'anniversaire) ; informer les clients de la finalité et de leurs droits ; fixer une durée de conservation (par exemple, suppression après une période d'inactivité) ; restreindre les droits d'accès ; ne transmettre les données à un partenaire qu'avec le consentement préalable des clients ; tenir la documentation du traitement pour pouvoir démontrer la conformité.

Ce qu'il faut retenir. Le RGPD ne s'oppose pas au marketing ; il impose de collecter peu, pour une finalité claire, en toute transparence et en sécurité.