Blog

Programme de fidelite et carte client : les obligations RGPD pour les commercants

Publie le 25/10/2026 · Temps de lecture : 10 min

Carnet de tampons chez le boulanger, carte plastifiee en caisse d'un magasin de vetements, application mobile qui cumule des points a chaque passage : le programme de fidelite est l'un des traitements de donnees les plus repandus dans le commerce de detail francais, et pourtant l'un des moins audites. La raison est simple : il parait anodin, presente comme un service rendu au client plutot que comme une collecte de donnees. Sur le plan juridique, la distinction n'existe pas. Du moment qu'un nom, un numero de telephone, un email ou un historique d'achats est rattache a une personne identifiee, le RGPD s'applique integralement, que le support soit une carte papier tamponnee a la main ou une application connectee a une base de donnees centralisee.

Cet article detaille ce que le RGPD impose concretement a une TPE ou une PME qui gere, ou envisage de mettre en place, un programme de fidelite : quelle base legale retenir, quelles donnees collecter, combien de temps les garder, et comment traiter le profilage marketing qui accompagne souvent ces programmes.

Sommaire

• 1. Pourquoi un programme de fidelite est un traitement de donnees personnelles
• 2. Quelle base legale retenir : contrat, consentement ou interet legitime
• 3. Quelles donnees collecter, et lesquelles eviter
• 4. Combien de temps conserver le profil d'un adherent
• 5. Profilage marketing et droit d'opposition
• 6. Programmes communs et partage avec des partenaires
• 7. Mise en oeuvre pratique : formulaire, mentions, registre
• Questions frequentes

1. Pourquoi un programme de fidelite est un traitement de donnees personnelles

L'article 4 du RGPD definit une donnee personnelle comme toute information se rapportant a une personne physique identifiee ou identifiable. Un numero de carte de fidelite rattache a un nom, un numero de telephone utilise pour retrouver un compte en caisse, ou meme un simple historique d'achats associe a une adresse email repondent tous a cette definition. Le « traitement » commence des l'enregistrement de l'adhesion et se poursuit a chaque passage en caisse qui vient enrichir le profil : articles achetes, montant depense, frequence de visite, magasin frequente.

Cette qualification entraine des consequences concretes : information obligatoire au moment de la collecte (article 13), tenue d'un registre des traitements (article 30, obligatoire meme pour une petite structure des que le traitement est regulier), securisation des donnees (article 32), et respect des droits des personnes concernees a tout moment de la relation. Beaucoup de commercants qui n'auraient jamais imagine gerer un « fichier client » au sens RGPD le font pourtant sans le savoir, des la premiere carte de fidelite distribuee.

2. Quelle base legale retenir : contrat, consentement ou interet legitime

L'article 6 du RGPD impose de rattacher chaque finalite de traitement a l'une de ses six bases legales. Pour un programme de fidelite, trois bases se combinent generalement, chacune pour une finalite differente :

• L'execution du contrat (article 6.1.b) couvre la gestion courante du programme : creation du compte, calcul et cumul des points, edition de bons de reduction lies au solde, service client en cas de litige sur les points. Cette base ne necessite pas de consentement distinct, de la meme maniere qu'un contrat de vente ordinaire.
• Le consentement (article 6.1.a) devient necessaire pour tout ce qui depasse la gestion contractuelle : envoi d'une newsletter commerciale, notifications push sur l'application, partage des donnees avec un partenaire exterieur au programme.
• L'interet legitime (article 6.1.f) peut justifier une analyse statistique agregee et non intrusive des habitudes d'achat (par exemple, ajuster les stocks d'un rayon selon la saisonnalite constatee), a condition qu'elle reste proportionnee et que l'adherent ait ete informe de cette finalite, avec la possibilite de s'y opposer.

L'erreur frequente consiste a demander un consentement global « j'accepte le traitement de mes donnees » en bas du formulaire d'adhesion, sans distinguer ces finalites. Un consentement qui melange gestion contractuelle et prospection commerciale dans une seule case a cocher n'est pas conforme au principe de consentement specifique pose par l'article 4.11 du RGPD : chaque finalite doit pouvoir etre acceptee ou refusee independamment des autres.

3. Quelles donnees collecter, et lesquelles eviter

Le principe de minimisation (article 5.1.c du RGPD) impose de ne collecter que les donnees necessaires a la finalite poursuivie. Pour un programme de fidelite classique, un socle restreint suffit generalement : nom, prenom, email ou numero de telephone (pour retrouver le compte en caisse et envoyer les communications acceptees), et l'historique d'achats genere automatiquement par les passages en caisse.

Deux categories appellent une vigilance particuliere. La date de naissance complete n'est utile que si le programme propose une offre specifique le jour de l'anniversaire : dans ce cas, le mois et le jour suffisent, l'annee de naissance n'apportant rien a cette finalite precise. Et l'adresse postale complete n'a de sens que pour un envoi physique (catalogue, courrier) : si toutes les communications passent par email ou application, la collecter par defaut n'est pas justifie. A chaque champ ajoute au formulaire d'adhesion, la question a se poser est simple : ce champ sert-il reellement une finalite annoncee au client, ou est-il collecte « au cas ou » ?

4. Combien de temps conserver le profil d'un adherent

Le RGPD ne fixe pas de duree chiffree pour les programmes de fidelite : l'article 5.1.e pose un principe de limitation de la conservation, et laisse au commercant la charge de determiner une duree proportionnee a l'activite du client. En pratique, la logique retenue pour la plupart des fichiers clients s'applique ici aussi : un compte de fidelite reste pertinent tant que l'adherent effectue des achats reguliers, et perd sa justification apres une longue periode sans aucune activite, generalement de l'ordre de 3 ans sans achat ni connexion a l'application.

Passe ce delai d'inactivite, deux options conformes : la suppression du compte et du solde de points, ou son archivage dans une base distincte, a acces restreint, le temps strictement necessaire pour repondre a une eventuelle reclamation. Ce qui n'est jamais conforme, c'est de laisser un profil inactif indefiniment dans la base de production active, accessible a l'ensemble des outils marketing, « au cas ou le client reviendrait ».

5. Profilage marketing et droit d'opposition

Beaucoup de programmes de fidelite modernes depassent le simple cumul de points : ils segmentent les adherents selon leurs habitudes d'achat (frequence, panier moyen, rayons preferes) pour cibler des offres personnalisees. Cette pratique constitue un profilage au sens de l'article 4.4 du RGPD, et l'article 21.2 accorde a toute personne un droit d'opposition absolu des que ce profilage est lie, meme indirectement, a de la prospection commerciale. Absolu signifie ici que le commercant ne peut pas opposer un motif legitime pour le refuser, a la difference du droit d'opposition general de l'article 21.1 : des que le client s'oppose, le profilage marketing doit cesser.

Ce droit doit pouvoir s'exercer facilement, sans justifier d'un motif ni passer par une procedure lourde : un lien de desinscription dans chaque email, une option dans l'application, ou une simple demande en caisse ou par email au service client. Important : refuser le profilage marketing ne peut pas entrainer la perte des points deja acquis ni l'exclusion du programme, puisque la gestion du solde de points repose sur une base legale distincte (le contrat d'adhesion), non affectee par ce refus.

6. Programmes communs et partage avec des partenaires

Certains programmes de fidelite sont partages entre plusieurs enseignes independantes (reseau de franchises, carte commune a plusieurs commercants d'un centre-ville ou d'une zone commerciale). Dans ce cas, le RGPD impose d'identifier clairement, au moment de l'inscription, quelles entites recoivent les donnees et pour quelle finalite exacte. Une mention vague du type « vos donnees peuvent etre partagees avec nos partenaires » ne suffit pas : l'adherent doit pouvoir consulter, facilement et sans effort disproportionne, la liste precise de ces partenaires, par exemple via un lien accessible depuis le formulaire d'adhesion ou la politique de confidentialite.

Selon l'organisation retenue, les enseignes partenaires peuvent etre responsables conjoints du traitement au sens de l'article 26 du RGPD (elles decident ensemble des finalites et des moyens du programme commun), ou l'une d'elles peut agir comme sous-traitant d'une autre qui pilote seule le programme. Cette repartition doit etre formalisee par un accord ecrit qui precise qui repond aux demandes des adherents, qui notifie une eventuelle violation de donnees, et comment les responsabilites se partagent en cas de controle de la CNIL.

7. Mise en oeuvre pratique : formulaire, mentions, registre

Concretement, trois elements permettent de mettre un programme de fidelite en conformite sans bouleverser son fonctionnement commercial :

• Un formulaire d'adhesion clair, qui distingue visuellement les champs necessaires a la gestion des points (sans case a cocher) des cases de consentement pour la prospection commerciale (non pre-cochees), accompagne d'un resume des finalites, de la duree de conservation et du moyen de contact pour exercer ses droits, conformement a l'article 13 du RGPD.
• Une entree dans le registre des traitements(article 30), meme succincte pour une petite structure : finalite, categories de donnees, destinataires, duree de conservation et mesures de securite appliquees a la base clients.
• Un canal simple pour les droits des adherents : acces a l'historique de points, rectification d'une coordonnee erronee, opposition au profilage et suppression du compte, sans que ces demarches necessitent de se deplacer en magasin ou de passer par un formulaire complexe.

Ces trois chantiers representent, pour la plupart des TPE et PME, quelques jours de travail et aucun changement visible pour le client au comptoir : le programme continue de fonctionner a l'identique, avec une base juridique solide derriere.

Pour approfondir le cas particulier de la prospection par email, qui accompagne frequemment un programme de fidelite, voir notre article sur les regles d'opt-in a respecter en e-mailing.

Questions frequentes

A lire aussi

Profilage & decisions automatisees

Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir

Lire

E-mailing & prospection

Achat ou location de fichiers de prospection : ce que le RGPD exige avant d'utiliser une base de contacts achetee

Lire

SMS & prospection

Prospection par SMS : les regles RGPD specifiques que l'e-mailing ne couvre pas

Lire