Données clients et consentement dans le clienteling : check-list RGPD et nLPD suisse

Dans l'UE et en Suisse, le clienteling doit respecter le RGPD et la loi fédérale suisse révisée sur la protection des données (nLPD). Concrètement, cela implique une base légale documentée pour chaque usage des données clients, le respect des oppositions à la prospection et au profilage, un consentement exprès lorsque le droit suisse l'exige, une information transparente au moment de la collecte et des canaux de messagerie contrôlés par l'entreprise. La check-list ci-dessous traduit ces règles en étapes concrètes pour les équipes en magasin, les responsables CRM et la conformité.

Cet article constitue un guide éditorial et non un conseil juridique. Les marques doivent faire valider leur dispositif par un conseil qualifié, en particulier pour les règles nationales relatives à la prospection électronique, qui s'appliquent en parallèle du droit de la protection des données.

Quelles lois s'appliquent aux données de clienteling en Europe et en Suisse ?

Pour les magasins situés dans l'UE et pour les clients européens, le RGPD encadre le traitement des données clients. Pour les magasins et les clients suisses, c'est la nLPD qui s'applique ; entrée en vigueur le 1er septembre 2023, elle ne couvre que les données des personnes physiques, a introduit le profilage comme notion juridique et impose la protection des données dès la conception et par défaut. De nombreuses marques présentes dans les deux zones appliquent une norme commune fondée, sur chaque point, sur la règle la plus stricte.

Quand faut-il un consentement, et quand l'intérêt légitime suffit-il ?

Selon le considérant 47 du RGPD, le traitement à des fins de prospection peut être considéré comme réalisé pour un intérêt légitime, mais l'appréciation dépend de la question de savoir si les clients peuvent raisonnablement s'attendre au traitement au moment et dans le contexte de la collecte. Un client qui achète en magasin et donne son adresse e-mail pour recevoir ses tickets ne s'attend pas nécessairement à être sollicité de façon personnalisée sur WhatsApp. Des règles distinctes relatives à la prospection électronique exigent souvent un consentement préalable pour les messages envoyés par e-mail, SMS ou application de messagerie, avec des exceptions limitées pour les clients existants. Enregistrer des consentements explicites par canal au moment de la collecte est donc l'approche la plus solide.

Lire aussi

L'IA dans le clienteling : comment fonctionne le next-best-message, et où la protection des données fixe des limites

À quoi ressemble la check-list ?

1. Cartographiez les données : listez chaque champ du carnet de clientèle, y compris les notes en texte libre, et supprimez tout ce dont vous n'avez pas besoin.
2. Définissez les finalités : service (commandes, retouches), prospection, analyses et suggestions de l'IA, chacune avec une base légale documentée.
3. Informez lors de la collecte : une mention courte et claire en caisse, dans l'application et en ligne, expliquant ce qui est collecté, pourquoi et comment s'y opposer.
4. Enregistrez le consentement par canal (e-mail, SMS, WhatsApp, téléphone) avec la date, la source et la formulation, et rendez-le visible dans l'application des conseillers.
5. Traitez rapidement les oppositions : un client qui s'oppose à la prospection doit être exclu de la prospection et du profilage associé sur tous les canaux.
6. Évitez les données sensibles dans les notes : les informations de santé (par exemple des notes sur une grossesse ou des besoins médicaux), la religion ou des détails similaires exigent un consentement exprès et ne devraient généralement pas être consignés.
7. Évaluez le profilage : vérifiez si le scoring des clients par l'IA pourrait constituer un profilage à risque élevé au sens du droit suisse et documentez cette évaluation.
8. Contrôlez les accès : les conseillers voient leurs propres clients ; les exports sont restreints et journalisés.
9. Fixez des durées de conservation pour les clients inactifs et supprimez ou anonymisez les données en conséquence.
10. Vérifiez les transferts : confirmez où les fournisseurs de clienteling et de messagerie stockent les données et quelles garanties de transfert s'appliquent.
11. Tenez un registre des activités de traitement et un plan de réponse aux violations de données prévoyant, le cas échéant, la notification à l'autorité suisse de surveillance.
12. Formez les équipes à ce qu'il faut noter, à ce qu'il ne faut pas noter et à la manière de répondre aux demandes des clients.

Qu'en est-il des téléphones personnels et des applications de messagerie des conseillers ?

De nombreux conseillers écrivent à leurs meilleurs clients depuis leur propre téléphone. Cela crée trois problèmes : la marque ne peut ni prouver le consentement ni répondre aux demandes d'accès, les relations clients partent avec le conseiller, et les données peuvent être stockées à des endroits que la marque ne contrôle pas. Des comptes de messagerie professionnels ou des outils de clienteling intégrés qui consignent les conversations règlent l'essentiel de ces problèmes. Lorsque l'usage d'appareils personnels est inévitable, une politique claire sur la séparation, la conservation et la transmission en cas de départ constitue le minimum.

Comment encadrer le profilage par IA ?

Les suggestions de l'IA sur les clients à contacter et les offres à proposer constituent une forme de profilage. En vertu de l'article 21 du RGPD, les clients peuvent s'opposer à tout moment à la prospection, y compris au profilage qui y est lié, et leurs données ne doivent alors plus être traitées à cette fin. L'article 22 du RGPD ajoute le droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets similaires significatifs, ce qui est pertinent si un système exclut automatiquement des clients d'offres ou fixe des prix individualisés. Maintenir un conseiller comme décideur, documenter la logique en langage clair et exclure du scoring les clients qui se sont opposés sont des garde-fous raisonnables.

Lire aussi

Comment l'IA est-elle utilisée dans les magasins physiques de mode ?

Quels documents devez-vous tenir ?

• Un registre des activités de traitement couvrant le clienteling, sauf si une exemption pour les traitements de petite taille et à faible risque s'applique.
• Des journaux de consentement par client et par canal, retraits compris.
• Des analyses d'impact relatives à la protection des données pour le profilage par IA ou les traitements à grande échelle lorsque les risques sont élevés.
• Les contrats avec les fournisseurs de clienteling, de CRM et de messagerie, garanties de transfert comprises.
• Un journal des demandes d'accès et des oppositions, avec la manière dont elles ont été traitées.