Envoi de colis : limiter les données des étiquettes

Une étiquette doit permettre l’acheminement du colis, sans exposer tout le dossier client. Le bon arbitrage consiste à séparer ce qui doit être lisible sur l’emballage, ce qui doit être accessible à certains intervenants et ce qui doit rester dans le système commercial. Une information utile au service après-vente n’a pas nécessairement à accompagner le paquet sur toute sa route.

Cette revue concerne également les codes imprimés, les fichiers préparés pour l’impression et les emballages retournés. Retirer une colonne du modèle visible ne suffit pas si la même donnée reste intégrée dans un code ou dans une copie remise à tous les opérateurs.

Définir le besoin de livraison avant les champs

L’Art. 5(1)(b)–(c) impose des finalités déterminées et des données limitées au nécessaire. Appliquez-le à chaque étape : préparation, tri, acheminement, remise et traitement d’une anomalie. Il ne suffit pas qu’un champ soit « pratique » pour justifier sa présence sur l’extérieur du colis. Source : Art. 5.

Commencez avec le responsable logistique et les exigences du service effectivement choisi. Le guide ne remplace ni les formalités douanières ni les obligations propres à certains produits ou transports. Ne supprimez pas un élément réglementaire ou indispensable au parcours sans l’avoir identifié ; demandez en revanche pourquoi il doit être imprimé, plutôt que transmis par un canal réservé.

Pour le téléphone, distinguez trois questions : est-il nécessaire de pouvoir joindre le destinataire, qui doit le faire, et le numéro doit-il être visible sur l’emballage ? Une réponse positive à la première ne tranche pas les deux suivantes. Si le transporteur impose un modèle, demandez les possibilités documentées de restriction et choisissez le service en connaissance de ses contraintes.

Exemple : reprendre les données d’une commande cadeau

Dossier fictif C-27. Nora achète une lampe pour Camille, à une adresse distincte de la sienne. La boutique Atelier Lune doit préparer le colis et organiser sa livraison. Son ancien modèle reprend automatiquement des champs de la commande et du support, dont le commentaire « Camille suit un traitement médical, ne pas appeler le matin ».

La boutique doit clarifier le besoin logistique sans recopier le motif médical. Elle retient, après confirmation de la consigne utile dans ce scénario, une préférence de contact l’après-midi dans le circuit réservé où elle est nécessaire. Elle ne place ni le diagnostic ni le commentaire d’origine sur le colis. Le contenu reçu au support demande aussi son propre tri : les données sensibles dans les tickets ne deviennent pas nécessaires parce qu’un client les a spontanément fournies.

La fiche de minimisation C-27 est renseignée ainsi. Les décisions supposent que le parcours choisi permet cette séparation ; elles ne décrivent pas les fonctions d’un transporteur réel.

La version retenue comporte donc l’identification nécessaire du destinataire, la destination, la référence d’expédition et les éléments de transport requis. Elle ne reprend pas la fiche cadeau, l’adresse de facturation, le téléphone ou le commentaire médical. Il s’agit d’une décision sur ce parcours, pas d’un modèle universel interdisant tout numéro sur toute étiquette.

Ne pas confondre acheteur et destinataire

La base de l’Art. 6(1)(b) couvre les traitements nécessaires au contrat avec la personne concernée. Le contrat passé avec Nora ne suffit donc pas, à lui seul, à fonder tous les traitements relatifs à Camille. Identifiez le fondement de ces opérations plutôt que d’étendre automatiquement la relation client au bénéficiaire. Source : Art. 6.

Dans C-27, la boutique examine l’intérêt légitime d’organiser la remise du cadeau. Elle limite les données à la livraison, vérifie la nécessité des moyens retenus et met en balance les conséquences pour Camille : exposition de l’adresse, contact non attendu, risque d’erreur. L’absence de prospection et la limitation des accès font partie des garanties envisagées. Cette analyse doit être documentée ; l’étiquette « intérêt légitime » n’est pas une validation de tout cadeau envoyé à un tiers.

Le commentaire de santé ne peut pas être justifié par ce seul fondement : l’Art. 9(1)–(2) impose un régime supplémentaire. Ici, le besoin de livraison ne nécessite pas ce motif. La boutique réduit donc les données plutôt que de rechercher une justification artificielle pour conserver une information superflue. Source : Art. 9.

Camille doit également recevoir l’information pertinente lorsque les conditions de l’Art. 14 sont réunies : identité du responsable, source, usages, fondement, destinataires, durées et droits notamment. Le calendrier dépend du parcours, au plus tard dans le mois, mais dès la première communication ou la première transmission lorsqu’elles interviennent avant. Une surprise commerciale ne constitue pas une dispense générale. Organisez ce point avant l’expédition ; une politique simplement publiée sur le site n’établit pas que l’information a été fournie. Source : Art. 14(1)–(3) et exceptions au paragraphe 5.

Examiner le code, pas seulement le texte lisible

Un code-barres ou un QR code peut contenir une adresse, un identifiant, une URL ou une combinaison de données. Le codage ne garantit pas la confidentialité. De même, une référence apparemment opaque reste susceptible d’être une donnée personnelle lorsqu’elle permet de retrouver une personne avec les moyens pertinents. Source : Art. 4(1).

Pour C-27, le cahier de contrôle exige que le code n’ouvre pas le compte de Nora, ses autres commandes ou le téléphone de Camille à un lecteur quelconque. Décodez un exemplaire entièrement fictif et examinez les pages accessibles selon les droits prévus. Le guide des QR codes et accès personnels détaille cette vérification.

Documentez ce que le code contient directement et ce que le service auquel il renvoie révèle. Un résultat limité à « code valide » n’est pas suffisant. Si un lien donne accès à plus d’informations que prévu, corrigez le parcours avant son utilisation ; masquer visuellement un champ ne corrige pas la page de destination.

Contrôler le fichier effectivement imprimé

La boutique doit examiner un export produit par le parcours complet, puis le rendu imprimé. Contrôlez les champs principaux, les zones de commentaire, le code et les documents annexes. Un fichier joint au même lot peut contenir les données retirées de l’étiquette.

Pour C-27, la vérification porte aussi sur une variante : adresse de facturation différente et absence de numéro de téléphone. L’objectif est de voir si le système réintroduit une donnée depuis une autre fiche ou imprime un ancien commentaire en remplacement. Ce sont des contrôles proposés, pas des essais réalisés d’un logiciel donné.

Attribuez une version au modèle validé et un responsable à sa modification. Si une mise à jour ajoute un champ, reprenez l’analyse de nécessité avant diffusion. Préparez les changements avec des données fictives ; une pile de véritables étiquettes ne doit pas devenir le support habituel d’une séance de configuration.

Répartir les accès entre boutique, logisticien et transporteur

La chaîne peut comprendre un logiciel de génération, un préparateur, un transporteur et un service de suivi. Qualifiez leurs rôles d’après les décisions prises sur les finalités et les moyens. La CNIL rappelle que cette qualification repose sur les faits, pas sur le seul nom choisi dans le contrat.

Un intervenant exécutant certaines opérations sur instruction peut être sous-traitant pour celles-ci. Un autre peut déterminer ses propres traitements. Ne qualifiez pas globalement tout logisticien de sous-traitant ; le guide de l’accord entre responsables distincts aide à documenter cette seconde situation. L’Art. 28(3) encadre les opérations réalisées pour votre compte. Source : Art. 28.

Dans les portails, limitez les droits au travail confié. Préparer les expéditions ne nécessite pas automatiquement l’export de toutes les commandes anciennes. Séparez également le fichier de préparation, la preuve de remise et le dossier de réclamation : leurs contenus utiles et leurs durées peuvent différer.

Traiter les copies, les retours et les erreurs

Les fichiers d’impression téléchargés, les duplicatas et les étiquettes mal sorties sont des copies à gérer. Fixez leur sort dans le processus de préparation, avec accès limité et suppression lorsqu’elles ne servent plus une finalité justifiée. Les imprimantes partagées demandent aussi un contrôle des tâches et des feuilles abandonnées.

Pour un emballage retourné puis réemployé, retirez ou occultez effectivement l’ancienne identité, l’adresse et les codes avant nouvelle circulation. Une nouvelle étiquette collée à côté n’empêche pas la lecture de l’ancienne. Vérifiez également les documents restés dans la pochette extérieure.

La livraison ne fixe pas une durée unique pour toutes les traces. Une preuve nécessaire à une réclamation suit son besoin documenté ; cela ne justifie pas de conserver sans terme tous les fichiers d’étiquettes sur un poste. Appliquez l’Art. 5(1)(e) à chaque copie et finalité.

Si l’étiquette de Camille part sur un autre colis, corrigez l’acheminement et examinez l’exposition des données : identité, adresse, code donnant accès à un dossier. Une remise non autorisée peut relever de l’Art. 4(12). Documentez la violation éventuelle et évaluez les notifications selon les Art. 33–34, sans attendre que le colis soit retrouvé pour commencer l’analyse. Sources : Art. 32–34.

Ce qu’il faut retenir

Décidez séparément des données visibles, des données réservées à la livraison et de celles qui restent au service client. Vérifiez le code et l’export réel, ainsi que les copies et les emballages réutilisés. L’acheteur et le destinataire peuvent être deux personnes différentes, avec une analyse et une information adaptées.

FAQ

Faut-il demander un consentement pour chaque étiquette ?

Non par principe. Choisissez le fondement correspondant au traitement et à la personne concernée. Une base valable ne dispense pas de limiter le contenu ni de protéger l’accès aux données.

Peut-on remplacer le nom par un numéro ?

Seulement si le parcours le permet sans compromettre la remise ni les exigences applicables. Un identifiant lié au destinataire n’est pas nécessairement anonyme ; il peut réduire l’exposition directe sans supprimer les obligations RGPD.

Une photo du colis est-elle une preuve sans risque ?

Non. Elle peut enregistrer l’adresse, le code et l’environnement de remise. Définissez ce qu’elle doit prouver, qui peut la voir et sa durée utile. Ne photographiez pas plus d’informations que nécessaire pour le besoin établi.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.