Blog

Parrainage client et RGPD : comment collecter les donnees d'un filleul sans risquer une sanction

Publie le 19/10/2026 · Temps de lecture : 9 min

« Recommandez un ami et gagnez 10 % de reduction » : ce type de programme de parrainage est tres repandu chez les TPE et PME francaises, du e-commerce aux services en ligne, car il transforme un client satisfait en apporteur d'affaires a moindre cout. Beaucoup d'entreprises qui le mettent en place pensent, logiquement mais a tort, qu'il suffit que le parrain soit d'accord pour que tout le dispositif soit conforme. Or le RGPD protege le filleul exactement comme n'importe quelle autre personne dont vous traitez les donnees, et ce des l'instant ou son nom, son email ou son numero de telephone entre dans votre systeme, sans qu'il n'en sache lui-meme rien.

Cet article detaille ce que le RGPD et le droit de la prospection commerciale imposent reellement a un programme de parrainage, et comment le concevoir pour qu'il reste a la fois efficace et conforme.

Sommaire

• 1. Le filleul est une personne protegee par le RGPD, pas une simple piste commerciale
• 2. Deux modeles de parrainage, deux niveaux de responsabilite
• 3. Quelle base legale pour traiter les donnees du filleul
• 4. L'obligation d'informer le filleul : l'article 14 du RGPD
• 5. Contacter le filleul par email : ce que dit le Code des postes et des communications electroniques
• 6. Combien de temps conserver les donnees d'un filleul qui ne repond pas
• 7. Checklist : les points a verifier avant de lancer un programme de parrainage
• Questions frequentes

1. Le filleul est une personne protegee par le RGPD, pas une simple piste commerciale

L'erreur la plus frequente consiste a raisonner comme si seul le parrain comptait juridiquement : c'est lui qui a un compte chez vous, lui qui a accepte vos conditions generales, lui qui a coche une case au moment de son inscription. Le filleul, lui, n'a jamais eu la moindre interaction avec votre entreprise au moment ou ses coordonnees sont renseignees dans votre formulaire de parrainage.

Pourtant, l'article 4.1 du RGPD definit une donnee personnelle comme toute information se rapportant a une personne physique identifiee ou identifiable, sans distinguer selon l'origine de la collecte. Un nom, un email ou un numero de telephone de filleul repond pleinement a cette definition des l'instant ou il est saisi dans votre outil, que ce soit par le parrain via un formulaire sur votre site ou par votre equipe commerciale a partir d'une liste transmise par email. Le consentement du parrain a partager l'information ne vaut pas consentement du filleul : une personne ne peut pas consentir au nom d'une autre pour un traitement qui concerne les donnees de cette autre personne.

2. Deux modeles de parrainage, deux niveaux de responsabilite

Avant de parler de base legale, il faut distinguer deux architectures techniques tres differentes, que beaucoup d'entreprises confondent sans s'en rendre compte.

Dans le modele du partage, votre entreprise ne collecte jamais les coordonnees du filleul. Elle fournit au parrain un lien personnel ou un code de parrainage, que celui-ci transmet lui-meme a qui il souhaite, par son propre email, son propre SMS ou un reseau social, depuis son propre compte. Tant que le filleul n'a pas clique sur ce lien et renseigne lui-meme ses informations, votre entreprise n'a traite aucune donnee le concernant : c'est le parrain qui a agi, dans le cadre d'une communication personnelle qui ne vous engage pas en tant que responsable de traitement.

Dans le modele du formulaire, le parrain renseigne lui-meme, directement sur votre site ou dans votre application, le nom et l'email (parfois le telephone) du filleul, et c'est votre entreprise qui envoie ensuite le message d'invitation. Ici, vous collectez et traitez vous- meme une donnee qui ne vous a pas ete fournie par la personne concernee : vous devenez responsable de traitement a l'egard du filleul des cette collecte, avec toutes les obligations que cela implique.

3. Quelle base legale pour traiter les donnees du filleul

Si vous optez malgre tout pour le modele du formulaire, encore tres repandu car il simplifie le suivi des conversions, vous devez identifier une base legale parmi les six prevues par l'article 6 du RGPD. Le consentement du filleul est exclu par definition au moment de la collecte, puisqu'il n'a encore rien exprime. En pratique, deux options restent envisageables, et aucune ne doit etre choisie par defaut sans reflexion.

L'interet legitime (article 6.1.f) peut justifier la seule reception et le premier traitement technique de la donnee, a condition qu'il soit strictement mis en balance avec les droits et attentes raisonnables du filleul : une personne qui n'a jamais eu affaire a votre entreprise ne s'attend pas a recevoir une sollicitation commerciale de sa part. C'est la raison pour laquelle cet interet legitime ne peut pas, a lui seul, couvrir l'envoi d'un email de prospection : il faut en plus respecter les regles specifiques de la prospection commerciale, detaillees plus bas. Pour aller plus loin sur les principes de consentement et d'interet legitime applicables a l'email marketing, voir notre article sur les regles d'opt-in en e-mailing B2C et B2B.

4. L'obligation d'informer le filleul : l'article 14 du RGPD

Lorsque les donnees ne sont pas collectees directement auprès de la personne concernee, c'est l'article 14 du RGPD qui s'applique, et non l'article 13 habituellement cite pour un formulaire classique. Il impose de delivrer au filleul une information complete (identite du responsable de traitement, finalite, base legale, duree de conservation, droits dont il dispose) au plus tard dans un delai raisonnable apres la collecte, qui ne peut depasser un mois, ou au moment du premier contact avec lui si celui-ci intervient avant ce delai.

Un point est propre a cette situation : l'article 14.2.f exige de preciser la source des donnees. Le filleul doit donc comprendre, dans le message qu'il recoit, que ses coordonnees proviennent d'une personne de son entourage et non d'une collecte directe par votre entreprise. Omettre cette origine, ou la noyer dans une politique de confidentialite generique jamais consultee, ne remplit pas cette obligation specifique.

5. Contacter le filleul par email : ce que dit le Code des postes et des communications electroniques

Independamment de l'analyse RGPD, l'envoi d'un email par votre entreprise directement au filleul releve des regles de prospection commerciale de l'article L.34-5 du Code des postes et des communications electroniques (CPCE). Des lors que le message contient un contenu promotionnel, un code de reduction ou une incitation a l'achat, il s'agit d'une prospection directe envers une personne physique qui n'a jamais ete en contact avec vous : le consentement prealable du destinataire est en principe requis, exactement comme pour tout autre prospect froid.

Comme le filleul n'a, par construction, jamais pu donner ce consentement a votre entreprise au moment de la collecte, deux options restent legalement solides : soit le message qui lui parvient reste une communication strictement personnelle du parrain, envoyee depuis son propre outil et sans intervention de votre entreprise dans son contenu (modele du partage decrit plus haut) ; soit, si vous envoyez vous-meme le message, son contenu doit se limiter a une invitation neutre, sans offre commerciale ni incitation a l'achat, et proposer d'emblee un moyen simple de s'y opposer. Un email d'invitation qui inclut un code promotionnel ou une reduction, envoye directement par votre systeme, bascule dans le regime de la prospection commerciale classique et expose l'entreprise au meme risque qu'un envoi a une liste de contacts achetee sans consentement.

6. Combien de temps conserver les donnees d'un filleul qui ne repond pas

Le principe de minimisation de l'article 5.1.c du RGPD interdit de conserver indefiniment les coordonnees d'un filleul qui n'a donne aucune suite a l'invitation. La finalite du traitement est precise et ponctuelle (enregistrer une eventuelle conversion issue du parrainage), elle ne justifie pas un fichier de prospection durable. En l'absence de toute interaction (clic sur le lien, creation de compte, premier achat), un delai de quelques semaines a quelques mois suffit generalement a couvrir la finalite reelle du programme.

A titre de comparaison, la CNIL recommande, pour un prospect classique sans aucune reponse, une duree maximale de 3 ans a compter du dernier contact avant suppression ou anonymisation reelle. Un filleul sans la moindre interaction depuis sa collecte initiale ne devrait pas rester plus longtemps dans vos fichiers que ce plafond, et le conserver aussi longtemps pour une invitation ponctuelle sans aucun suivi serait difficile a justifier au regard du principe de minimisation.

7. Checklist : les points a verifier avant de lancer un programme de parrainage

• Privilegier le modele du partage : le parrain transmet lui-meme le lien, votre entreprise ne collecte rien avant que le filleul n'agisse de son propre chef.
• Si un formulaire de parrainage collecte directement les coordonnees du filleul, identifier et documenter la base legale retenue dans le registre des traitements.
• Informer le filleul, au plus tard un mois apres la collecte ou au premier contact, conformement a l'article 14 du RGPD, en precisant que la donnee provient d'un parrainage.
• Ne jamais inclure d'offre commerciale ou de code de reduction dans un message envoye directement par votre entreprise au filleul sans son consentement prealable.
• Prevoir un moyen simple pour le filleul de s'opposer au traitement ou d'exiger l'effacement de ses donnees des la premiere sollicitation.
• Supprimer les donnees d'un filleul sans aucune interaction au bout de quelques semaines a quelques mois, et au plus tard dans le delai applicable a un prospect sans suite.

Questions frequentes

A lire aussi

Teletravail & securite

Teletravail et RGPD : comment securiser les donnees quand vos salaries travaillent a distance

Lire

Gouvernance RGPD

Cession du fichier clients : ce que le RGPD impose en cas de vente ou de cessation d'activite

Lire

Relation client & RGPD

Enregistrement des appels telephoniques : ce que le RGPD impose a une TPE ou une PME

Lire