E-ticket : comment se conformer au RGPD ?

Fin de l’impression du ticket de caisse

À compter du 1‑8‑2023, l’impression des tickets de caisse, de carte bancaire ou des bons d’achat ne sera plus systématique (loi 2020‑105 du 10‑2‑2020 relative à la lutte contre le gaspillage) . Cette mesure, qui devait en principe entrer en vigueur le 1‑1‑2023, avait déjà été repoussée au 1‑4‑2023 (décret n° 2022‑1565 du 14‑12‑2022, JO du 15) . Il a à nouveau été décidé de la reporter, au 1‑8‑2023 cette fois (décret n° 2023‑237 du 31‑3‑2023, JO du 1‑4) .

Une suppression pour… Sont concernés par cette suppression les tickets de caisse émis par les surfaces de vente et les établissements recevant du public, les tickets de carte bancaire, les tickets produits par des automates, les bons d’achat et les tickets promotionnels ou de réduction. Ne sont toutefois pas concernés les tickets de caisse relatifs à l’achat de biens « durables » tels que l’électroménager, la téléphonie, l’informatique, etc. ainsi que les opérations de cartes bancaires annulées ou faisant l’objet d’un crédit.

Une impression à la seule demande du client. En application de cette mesure, les commerçants ne devront imprimer les tickets de caisse qu’à la demande des clients. Pour les achats du quotidien, chaque commerçant devra donc informer et laisser le choix au client : pas de ticket, ticket papier ou ticket dématérialisé (notamment par SMS, par courriel, grâce à un compte fidélité ou par scan d’un code QR), si ce dernier est proposé.

Dématérialiser les tickets de caisse

Information des clients. En principe, la délivrance d’un ticket de caisse dématérialisé entraîne un traitement de données personnelles du client. Le commerçant doit systématiquement l’informer de la manière dont ses données personnelles sont collectées et utilisées, et pour quels objectifs.

Limiter la communication de données personnelles. Les solutions à privilégier sont celles qui permettent aux personnes de récupérer leurs tickets de caisse sans transmettre leurs données de contact aux commerçants. C’est notamment le cas de la récupération du ticket de caisse par l’intermédiaire du scan d’un code QR, qui ne requiert que la collecte des données nécessaires à l’établissement de la connexion (Web ou locale), comme l’adresse IP de l’utilisateur.

En cas de collecte de coordonnées. D’autres solutions reposent sur la collecte des coordonnées des personnes (numéro de téléphone ou courriel) pour leur permettre de recevoir leur ticket de caisse. Ces données sont p.ex. collectées lors de la souscription à un programme de fidélité, ou lors du passage en caisse. Si les commerçants décident de recourir à ces solutions, ils doivent veiller à ce qu’elles répondent aux obligations en matière de protection des données personnelles : minimisation des données collectées, limitation de la durée de conservation des données au strict nécessaire, sécurisation des données, notamment en en limitant l’accès. Ces solutions doivent intégrer un dispositif permettant aux personnes, selon le cas, de consentir ou d’exercer leur droit d’opposition à la réutilisation de leurs données de contact.

Réutilisation des données à des fins de prospection commerciale. Sauf si la personne prospectée est déjà cliente et si la prospection concerne des produits ou services similaires fournis par la même entreprise, la publicité par voie électronique (courriels, SMS, MMS, fax, etc.) n’est possible qu’à condition que les personnes aient explicitement donné leur consentement avant d’être démarchées (publication de la Cnil, 10‑3‑2023) .