CGV et RGPD : informer sans imposer un consentement

Les CGV peuvent renvoyer vers une notice RGPD, mais leur acceptation ne vaut pas consentement à tous les usages des données. Pour une boutique en ligne, la bonne organisation consiste à informer au moment de chaque collecte, à expliquer les traitements dans une notice accessible et à réserver les choix facultatifs à des demandes distinctes. Ajouter « le client accepte le traitement de ses données » en fin de contrat ne résout aucune de ces obligations.

Ce guide porte sur l’articulation entre commande, conditions de vente et information des personnes. Il propose une clause commentée et une fiche de décision renseignée ; ces ressources servent à rédiger votre dispositif, sans prétendre remplacer une notice adaptée à tous vos traitements.

Où placer les mentions dans le parcours d’achat ?

L’Art. 13(1) du RGPD impose de fournir l’information lorsque les données sont obtenues auprès de la personne. L’Art. 12(1) exige une présentation compréhensible et facilement accessible. Le client ne devrait donc pas devoir accepter les CGV pour découvrir ensuite comment son adresse sera utilisée. Une notice uniquement jointe à la confirmation arrive trop tard pour la collecte précédente. Source : RGPD, Art. 12(1) et 13(1).

La CNIL recommande une présentation par niveaux lorsque celle-ci améliore la lisibilité : les informations essentielles apparaissent au point de collecte, avec un accès immédiat aux précisions. Elle demande de distinguer la politique de confidentialité des CGV ou CGU. Cette organisation rend le texte consultable sans transformer chaque formulaire en document interminable. Source : CNIL, information et transparence.

En pratique, placez une information courte près du formulaire d’adresse, un lien clairement nommé vers la notice et un renvoi dans les CGV e-commerce. L’inscription publicitaire reçoit sa propre explication. Si la navigation déclenche déjà des collectes, le contrôle commence avant le panier : la mention de commande ne couvre pas automatiquement ces opérations antérieures.

Choisir le fondement avant d’écrire « vous acceptez »

Le nom d’un document ne constitue pas une base légale. Pour invoquer l’Art. 6(1)(b), le traitement doit être nécessaire au contrat auquel la personne est partie, ou aux mesures précontractuelles prises à sa demande. L’adresse indispensable pour livrer son achat peut relever de cette base ; une analyse publicitaire supplémentaire ne devient pas nécessaire parce que les CGV la décrivent. Source : RGPD, Art. 6(1)(b).

Une obligation de conservation comptable peut relever de l’Art. 6(1)(c). Un intérêt légitime exige l’analyse prévue par l’Art. 6(1)(f), avec nécessité et mise en balance. Le consentement relève de l’Art. 6(1)(a), sous ses conditions propres. Le guide du choix de la base légale permet d’approfondir ces arbitrages ; n’énumérez pas trois bases concurrentes pour une même opération sans choisir celle qui s’applique.

En B2B, le salarié qui transmet une commande au nom de sa société n’est pas automatiquement partie au contrat. Sa qualité de contact professionnel ne suffit donc pas à lui appliquer l’Art. 6(1)(b). Il faut examiner le traitement de ses coordonnées séparément du contrat conclu avec la personne morale.

Une case commerciale ne doit pas englober la prospection

Lorsque le consentement figure dans une déclaration portant sur d’autres sujets, sa demande doit être clairement distinguée. Son retrait doit être aussi simple que son recueil. Le conditionnement du service à des traitements non nécessaires compte dans l’appréciation de son caractère libre. Source : RGPD, Art. 7(2), 7(3) et 7(4).

Pour la prospection électronique auprès des particuliers, ajoutez l’examen de L. 34-5 du Code des postes et des communications électroniques. Ce texte pose le consentement préalable et prévoit notamment une exception encadrée pour les produits ou services analogues proposés par la même personne à ses clients, avec possibilité d’opposition lors de la collecte et dans chaque message. Être client ne donne donc pas une autorisation générale de prospecter. Source : CPCE, Art. L. 34-5.

Une boutique peut retenir volontairement le consentement pour sa newsletter, sans exploiter cette exception. Elle doit alors respecter ce choix dans son fichier d’envoi. Un refus d’inscription n’empêche pas l’expédition de la commande ni l’envoi des messages strictement nécessaires à son suivi.

Exemple renseigné : décider avant de rédiger

Prenons L’Atelier du Carnet, commerce fictif, qui vend directement des carnets à des particuliers en France. L’acheteur reçoit lui-même le colis, commande sans compte et peut demander une newsletter distincte. Le scénario exclut le profilage publicitaire et la décision exclusivement automatisée produisant un effet juridique ou comparable. Ce périmètre limité permet de montrer les décisions, sans inventer une conformité générale.

La responsable de boutique établit la fiche N-07 suivante avec la personne chargée des données :

La suppression du dernier champ découle de la minimisation : une donnée doit être limitée à ce qui est nécessaire à la finalité poursuivie. Écrire « amélioration du service » ne fournit pas, à lui seul, une justification. Source : RGPD, Art. 5(1)(c).

La fiche contient aussi une décision sur les accès : préparation pour les articles et l’adresse, comptabilité pour les justificatifs, prestataire d’expédition pour les données nécessaires au transport. Elle exclut la transmission du choix publicitaire au transporteur. Ce découpage oblige à vérifier les exports réels, au lieu de simplement recopier « destinataires habilités ».

Une clause de renvoi, avec sa portée exacte

Pour ce scénario, la clause commerciale peut être rédigée ainsi :

L’Atelier du Carnet utilise les informations nécessaires pour traiter votre commande et assurer son suivi. La notice « Données personnelles — commande et newsletter », accessible depuis le formulaire de commande et le pied de page, présente les finalités, bases légales, destinataires, conservations et droits applicables. Vous pouvez contacter la responsable des données par la rubrique « Mes données » du formulaire de contact. L’inscription à la newsletter fait l’objet d’un choix séparé et reste facultative.

Il s’agit d’un exemple rempli de renvoi, pas d’une notice complète. Dans un site réel, le titre doit mener au bon document et la rubrique de contact doit exister. La notice identifie précisément l’entreprise et ses coordonnées ; désigner seulement « notre boutique » serait insuffisant. Elle indique les coordonnées du DPO lorsqu’il existe, sans baptiser artificiellement DPO toute personne chargée de répondre. Source : RGPD, Art. 13(1)(a) et (b).

Cette clause n’affirme ni que le client renonce à ses droits ni qu’il consent à des opérations indéfinies. Une phrase telle que « toute utilisation présente ou future est acceptée » empêcherait précisément de comprendre les finalités et les choix réels.

Compléter la notice sans masquer les décisions difficiles

La notice doit couvrir les rubriques applicables des Art. 13(1) et 13(2) : finalités et bases, intérêt poursuivi si nécessaire, destinataires, transferts envisagés, conservation, droits, réclamation, nécessité des données et conséquences du refus. Les informations sur les décisions automatisées visées à l’Art. 13(2)(f) se rapportent au cadre de l’Art. 22(1) et (4) ; tout calcul informatique n’entre pas automatiquement dans ce régime. Source : RGPD, Art. 13.

Conservation. Les pièces comptables et justificatifs visés par L. 123-22 sont conservés dix ans. Cette obligation ne commande pas de maintenir pendant dix ans l’ensemble d’un profil commercial, toutes ses conversations et ses préférences. Source : Code de commerce, Art. L. 123-22.

Dans N-07, un message portant uniquement sur l’emplacement du colis est supprimé de la messagerie courante trois mois après la livraison, en l’absence de réclamation ouverte : c’est une durée opérationnelle proposée pour l’exemple, à justifier pour la boutique réelle. Une pièce nécessaire à une garantie ou à un différend suit un circuit distinct. Le tableau des durées de conservation aide à distinguer ces régimes ; la notice doit annoncer les durées ou, lorsque ce n’est pas possible, leurs critères, sans se limiter à « aussi longtemps que nécessaire ». Sources : RGPD, Art. 5(1)(e) et Art. 13(2)(a).

Transferts. Une adresse de facturation française du prestataire ne prouve pas l’absence de transfert. Demandez les lieux d’hébergement, d’assistance et les intervenants concernés avant d’écrire la rubrique. S’il manque l’information sur un accès depuis un pays tiers, laissez cette décision ouverte dans le dossier interne et résolvez-la avant de publier une affirmation catégorique. L’Art. 13(1)(f) précise les informations sur les transferts et leurs garanties.

Quand l’acheteur renseigne les coordonnées d’une autre personne

Si le site accepte ensuite les cadeaux livrés à un proche, N-07 doit être revue. Le destinataire du colis n’a pas lui-même fourni ses données et n’est pas nécessairement partie à la vente. L’Art. 14 requiert notamment l’indication des catégories de données et de leur source, en plus des autres informations applicables. Source : RGPD, Art. 14(1) et 14(2).

L’information intervient dans un délai raisonnable, au plus tard sous un mois, mais au plus tard lors de la première communication si les données servent à contacter la personne, ou lors de leur première communication à un autre destinataire si celle-ci est envisagée. Ne retenez donc pas systématiquement « un mois après la commande ». Les exceptions de l’Art. 14(5) doivent être réellement établies ; une clause faisant promettre à l’acheteur de tout expliquer ne suffit pas à les créer. Source : RGPD, Art. 14(3) et 14(5).

Contrôler la mise en œuvre et les changements

Confiez à la personne qui gère le parcours trois vérifications concrètes : accès à la notice avant envoi du formulaire, commande possible sans newsletter et réception des demandes par le contact annoncé. Documentez le résultat, la version de notice et les corrections nécessaires dans l’audit du parcours client. Une capture d’écran démontre une présentation ; elle ne démontre pas à elle seule le fonctionnement des préférences.

Avant une nouvelle finalité, l’Art. 13(3) impose une information préalable. Cette information ne dispense pas de vérifier la licéité du nouvel usage. Si la boutique envisage de transmettre son fichier à un partenaire commercial, elle ne peut pas se contenter d’une mise à jour silencieuse des CGV. Source : RGPD, Art. 13(3).

Ce qu’il faut retenir

• Informez lors de la collecte, avec un accès direct à la notice complète.
• Distinguez acceptation du contrat, information et consentement facultatif.
• Affectez une base et une conservation à chaque opération réelle.
• Vérifiez les destinataires, les transferts et les coordonnées du contact annoncé.

FAQ

Faut-il une case « j’accepte la politique de confidentialité » ?

L’information ne constitue pas un consentement général. Une telle case ne dispense ni de fournir la notice au bon moment ni de recueillir séparément les consentements nécessaires. Elle ne doit pas laisser croire que les droits dépendent de l’acceptation du texte.

La suppression du compte impose-t-elle d’effacer les factures ?

Pas lorsque leur conservation reste nécessaire à une obligation légale applicable. L’Art. 17(3)(b) prévoit cette limite au droit à l’effacement. Expliquez les pièces conservées et leur finalité ; cela n’autorise pas à maintenir tous les usages du compte. Source : RGPD, Art. 17(3)(b).

Peut-on reprendre la notice du fournisseur du site ?

Seulement après vérification de son adéquation. Le fournisseur peut décrire ses propres traitements ou un parcours standard différent du vôtre. Votre texte doit correspondre aux choix, destinataires et conservations réellement appliqués par votre entreprise.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.