Liste des inscrits : qui peut voir les participants ?

Une liste d’inscrits n’a pas vocation à être visible par tous ceux qui participent à l’événement. L’accueil, les intervenants, les autres participants et les sponsors ont des besoins différents. Avant d’activer un annuaire, définissez les données accessibles à chacun, le fondement de cette visibilité et sa durée.

Cette décision concerne tout le parcours : page publique, application, badge, liste imprimée, invitation et export. Masquer l’annuaire principal ne suffit pas si un fichier partagé ou une mise à jour du calendrier révèle ensuite les coordonnées.

Séparer les trois objets que la plateforme regroupe

La fiche d’inscription sert à organiser la participation : identifier la personne, envoyer les informations pratiques et gérer les conditions d’accès. Elle peut contenir des informations qui n’ont aucune utilité pour les autres inscrits.

Le profil de rencontre sert à se présenter aux personnes autorisées à consulter l’annuaire. Il peut se limiter à un nom, une fonction et un sujet de discussion. L’email de connexion n’a pas nécessairement à y figurer.

Le fichier commercial sert à des opérations de prospection ou de suivi distinctes. Une participation à un événement ne rend pas automatiquement licite sa constitution ou sa remise aux partenaires. Le guide de la génération de leads traite cette autre finalité.

La séparation peut être logique dans un même logiciel. Elle doit néanmoins produire des effets : des champs distincts, des droits adaptés et des exports différents. Trois onglets donnant accès au même fichier complet ne réalisent pas cette séparation.

Appliquer la protection par défaut à la visibilité

L’Art. 25(2) du RGPD porte notamment sur la quantité de données, leur accessibilité et leur durée de conservation. Il exige des mesures pour que, par défaut, seules les données nécessaires à chaque finalité soient traitées ; il vise aussi leur accessibilité à un nombre indéterminé de personnes sans intervention de l’intéressé. Source : Art. 25.

Un annuaire public activé automatiquement doit donc être examiné avant ouverture des inscriptions. L’option du fournisseur n’est pas une décision juridique déjà prise pour votre événement. De même, limiter l’accès aux inscrits réduit l’exposition mais ne démontre pas que chacun a besoin de consulter tous les champs.

Le nom et l’entreprise peuvent suffire à identifier une personne. Le fait qu’ils soient professionnels ne les fait pas sortir du RGPD. Selon le thème de l’événement, la présence peut également révéler des informations particulièrement sensibles ; examinez alors les catégories concernées et, si nécessaire, les conditions de l’Art. 9(2), en plus d’une base de l’Art. 6(1). Sources : Art. 4(1), Art. 6 et 9.

Déterminer le fondement de l’annuaire

La base juridique dépend du projet concret. Un organisateur peut envisager un consentement pour un annuaire facultatif de mise en relation. Il doit alors recueillir un choix libre, spécifique, éclairé et univoque, pouvoir le démontrer et permettre son retrait aussi simplement que son expression. Un profil préactivé avec possibilité de le cacher ensuite ne démontre pas ce consentement. Art. 4(11), Art. 7.

Si l’intérêt légitime est envisagé, documentez l’objectif poursuivi, la nécessité des champs et la mise en balance, notamment les attentes des inscrits et les conséquences de leur visibilité. Il faut examiner les moyens moins intrusifs, par exemple une demande de mise en relation sans affichage des coordonnées. L’Art. 6(1)(f) n’est pas une formule à ajouter après avoir choisi la configuration maximale.

La base contractuelle n’est pas automatique : le traitement doit être nécessaire à un contrat avec la personne ou aux mesures précontractuelles prises à sa demande, selon l’Art. 6(1)(b). Un contrat d’événement conclu avec son employeur ne couvre pas, de ce seul fait, toute diffusion de son profil.

Projet E-16 : un annuaire limité aux rencontres

Voici une configuration proposée pour un événement fictif de dirigeants de PME, prévu le 12 octobre 2026. L’organisateur veut permettre des échanges avant et après la rencontre, sans remettre les coordonnées de tous à chacun. Il choisit un annuaire facultatif fondé sur le consentement et séparé de l’inscription.

La fiche de décision E-16 fixe les règles suivantes : profils visibles aux participants authentifiés de cette édition uniquement ; nom, fonction, organisation et thème de discussion choisis pour le profil ; aucune adresse email ou numéro de téléphone affiché. Les demandes de contact passent par un mécanisme intermédiaire dont le comportement doit être vérifié.

La période envisagée va de l’ouverture de l’annuaire au 30 octobre. Cette date est une décision d’organisation à justifier et annoncer, pas une durée légale générale. Le projet n’inclut ni l’indexation publique ni la réactivation automatique à l’édition suivante.

Ce tableau exprime les exigences du projet. Il ne décrit pas les fonctions garanties d’une plateforme particulière. Si le fournisseur ne permet pas de les tenir, il faut modifier l’architecture ou renoncer à cette visibilité.

Informer avant l’activation du profil

Le formulaire de collecte doit distinguer ce qui est nécessaire à l’inscription et ce qui sert à l’annuaire. Pour E-16, la personne doit pouvoir s’inscrire sans publier son profil. Les champs facultatifs restent identifiables, sans message laissant croire que l’événement est inaccessible en cas de refus.

Une première couche d’information pourrait indiquer : « Vous pouvez activer un profil de rencontre visible des participants connectés de cette édition jusqu’au 30 octobre. Votre email et votre téléphone ne figurent pas dans cet annuaire. Vous pouvez désactiver votre profil depuis votre espace ou nous contacter. »

Cet extrait est à adapter aux moyens effectivement disponibles. Il doit être complété par l’identité du responsable, le fondement, les destinataires, les durées et les droits pertinents. Le guide de l’information lors de la collecte présente l’articulation avec la notice de l’Art. 13.

Montrez à la personne un aperçu des champs destinés à être publiés. Cela facilite un choix éclairé, mais ne remplace pas les informations légales. L’aperçu doit correspondre à ce que les autres verront, et non au seul écran de l’administrateur.

Vérifier les accès depuis chaque côté

Préparez des comptes fictifs correspondant aux rôles retenus, dont un inscrit sans profil actif. Vérifiez d’abord qu’un participant autorisé peut voir un profil volontairement publié : ce témoin positif évite de conclure à la confidentialité parce que tout le site est en panne.

Examinez ensuite les situations interdites : visite sans connexion, compte d’une autre édition, profil désactivé, lien direct vers une fiche et téléchargement. Un menu vide ne démontre pas que l’URL du profil refuse l’accès. Un fichier exporté doit être ouvert pour contrôler ses colonnes et ses lignes.

Pour le mécanisme de contact d’E-16, vérifiez ce que voit l’expéditeur avant et après une réponse. Une messagerie présentée comme intermédiaire peut révéler une adresse dans une notification. Ne promettez donc pas l’absence de communication des coordonnées avant d’avoir établi le comportement du parcours.

Ces vérifications sont proposées pour préparer la réception, pas rapportées comme un essai réalisé. Consignez les résultats attendus, les observations réelles et les points non vérifiés. Un accès non testé reste une réserve ; il ne prend pas la valeur « fermé ».

Si l’export restitue les profils désactivés, suspendez l’annuaire concerné ou bloquez la fonction défaillante avant usage réel. Corrigez les droits avec le prestataire et reprenez les vérifications touchées. Une consigne demandant aux utilisateurs de ne pas exporter ne corrige pas un accès contraire au périmètre annoncé.

Contrôler les supports qui contournent l’annuaire

Une feuille d’émargement laissée face aux arrivants peut exposer les noms et signatures des précédents. Organisez l’accueil pour limiter cette lecture : contrôle individuel, présentation de la seule ligne utile ou autre dispositif adapté. La solution doit rester praticable, y compris en cas de panne du terminal.

Un badge sert à identifier son porteur dans le contexte de la rencontre. Il n’a pas à reproduire toutes les données du formulaire. Examinez aussi son code : un identifiant donnant accès à une fiche complète constitue un autre point d’entrée à contrôler.

Les invitations calendrier peuvent révéler des noms, adresses ou réponses même lorsque l’annuaire est fermé. Vérifiez également les listes imprimées, les pièces jointes destinées aux intervenants et le dossier partagé de l’agence événementielle. Chaque copie doit avoir un destinataire et un usage déterminés.

Attribuer les accès et prévoir leur fin

N’accordez pas le rôle administrateur à toute personne intervenant une journée. La CNIL recommande de définir les habilitations selon les missions, de les faire valider et de retirer les permissions devenues inutiles. Identifiez qui ouvre et ferme les accès temporaires, ainsi que le suppléant chargé de cette opération.

Pour E-16, la fermeture de l’annuaire au 30 octobre signifie l’arrêt de sa consultation par les participants. Elle ne signifie pas nécessairement l’effacement simultané de toutes les inscriptions : les pièces ayant une autre finalité légitime, comme une obligation comptable, doivent suivre leur propre régime. Leur conservation ne justifie pas le maintien d’un annuaire consultable.

Les exports demandent un suivi distinct. Fermer un compte ne retire pas une feuille déjà téléchargée. Définissez les copies autorisées, leur durée et leur suppression ; ne promettez pas une disparition totale que vous n’avez pas les moyens de vérifier.

Répondre à un retrait ou à une exposition

Dans un annuaire fondé sur le consentement, le retrait doit arrêter la visibilité concernée et conduire à examiner le sort des données, notamment l’Art. 17(1)(b). Il ne remet pas rétroactivement en cause la licéité du traitement antérieur. La personne peut garder son inscription à l’événement si ce service reste indépendant du profil. Sources : Art. 7(3), Art. 17.

En cas de publication ou de partage non autorisé, fermez l’accès, conservez les éléments utiles à l’analyse et recherchez les destinataires ou copies connus. Documentez la violation éventuelle et appréciez les risques selon les Art. 33 et 34. Le retrait du lien public ne prouve pas que personne ne l’a consulté. Sources : Art. 32 à 34.

Ce qu’il faut retenir

Définissez séparément inscription, profil visible et fichier commercial. Justifiez chaque rôle et chaque champ, puis contrôlez les accès réels, y compris les copies et liens directs. La durée annoncée doit devenir une action de fermeture attribuée à quelqu’un.

FAQ

Une page non indexée est-elle confidentielle ?

Non. L’absence d’indexation ne remplace pas un contrôle d’accès. Une URL transmise ou retrouvée peut rester consultable ; vérifiez le résultat sans connexion.

Un participant peut-il diffuser la liste aux autres ?

Son accès à l’annuaire n’autorise pas automatiquement une nouvelle diffusion. Précisez les usages permis et limitez les fonctions de copie ; examinez les responsabilités et le contexte si une diffusion a lieu.

Peut-on reprendre les profils pour l’édition suivante ?

Pas par automatisme. Vérifiez la finalité, la portée du fondement initial, les informations données et les choix actuels. La commodité d’une duplication de l’événement ne suffit pas à autoriser la nouvelle visibilité.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.