AgentPublic/cnil huggingface dataset:
Ce référentiel propose des pistes de mise en conformité pour les fichiers " clients " et " prospects " des organismes de droit privé ou public.
Compte tenu de la nature particulière de leurs activités, ce référentiel n'a pas vocation à proposer un cadre pour les traitements mis en œuvre par :
- les établissements de santé ou d'éducation ;
- les établissements bancaires ou assimilés ;
- les entreprises d'assurances ;
- les opérateurs soumis à l'agrément de l'Autorité nationale des jeux.
2. Portée du référentiel
Les traitements réalisés dans le cadre de la gestion des activités commerciales, qu'ils soient mis en œuvre à partir d'outils internes ou externalisés auprès d'un prestataire de service, conduisent à collecter des données relatives à des personnes physiques (clients, prospects). A ce titre, ils sont soumis aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD), de la loi du 6 janvier 1978 modifiée, ainsi qu'aux dispositions spécifiques relatives à la protection de la vie privée dans le secteur des communications électroniques (" ePrivacy ").
Les organismes concernés, en tant que responsables de traitement, doivent mettre en place toutes les mesures techniques et organisationnelles appropriées afin de garantir un haut niveau de protection des données à caractère personnel dès la conception des traitements et tout au long de la vie de ceux-ci. Ils doivent, en outre, être en mesure de démontrer cette conformité à tout instant. Ces traitements doivent faire l'objet d'une inscription au registre de traitements, conformément aux dispositions de l'article 30 du RGPD (voir les modèles de registre sur le site cnil.fr) .
L'application de ce référentiel, qui n'a pas de caractère contraignant, permet d'assurer la conformité des traitements de gestion des activités commerciales aux règles de protection des données à caractère personnel. Les organismes peuvent choisir de s'écarter du référentiel au regard des conditions particulières tenant à leur situation, en s'assurant de prendre toutes les mesures appropriées à même de garantir leur conformité au RGPD.
Ce référentiel sera régulièrement mis à jour par la CNIL afin de garantir sa compatibilité avec les dernières évolutions législatives et technologiques.
3. Objectif(s) poursuivi(s) par les traitements (finalités)
Le référentiel fournit un cadre pour les traitements dont les finalités sont les suivantes :
a) Gestion des contrats (par exemple : gestion des commandes, de la livraison, de l'exécution du service ou de la fourniture du bien, des factures et paiements) ;
b) Gestion de programmes de fidélité au sein d'une entité ou de plusieurs entités juridiques. Dans ce dernier cas, la personne doit être, par exemple au moment de la souscription au programme de fidélité, explicitement informée, notamment, de l'identité de la ou des entités considérées comme responsable unique ou conjointement responsables du traitement et de l'étendue du programme et, s'il implique la combinaison de données à caractère personnel détenues par plusieurs entités ;
c) Tenue de la comptabilité générale et des comptabilités auxiliaires qui peuvent lui être rattachées ;
d) Etablissement de statistiques financières concernant les clients ;
e) Suivi de la relation client pour la réalisation d'enquêtes de satisfaction, la gestion des réclamations et du service après-vente ;
f) Sélection de clients pour réaliser des études sur la qualité des produits ou des enquêtes de consommation (par exemple : des tests de produits, des statistiques de vente réalisées par l'organisme concerné) ;
g) Réalisation d'actions de prospection commerciale (par exemple : envoi de messages publicitaires, jeux concours, parrainage, promotion) ;
h) Gestion des avis des personnes sur des produits, services ou contenus.
Ces traitements peuvent impliquer :
- un profilage réalisé exclusivement à partir des données collectées par le responsable de traitement directement auprès de la personne concernée ; ou
- la mise à jour des données de contact (coordonnées téléphoniques, adresses électroniques, adresses physiques).
			Les informations recueillies pour l'une de ces finalités ne peuvent pas être réutilisées pour poursuivre un autre objectif qui serait incompatible avec la finalité définie lors de leur collecte. Par ailleurs, les traitements mis en œuvre au titre de ce référentiel ne doivent pas donner lieu à des interconnexions ou échanges autres que ceux nécessaires à l'accomplissement des finalités énoncées ci-dessus.
Par ailleurs, le référentiel fournit également des indications relatives aux opérations de transmission de données à des tiers afin de leur permettre de réaliser des opérations de prospection commerciale en précisant les bases légales susceptibles d'être mobilisées pour fonder ces opérations (voir point 6, ci-dessous).
Les traitements répondant aux finalités suivantes ne sont pas concernés par ce référentiel :
- la détection et la prévention de la fraude ;
- l'exclusion temporaire ou permanente des personnes du bénéfice d'une prestation de services ou de la fourniture d'un bien (par exemple, en raison d'impayés, d'incivilités des clients ou de comportements abusifs) ;
- le profilage réalisé à partir de données collectées depuis des sources tierces au responsable de traitement, ainsi que ceux réalisés à partir de données collectées par le biais de cookies et autres traceurs. Sur ce point, voir les lignes directrices relatives à l’application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux " cookies et autres traceurs ") ainsi que les recommandations proposant des modalités pratiques de mise en conformité en cas de recours aux " cookies et autres traceurs "
.
4. Base(s) légale(s) des traitements
Chaque finalité du traitement visé par le référentiel doit reposer sur l'une des bases légales fixées par le RGPD.
a) Le consentement libre, spécifique, éclairé et univoque de la personne concernée ;
			Le consentement, requiert, pour être valable, une action positive et spécifique de la personne concernée (p. ex. : une case à cocher dédiée et qui ne soit pas pré-cochée). Comme indiqué par le CEPD, l'acceptation de conditions générales d'utilisation ne peut suffire. L'accord doit être libre.
b) L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures pré-contractuelles prises à sa demande. Les données collectées doivent être nécessaires à l'exécution des mesures contractuelles et/ou précontractuelles. A cet égard, le CEPD indique que le fait que le contrat conclu entre la personne concernée et le responsable du traitement mentionne la collecte de données spécifiques ne suffit pas à démontrer que ces données sont nécessaires à l'exécution du contrat. Ainsi, pour reposer sur cette base légale, la collecte des données doit être indispensable pour fournir le service ou le bien attendu par la personne concernée ;
c) Le respect d'une obligation légale incombant à l'organisme ;
d) La réalisation de l'intérêt légitime poursuivi par l'organisme ou par le tiers, sous réserve de ne pas méconnaitre l'intérêt ou les droits et libertés fondamentaux de la personne concernée.
			Le tableau ci-après, qui n'a pas vocation à être exhaustif, recense des exemples de bases légales pouvant être retenues en fonction de chaque finalité poursuivie par le ou les traitement(s) visés par le présent référentiel.
Les bases légales doivent être portées à la connaissance des personnes dont les données sont traitées puisqu'elles permettent, notamment, de déterminer leurs droits.
			ILLUSTRATION PRATIQUE DES BASES LÉGALES ET DES DURÉES DE CONSERVATION
FINALITÉ
BASE LÉGALE
DURÉE DE CONSERVATION RECOMMANDÉE
Gestion des contrats / programmes de fidélité
Gestion des commandes, de la livraison, de l'exécution du service ou fourniture du bien, etc.
			Exécution du contrat
			Durée de la relation contractuelle
Tenue de la comptabilité
			Obligations comptables, fiscales, etc.
			Respect d'une obligation légale de conservation des données (par exemple, l'obligation de s'assurer de l'identité de la personne en demandant la fourniture d'un justificatif d'identité)
			Sous la forme d'archive intermédiaire : durée légale de conservation (par exemple, obligation comptable de 10 ans). La pièce d'identité est conservée le temps nécessaire pour procéder à la vérification de l'identité de la personne concernée. Une copie d'un titre d'identité peut être conservée pendant la durée de 6 ans si celle-ci est nécessaire à des fins de preuve ou pour répondre à une obligation légale
Suivi de la
			relation client
			Enquêtes de satisfaction
			Intérêt légitime de l'organisme ou Consentement (*)
			Durée nécessaire pour la réalisation de l'objectif de l'enquête ou jusqu'à l'exercice du droit d'opposition ou le retrait du consentement
			Gestion des réclamations
			Exécution du contrat
			Durée de la relation contractuelle
			Service après-vente
			Exécution du contrat
			Durée de la relation contractuelle
Sélection de clients / Etudes / Enquêtes
			Études sur la qualité des produits
			Intérêt légitime de l'organisme ou Consentement (*)
Durée nécessaire pour la réalisation de l'objectif de l'étude ou jusqu'à l'exercice du droit d'opposition ou le retrait du consentement
			Tests de produits
			Statistiques de vente
			Intérêt légitime de l'organisme
			Durée nécessaire pour la réalisation de l'objectif visé par les statistiques ou jusqu'à l'exercice du droit d'opposition
Actions de prospection commerciale, (messages publicitaires, jeux concours, parrainage, promotion, etc.).
			Par voie électronique (en vue de l'envoi de courriel, SMS, système automatisé de communication électronique sans intervention humaine, etc.), pour des biens ou services qui n'ont pas déjà été achetés par les personnes visées
			Consentement (voir art. L. 34-5 du CPCE)
			Jusqu'au retrait du consentement ou 3 ans à compter du dernier contact des personnes avec l'organisme
			Par voie postale ou système automatisé d'appels donnant lieu à intervention humaine et appels téléphoniques
			Intérêt légitime de l'organisme ou consentement (*)
			À destination de professionnels (par voie électronique, postale ou téléphone)
			Par voie électronique, pour des biens et services analogues déjà achetés / souscrits auprès du responsable de traitement
(*) Conformément au RGPD, il revient au responsable de traitement de déterminer, en fonction des caractéristiques du traitement mis en œuvre, la base légale la plus appropriée.
5. Données à caractère personnel concernées
L'organisme ne doit collecter et n'utiliser que les données pertinentes et nécessaires au regard de ses besoins de gestion des activités commerciales. Il peut s'agir des données relatives :
a) A l'identification de la personne concernée ;
			Le code interne utilisé pour identifier la personne concernée dans la base de données ne peut pas être son numéro de carte bancaire, ni son numéro de sécurité sociale, ni encore celui de son titre d'identité.
			Si l'organisme doit s'assurer de l'identité d'une personne avant d'entrer en relation commerciale avec elle, la simple consultation d'un justificatif (pièce d'identité) peut suffire. Lorsque la loi le prévoit ou si l'organisme justifie en avoir besoin pour se préconstituer une preuve en cas de contentieux, et ce en fonction des risques de mise en cause contentieuse, une copie de ce justificatif peut être conservée pour une durée maximale de 6 ans. Dans ce cas, des mesures de sécurité renforcées telles que, par exemple, la limitation de la qualité de l'image numérisée ou l'intégration d'un filigrane comportant la date de collecte et l'identité de l'organisme, doivent être mises en œuvre afin de lutter contre les risques de mésusage de ces informations, en particulier l'utilisation des photographies à des fins de reconnaissance faciale. De même, ces informations ne doivent pas être conservées en base active mais doivent être stockées en base d'archivage intermédiaire.
b) A la vie professionnelle ;
c) Aux moyens de paiement utilisés, c'est-à-dire les données strictement nécessaires pour l'exécution d'un paiement, plus précisément les données relatives à la carte bancaire (numéro, fin de validité, cryptogramme visuel, RIB) ou au chèque ;
d) Aux biens ou services souscrits (données liées au règlement des factures, au suivi de la relation commerciale, aux avis laissés, à la gestion des réclamations, etc).
Lorsque le bien acheté ou le service souscrit implique par exemple le traitement de données de santé ou de données directement relatives à l'orientation sexuelle, le consentement des personnes est requis. Par exemple, un site de rencontres qui requiert de renseigner son orientation sexuelle ou une application mobile collectant des données de santé devraient, au préalable, recueillir le consentement des personnes désirant s'y inscrire.
La nature du bien ou du service consommé par une personne ne devrait pas être utilisée pour en déduire des informations la concernant susceptibles de relever de la catégorie des données dites " sensibles " (prétendue origine raciale ou origine ethnique, opinions politiques, convictions religieuses ou philosophiques ou appartenance syndicale, données concernant la vie sexuelle ou l'orientation sexuelle). En tout état de cause, toute catégorisation ou création de segments sur la base de telles données, aux fins de réaliser un tel profil et/ou d'adresser de la publicité personnalisée, doit répondre à une finalité légitime (article 5 du RGPD) et être soumise au recueil du consentement préalable du client concerné.
e) A la situation familiale, économique et financière de la ou des personnes concernées par la transaction lorsque de telles données présentent un lien avec la relation commerciale.
			Un tableau ci-après énumère les principales données pouvant être collectées et traitées par l'organisme. En application du principe de minimisation des données, ne peuvent être collectées que celles qui sont nécessaires à la mise en œuvre de la finalité envisagée par le traitement de gestion commerciale (voir le point 3). La minimisation des données favorise, notamment, la conservation de données exactes et à jour.
Après s'être assuré de la nécessité et de la pertinence des données à caractère personnel qu'il utilise, l'organisme doit prendre toutes les mesures raisonnables pour garantir la qualité des données qu'il traite, afin de s'assurer de leur exactitude, tout au long de la durée de vie du traitement.
			ILLUSTRATION PRATIQUE ET NON EXHAUSTIVE DES DONNÉES POUVANT ÊTRE COLLECTÉES
Identité
			Civilité, nom, prénoms, adresse (y compris lieu de facturation), n° de téléphone, n° de fax, adresses de courrier électronique, date de naissance, code interne de traitement permettant l'identification du client, code d'identification comptable.
			Le code interne permettant l'identification ne peut pas être le numéro de carte bancaire, de sécurité sociale, ni de titre d'identité.
			En cas de collecte de la copie d'un titre d'identité, des mesures de sécurité renforcées, telles que, par exemple, la limitation de la qualité de l'image numérisée, l'intégration d'un filigrane comportant la date de collecte et l'identité du responsable de traitement, peuvent être mises en œuvre afin de se prémunir contre les risques de mésusage de ces informations et, par exemple, d'utilisation des photographies que ces pièces comprennent à des fins de reconnaissance faciale.
Situation personnelle
			Vie maritale, nombre de personnes composant le foyer, nombre et âge du (ou des) enfant(s) au foyer, profession, domaine d'activité, catégorie socioprofessionnelle, présence d'animaux domestiques.
La collecte de données sensibles (c'est-à-dire susceptibles de révéler une prétendue origine raciale ou ethnique, les opinions politiques, philosophiques ou religieuses, l'appartenance syndicale, l'orientation sexuelle ou des informations sur la santé de la personne concernée), sous réserve d'avoir recueilli le consentement de la personne concernée.
Vie professionnelle
			Profession, catégorie économique, activité.
Règlement / Paiement
			Données relatives à la carte bancaire (numéro, date de fin de validité, cryptogramme visuel), au virement (RIB) ou au chèque.
			Cryptogramme visuel de la carte bancaire, qui doit systématiquement être supprimé convient une fois la transaction effectuée.
			Remises consenties, reçus, soldes, crédits souscrits (montant et durée, nom de l'organisme prêteur) en cas de financement de la commande par crédit.
Transaction
			Numéro de la transaction, détail de l'achat, de l'abonnement, du bien ou du service souscrit.
Suivi de la relation
			commerciale
			Demandes de documentation, demandes d'essai, articles, produit acheté, service ou abonnement souscrit, services faisant l'objet de la commande et de la facture, quantité, montant, périodicité, date et montant de la commande et de la facture, échéance de la facture, conditions et adresse de livraison, historique des achats et des prestations de services, retour des produits, origine de la vente (vendeur, représentant, partenaire, affilié).
Commandes, factures, correspondances avec le client et service après-vente, échanges et commentaires des clients et prospects, personne(s) en charge de la relation client.
Avis
			Données relatives aux contributions des personnes qui déposent des avis sur des produits, services ou contenus, notamment leur pseudonyme.
6. Accédants et destinataires des informations
Afin de respecter l'obligation de sécurité des données, les données à caractère personnel doivent être rendues accessibles uniquement aux personnes habilitées à en connaitre au regard de leurs attributions au sein des services internes de l'entreprise, des services chargés des contrôles ou auprès des sous-traitants.
La réalisation de certaines des finalités couvertes par ce référentiel peut justifier de transmettre des données à des tiers (services de poste, bureaux d'étude ou de communication, organismes comptables etc.). Selon les cas, ces destinataires auront la qualité de sous-traitant de données ou seront pleinement responsables du traitement des données reçues.
En cas de recours à un sous-traitant, le contrat qui le lie à l'organisme doit faire mention des obligations qui incombent respectivement à chacune des parties en matière de protection des données (article 28 du RGPD). Le responsable de traitement doit documenter les instructions qu'il adresse au sous-traitant et qui concernent les modalités de traitement des données (article 22 alinéa 3.a du RGPD). Le Guide du sous-traitant édité par la CNIL précise la nature de ces obligations et les clauses qu'il est recommandé d'intégrer dans les contrats. Les habilitations d'accès devraient être documentées et les accès aux différents traitements faire l'objet de mesures de traçabilité (voir le point 10 relatif à la sécurité).
La transmission, à titre onéreux ou non, de données à caractère personnel à des partenaires commerciaux (tiers souhaitant les réutiliser à des fins commerciales) doit par ailleurs respecter les principes suivants :
- si la transmission a pour finalité de permettre aux partenaires commerciaux de réaliser de la prospection sur la base de leur intérêt légitime (prospection non électronique) :
 * elle peut elle-même être réalisée sur le fondement de l'intérêt légitime ;
* l'organisme transmettant les données doit informer les personnes concernées, sur le support de collecte des données (formulaire en ligne ou formulaire papier) de la finalité de cette transmission et des catégories de partenaires rendus destinataires des données. Dans un objectif de transparence, une liste exhaustive des destinataires, comportant leur identité, pourrait être régulièrement actualisée et mise à la disposition des personnes concernées depuis ce même support (par exemple, en y faisant figurer un lien hypertexte). Ce second niveau d'information peut aussi utilement indiquer la manière de prendre connaissance de la politique de protection des données de chaque partenaire commercial ;
 * l'organisme transmettant les données doit offrir aux personnes concernées, de manière expresse et dénuée d'ambiguïté, la possibilité de s'opposer, sans frais et de manière simple, à la transmission de leurs données à caractère personnel 
au moment où celles-ci sont recueillies
 et à tout moment ;
- si la transmission a pour finalité de permettre aux partenaires commerciaux de réaliser de la prospection nécessitant le recueil du consentement préalable des personnes concernées (prospection électronique) :
* eu égard au fait que la prospection commerciale par voie électronique présente des risques spécifiques (notamment par le volume de sollicitations susceptibles d'être reçues du fait de son automatisation), l'organisme transmettant les données doit informer les personnes concernées, sur le support de collecte des données (formulaire en ligne ou formulaire papier), et recueillir leur consentement à cette transmission ;
 * l'organisme transmettant les données doit, au préalable, avoir permis aux personnes concernées d'apprécier les conséquences de leur choix quant à la transmission en les informant de l'étendue de celle-ci. La mise en évidence, auprès des personnes concernées, du nombre et du secteur d'activité des partenaires qui seraient rendus destinataires des données, est un exemple de mesure contribuant à respecter les attentes raisonnables des personnes concernées en la matière ;
 * avant de réaliser de la prospection par voie électronique, les partenaires rendus destinataires des données doivent prouver qu'ils disposent, eux aussi, du consentement des personnes qui seront démarchées. En l'absence d'un tel consentement, le traitement de prospection commerciale par voie électronique est illicite.
=> à cet égard, la Commission recommande aux organismes transmettant les données de recueillir ce consentement, pour le compte des destinataires, au moment de la collecte initiale des données. Pour ce faire, les personnes doivent être informées de l'identité des partenaires responsables de traitement qui utiliseraient leurs données à des fins de prospection, par le biais d'une liste exhaustive mise à disposition directement sur ou depuis le support de collecte (par exemple, en y faisant figurer un lien hypertexte), ainsi que de la finalité spécifique de la transmission ;
 => dans un tel cas, les organismes transmettant les données peuvent utiliser une seule et même case à cocher pour recueillir le consentement à la transmission des données et celui lié à l'utilisation future des données, sous réserve de fournir une information préalable complète telle que décrite plus haut ;
 * lorsque l'organisme collectant et transmettant les données n'a pas recueilli le consentement pour le destinataire, ce dernier doit garantir la licéité de ses opérations de prospection par voie électronique, en recueillant lui-même, préalablement, le consentement des personnes concernées ;
 => à cet égard la Commission estime que l'opération de sollicitation par laquelle l'acquéreur de la base de données propose aux personnes de recevoir des offres commerciales par voie électronique est elle-même un traitement de ces données, qui peut être fondé sur son intérêt légitime ;