Ticket de caisse dématérialisé et données personnelles
L’interdiction de l’impression des tickets de caisse et carte bleue c’est pour bientôt ! Vous l’avez anticipé et proposerez à vos clients un envoi dématérialisé ? Bravo ! Mais avez-vous pensé aux incidences du RGPD sur votre projet ?
Au 1er janvier 2023, l’impression systématique des tickets de caisse et carte bleue sera interdite, sauf demande du client. Idem pour les bons d’achat et tickets promotionnels.
Si vous avez déjà prévu de proposer à vos clients un moyen dématérialisé de mise à disposition de leurs tickets, comme leur envoi par e-mail ou la mise à disposition dans un espace client, vous devez vous assurer de respecter le cadre juridique applicable à la protection des données personnelles.
En effet, ces modes de transmission dématérialisés impliquent la collecte et le traitement de données personnelles de vos clients, ainsi vous devrez vous assurer du respect des principes du RGPD, et notamment (liste non exhaustive) : délivrer une information complète et claire à vos clients sur ce traitement et en conserver une preuve, proposer un mode de transmission ayant un niveau de sécurité adapté, ne pas collecter de données supplémentaires non pertinentes pour cet envoi (même si la tentation est grande d’enrichir vos bases de données, cela serait contraire au principe de minimisation du RGPD), ne pas détourner la finalité du traitement, c’est-à-dire ne pas utiliser les données personnelles pour un objectif qui n’aurait pas été annoncé (par exemple réemployer l’e-mail collecté pour envoyer des offres promotionnelles), fixer une durée de conservation des données personnelles en adéquation avec la finalité poursuivie et l’appliquer, mettre à jour votre registre des traitements ou encore vous assurer de la conformité des prestataires auxquels vous ferez appel pour mettre en place cette transmission.
Si vous pensiez profiter de ces envois pour transmettre vos actualités et promotions ou enrichir vos bases de données, cet article a dû vous démoraliser ! Rassurez-vous, cela restera envisageable mais pas sans une information supplémentaire et dans la plupart des cas, vous devrez aussi obtenir de vos clients un accord distinct.
Vous avez déjà été approché par des prestataires et vous vous interrogez sur la conformité de leur solution ? Vous avez déjà envisagé un scénario mais voulez vous assurer de sa compatibilité avec la réglementation ?
Ecrit par Estelle LEDEUIL, juriste et DPO certifiée.