Carte de fidélité et RGPD : ce que la loi sur la protection des données demande à un petit commerce

Carte de fidélité et RGPD : qui est responsable des données clients ?

Pour toute question de RGPD (GDPR) sur une carte de fidélité, la première étape consiste à déterminer qui décide du sort des données. En règle générale, c’est l’entreprise qui propose la carte : elle est le responsable du traitement, doit respecter les principes de l’article 5 du règlement (UE) 2016/679, le RGPD, et doit pouvoir démontrer qu’elle le fait. L’éditeur du logiciel qui héberge les cartes agit en général comme sous-traitant, dans le cadre d’un contrat qui, comme le rappelle l’autorité italienne (le Garante), doit répondre aux exigences de l’article 28.

Avec Iterum, la notice que les clients ouvrent depuis leur propre carte désigne le commerce comme responsable du traitement et FIDUS S.R.L. comme sous-traitant, qui fournit la plateforme. Les clients n’ont aucune case à cocher pour obtenir la carte : en l’ajoutant ou en la créant, ils acceptent les conditions de la carte et confirment avoir lu la notice, tandis que les récompenses extra et les offres relèvent d’un choix distinct et facultatif, «Sì, li voglio» ou «No, grazie». Fidus n’est responsable de traitement indépendant que pour les consentements aux actualités d’Iterum donnés par le passé : Iterum ne les recueille plus.

Ce guide résume des sources officielles à l’intention des gérants de petits commerces, avec des sources italiennes car Iterum s’adresse aux commerces italiens. Il ne constitue pas un conseil juridique : pour votre situation, adressez-vous à un conseiller en protection des données ou à votre expert-comptable. En dehors de l’Italie, vérifiez les règles et l’autorité de votre pays.

Quelles données une carte de fidélité doit-elle demander ?

Le principe de minimisation des données de l’article 5 du RGPD exige des données adéquates, pertinentes et limitées à ce qui est nécessaire. Pour les cartes de fidélité, le Garante l’avait déjà précisé dans sa décision générale du 24 février 2005 : pour la seule finalité de fidélisation, seules les données nécessaires pour accorder les avantages de la carte peuvent être traitées, c’est-à-dire celles qui identifient le titulaire et, si c’est vraiment indispensable, le montant total dépensé, sans le détail des produits.

Pour une carte à tampons, la donnée essentielle tient souvent en un seul fait : cette carte a cumulé ces passages, comme les petits-déjeuners d’une carte de fidélité pour cafés ou les coupes d’une carte de fidélité pour barbiers. Un nom, un e-mail ou un numéro de téléphone peut aider l’équipe à reconnaître le client ou à récupérer la carte après un changement de téléphone ; une date de naissance n’a de sens que si vous proposez réellement une récompense d’anniversaire. Des idées pour choisir la récompense figurent dans le guide des idées de récompenses pour carte de fidélité.

Les clients doivent-ils consentir à une carte de fidélité ?

Pour la carte elle-même, normalement non. L’article 6 du RGPD prévoit plusieurs bases juridiques en plus du consentement, notamment l’exécution d’un contrat et les intérêts légitimes. En 2005, le Garante a écrit que le traitement à des fins de fidélisation au sens strict est nécessaire à l’exécution du contrat avec le client et que, dans ce cas, il n’est pas correct de demander un consentement.

Le consentement est en revanche nécessaire pour ce qui dépasse la carte : le profilage et le marketing. La décision de 2005 exige un consentement spécifique, éclairé et distinct pour chacune de ces finalités, et précise que l’adhésion au programme ne peut pas être subordonnée à ce consentement. Le résumé des obligations des responsables de traitement publié par le Garante ajoute, au titre de l’article 7 du RGPD, que le consentement doit se distinguer des autres demandes, peut être retiré et n’est jamais implicite : pas de cases précochées.

Dans la notice de la carte Iterum, le fonctionnement de la carte repose sur l’exécution du contrat de la carte, dont le client accepte les conditions en ajoutant ou en créant la carte, sans case à cocher, tandis que les offres du commerce font l’objet d’un consentement distinct et facultatif : la carte demande «Vuoi premi extra e offerte da …?» (Voulez-vous des récompenses supplémentaires et des offres de … ?) et le client répond «Sì, li voglio» ou «No, grazie», sans rien de présélectionné. Un refus n’empêche personne d’utiliser la carte, et avant 14 ans la question n’est jamais posée. Iterum ne recueille plus de consentement à ses propres actualités. Depuis le 17 octobre 2026, la notice indique aussi l’origine du client, c’est-à-dire l’invitation d’un ami («Bring a friend») ou le QR code d’un promoteur du commerce, et cite les récompenses de parrainage parmi les finalités, sur les mêmes bases juridiques que la carte ; lorsque l’équipe lit la carte, elle ne voit que le nom abrégé de la personne qui a invité le client.

Que mettre dans la notice d’information d’une carte de fidélité

La notice doit être remise avant la collecte des données, dans un langage clair et simple. Selon le résumé des obligations des responsables de traitement publié par le Garante, qui couvre les articles 12 et 13 du RGPD, elle doit indiquer au moins les points de la liste ci-dessous.

La décision de 2005 ajoute un détail très concret pour qui travaille au comptoir : il n’est pas correct de pousser les clients à adhérer sans leur laisser le temps de lire la notice, par exemple en demandant une signature rapide pendant qu’ils font la queue à la caisse. Un QR code que les clients peuvent ouvrir à leur rythme, à table ou chez eux, est utile : des conseils sur l’endroit où l’afficher figurent dans le guide de la carte de fidélité par QR code.

• Qui est le responsable du traitement et comment le contacter, ainsi que le délégué à la protection des données s’il y en a un
• Les finalités et la base juridique de chacune, en séparant la carte du marketing
• Qui reçoit les données, par exemple l’éditeur du logiciel en tant que sous-traitant
• Combien de temps vous les conservez, ou les critères qui permettent de le déterminer
• Les droits du client et le droit d’introduire une réclamation auprès de l’autorité de contrôle
• Les éventuels transferts vers des pays hors de l’UE et les garanties appliquées

Combien de temps conserver les données d’une carte de fidélité ?

Le RGPD ne fixe pas de nombre de mois : le principe de limitation de la conservation exige de ne garder les données que le temps nécessaire à la finalité. Pour les cartes de fidélité, la référence la plus précise reste la décision du Garante de 2005 : le détail des achats de clients identifiables peut être conservé 12 mois au maximum pour le profilage et 24 mois pour le marketing ; lorsque la carte est retirée, arrive à échéance ou est restituée, les données conservées à des fins administratives ne devraient pas être gardées plus de trois mois, sauf obligation légale.

À lire avec deux réserves : la décision concerne, en termes généraux, les cartes des grands distributeurs, et elle est antérieure au RGPD, puisqu’elle renvoie à l’ancien code italien de la vie privée. Elle reste toutefois l’indication la plus concrète donnée par le Garante sur les cartes de fidélité, et il est utile de l’avoir en tête pour choisir la durée à inscrire dans votre notice.

Dans la notice de la carte Iterum, la durée est de 24 mois à compter de la dernière utilisation de la carte ; passé ce délai, les données sont supprimées ou anonymisées automatiquement, la carte est désactivée et les totaux du commerce conservent les passages, les points et les récompenses sans le nom du client.

Un client demande ses données ou leur suppression : que faire

L’accès, la rectification, l’effacement, la limitation, la portabilité et l’opposition sont des droits prévus aux articles 15 à 22 du RGPD. Selon le résumé du Garante, le responsable du traitement doit en faciliter l’exercice et répondre dans un délai d’un mois, prolongeable jusqu’à trois mois pour les cas complexes, en donnant toujours une réponse dans le premier mois, même pour refuser.

En pratique, décidez à l’avance qui, dans le commerce, traite les demandes et où se trouvent les données. Sur tous les plans Iterum, le parcours d’activation présente des outils de confidentialité pour les demandes des clients, l’export des données et la conservation, ainsi que le profil de chaque client et ses consentements. De leur côté, les clients peuvent supprimer de leur propre carte leur nom, leur date de naissance, leur e-mail et leur téléphone.

Offres aux clients de la carte de fidélité : quand pouvez-vous les envoyer ?

Une carte de fidélité ne vous donne pas, à elle seule, le droit d’envoyer des offres. Le marketing exige le consentement spécifique décrit plus haut, recueilli séparément de la carte et révocable à tout moment ; pour les e-mails, les SMS et les autres messages automatisés, la décision de 2005 renvoyait aussi aux règles spécifiques sur les communications non sollicitées.

Avec Iterum, les messages du commerce n’atteignent que les clients qui ont répondu «Sì, li voglio» à «Vuoi premi extra e offerte da …?» (Voulez-vous des récompenses supplémentaires et des offres de … ?), dans les limites mensuelles du plan, et les clients peuvent les désactiver d’une simple pression depuis leur propre carte. Si vous voulez recontacter vos clients, indiquez dans la notice ce que vous enverrez et à quelle fréquence, afin qu’ils sachent à quoi ils consentent.

Pour voir la notice, l’inscription et le choix concernant les récompenses extra et les offres du côté du client avant d’inviter qui que ce soit, vous pouvez configurer la carte et démarrer l’essai gratuit de 7 jours : vous payez 0 € aujourd’hui, une carte bancaire est requise et, sauf résiliation, le plan choisi se poursuit après l’essai.

Checklist vie privée d’une carte de fidélité avant le lancement

Six étapes pour un petit commerce, valables pour les cartes papier comme pour les cartes digitales. Les conditions du programme et la question des opérations de concours à prix sont traitées dans le guide des règles des programmes de fidélité en Italie.

1. Listez les données demandées et pourquoi

   Ne gardez que ce dont la carte a besoin ; rendez le nom et les coordonnées facultatifs si la récompense peut être accordée sans eux.

2. Préparez la notice d’information

   Responsable du traitement, finalités, bases juridiques, destinataires, conservation, droits et droit de réclamation, lisibles avant l’adhésion.

3. Séparez les consentements

   Une case pour chaque finalité de marketing ou de profilage, jamais précochée, et la carte fonctionne sans aucune case cochée.

4. Choisissez et indiquez la durée de conservation

   Précisez combien de temps vous conservez les données et ce qui se passe lorsqu’un client cesse d’utiliser la carte.

5. Vérifiez le contrat avec votre prestataire

   Si un logiciel gère les cartes pour vous, la relation doit être encadrée comme l’exige l’article 28 du RGPD.

6. Décidez qui répond aux demandes

   Un nom et une adresse e-mail pour les demandes d’accès et de suppression, avec une réponse dans un délai d’un mois.

Sources et méthode

Sources consultées le 11 octobre 2026 : Garante per la protezione dei dati personali, «Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione», décision générale du 24 février 2005, doc. web 1103045 ; Garante, «Doveri - Come trattare correttamente i dati», doc. web 8981258, pour les articles 5, 6, 7, 12, 13, 15 à 22 et 28 du RGPD (les deux en italien ; les traductions sont les nôtres). Le texte officiel du règlement (UE) 2016/679 sur EUR-Lex n’était pas accessible depuis notre système le jour de la vérification ; les renvois aux articles suivent le résumé du Garante.

Les informations sur Iterum proviennent de la notice que les clients ouvrent depuis leur propre carte (version informativa_cliente_v4 au 4 novembre 2026, indiquée comme provisoire) et, au 4 novembre 2026, de la page d’inscription et du profil de la carte, de la page de présentation d’Iterum et du parcours d’activation ; voir aussi la notice de confidentialité d’Iterum. Ce guide ne constitue pas un conseil juridique et ne certifie la conformité d’aucun programme.