Oui, un petit commerce belge peut tenir un club de fidélité dans le respect du RGPD, à condition de ne collecter que les données utiles et d’avoir une base juridique pour chaque finalité. Pour la carte elle-même, le contrat suffit en principe ; pour les messages promotionnels, prévoyez l’accord du client.
C’est moins compliqué qu’il n’y paraît. Ce guide passe en revue les données à demander, la base juridique qui convient à chaque usage, ce qu’il faut dire aux membres et comment gérer une demande de suppression. Une liste de contrôle en dix points clôt l’article.
Quelles données un club de fidélité demande-t-il vraiment ?
La règle de base du RGPD est la minimisation : vous ne collectez pas plus que ce dont vous avez besoin. Pour une carte à tampons, c’est étonnamment peu.
Pour que la carte fonctionne, il faut généralement :
- Un prénom, pour que l’équipe puisse saluer le client et vérifier que la bonne carte est scannée.
- Une adresse e-mail, pour retrouver la carte en cas de changement de téléphone et prévenir qu’une récompense attend.
- L’historique des tampons, c’est-à-dire quand un tampon a été ajouté et quand une récompense a été utilisée. Sans cela, il n’y a pas de carte.
Ce qu’il ne faut normalement pas demander : numéro de registre national, adresse postale, numéro de téléphone, sexe, date de naissance. Chaque champ en plus est une donnée que vous devez justifier, protéger et mentionner. Un formulaire plus court est aussi plus rapide au comptoir : plus de clients s’inscrivent.
Quelle base juridique pour quel usage ?
Le RGPD demande de choisir une base juridique pour chaque finalité. Pour un club de fidélité, deux reviennent souvent.
| Finalité | Base juridique habituelle | Remarque |
|---|---|---|
| Faire fonctionner la carte (tampons, récompenses) | Contrat (art. 6, 1, b) | Le client a demandé la carte |
| Messages promotionnels, nouveautés | Consentement, à recueillir séparément | Case facultative, non précochée |
| Statistiques internes sur les passages | Intérêt légitime ou contrat, selon le cas | Restez sobre et transparent |
Pour les e-mails et messages promotionnels, les règles belges sur la communication électronique s’ajoutent au RGPD et prévoient en principe un accord préalable, avec des exceptions limitées. Le plus sûr est de traiter toute notification promotionnelle, y compris sur une carte Apple Wallet ou Google Wallet, comme un e-mail : ne l’envoyer qu’aux clients qui ont dit oui.
Que dire aux membres ?
Les articles 13 et 14 du RGPD demandent de l’information claire. Pour un petit club, une courte politique de confidentialité suffit, accessible depuis l’inscription. Elle indique :
- qui vous êtes et comment vous joindre,
- quelles données vous collectez et pourquoi,
- sur quelle base (contrat, consentement),
- combien de temps vous les gardez,
- avec qui vous les partagez, par exemple votre fournisseur de carte,
- les droits du client : accès, rectification, suppression, retrait du consentement, plainte auprès de l’APD.
Écrivez-la en français simple, et en néerlandais si vous servez aussi des clients néerlandophones.
Comment traiter une demande de suppression ?
Un client peut demander l’effacement de ses données. Vous devez en principe répondre dans un délai d’un mois (art. 12 du RGPD). Concrètement :
- Vérifiez qui demande, par exemple depuis l’adresse e-mail liée à la carte.
- Supprimez la carte et les données associées, ou anonymisez ce qui doit être conservé pour une raison légale.
- Confirmez par écrit au client.
Fixez aussi une durée de conservation par défaut. Une règle simple, comme supprimer les cartes sans activité depuis deux ans, est plus défendable que de tout garder indéfiniment.
Et le fournisseur de la carte ?
Vous êtes le responsable du traitement : c’est vous qui décidez pourquoi et comment les données sont utilisées. Le fournisseur de la carte digitale est un sous-traitant, et le RGPD (art. 28) demande un contrat écrit avec lui. Vérifiez où les données sont hébergées, comment elles sont protégées, si vous pouvez les exporter et ce qui se passe à la fin du contrat. En cas de fuite de données personnelles, le responsable du traitement doit en principe la notifier à l’APD dans les 72 heures (art. 33) : votre sous-traitant doit donc vous prévenir sans délai.
Liste de contrôle en dix points
- Je ne demande que prénom et e-mail, sauf besoin précis.
- La carte repose sur le contrat, pas sur un consentement forcé.
- Les messages promotionnels sont sur une case séparée, facultative et non précochée.
- J’ai une courte politique de confidentialité, dans les langues de mes clients.
- J’ai un contrat de sous-traitance avec mon fournisseur.
- Je sais où sont hébergées les données.
- J’ai une durée de conservation et je la respecte.
- Je sais traiter une demande d’accès ou de suppression sous un mois.
- Mon équipe sait qu’elle ne doit pas copier la liste des clients dans un tableur personnel.
- Je sais que, en cas de fuite, il faut réagir vite et notifier l’APD si nécessaire.
En résumé
Un club de fidélité est compatible avec le RGPD : peu de données, une base juridique claire par usage, l’accord du client pour la promotion et un contrat avec votre fournisseur. Pour comprendre ce que la carte coûte, lisez le prix d’une carte de fidélité digitale, ou retournez à la page d’accueil. Quand vous envoyez des notifications, voyez comment éviter d’agacer vos clients.