QR code événement : sécuriser l'inscription RGPD

Un QR code peut servir à inscrire un visiteur à un événement. Le scan n’autorise ni une inscription publicitaire automatique ni tous les traitements du service de redirection. Pour un atelier, partez du résultat promis : réserver une place et transmettre les informations pratiques. Les champs, les prestataires et le message de confirmation doivent servir cette demande ; les usages supplémentaires doivent être traités séparément.

Le contrôle commence avant le formulaire. Une adresse intermédiaire peut déjà recevoir des informations techniques lorsque le téléphone ouvre le lien. Il se poursuit après l’inscription : un export vers le CRM peut ajouter une permission commerciale que le visiteur n’a jamais donnée.

Distinguer trois usages du QR code

Un code public d’inscription, identique sur toutes les affiches, ouvre une page accessible à chacun. Il n’a pas besoin de contenir un nom ou un identifiant de visiteur. Un repère commun, tel que le numéro de l’atelier, suffit à orienter vers la bonne session.

Un billet individuel, adressé après réservation, remplit une autre fonction : retrouver ou contrôler une entrée. Son identifiant peut permettre de rejoindre un dossier personnel, même s’il ne contient pas directement le nom. Il faut alors protéger l’accès au dossier et empêcher que la possession d’une simple copie révèle toutes les informations du participant.

Enfin, un code d’attribution marketing cherche à rattacher une inscription à une campagne ou à une personne. Le repère identique d’une affiche n’est pas équivalent à une clé individuelle suivie dans plusieurs contextes. Ne réunissez pas ces trois fonctions dans un même dispositif sans expliquer et justifier chacune d’elles. Les Art. 5(1)(b), 5(1)(c) et 25(2) imposent de définir les finalités et de limiter les données accessibles par défaut : principes du RGPD et protection dès la conception.

Dessiner le trajet avant de choisir le générateur

Pour un code qui contient directement l’adresse de votre page, le parcours envisagé est simple : affiche, page d’inscription, outil de réservation, confirmation. Un service de QR code « dynamique » peut ajouter une redirection dont la destination est modifiable. Ce service n’est pas interdit ; il crée une étape à examiner.

Demandez une description concrète : quelles informations reçoit-il lors de l’ouverture, qui y accède, pour quelles finalités et pendant combien de temps ? Une adresse IP, un identifiant ou des données de navigation ne deviennent pas anonymes parce que le service affiche seulement un compteur dans son tableau de bord.

Si le prestataire traite les données pour votre compte, les exigences de l’Art. 28 s’appliquent. S’il poursuit des finalités propres, cette qualification ne suffit pas. Identifiez également les lieux de traitement et les éventuels transferts relevant des Art. 44 à 46. Une clause générale « conforme au RGPD » ne renseigne aucune de ces opérations : obligations du sous-traitant et transferts.

En pratique, si l’objectif est uniquement d’ouvrir votre formulaire et que l’intermédiaire ne documente pas ses usages, retenez un lien direct maîtrisé. Imprimez aussi une adresse courte lisible et le nom de l’organisateur. Ce choix facilite l’accès manuel et la vérification de la destination ; il ne garantit pas, à lui seul, la sécurité de la page.

Le formulaire doit respecter la promesse de l’affiche

La base légale dépend de l’opération, pas de la présence d’un QR code. L’Art. 6(1)(b) peut couvrir les données nécessaires à une réservation contractuelle demandée par la personne. Il ne couvre pas automatiquement la collecte de son budget commercial ou sa transmission à un sponsor. En dehors de cette hypothèse, une autre base doit être déterminée ; l’intérêt légitime exige notamment une nécessité et une mise en balance, selon l’Art. 6(1)(f).

Prenons un exemple entièrement fictif. Atelier Sillage propose au grand public une séance de réparation le 12 octobre. Il s’engage à réserver une place à chaque personne dont la demande est confirmée. L’équipe retient la base contractuelle pour cette réservation et les messages strictement pratiques. Le formulaire ne comporte aucun paiement.

Voici les arbitrages retenus pour ce parcours précis, et non une liste universelle de champs autorisés.

La minimisation doit aussi concerner les champs cachés. L’absence de téléphone visible ne résout rien si une intégration ajoute ensuite des données issues d’une autre fiche. Le guide du formulaire conforme au RGPD détaille cette séparation entre besoin, champ et destination.

Pour les offres électroniques adressées aux particuliers, le consentement préalable est le principe, sous l’exception encadrée des clients pour des produits ou services analogues. Une simple participation à l’atelier ne permet pas de présumer cette exception. Sillage choisit ici un accord facultatif spécifique : Art. L34-5 du CPCE. La réservation reste possible sans cet accord.

Informer avant l’envoi, sur un écran utilisable

L’affiche doit permettre de comprendre qui propose quoi. Sur la page, rendez les informations essentielles visibles avant le bouton d’inscription et donnez accès à la notice complète. La CNIL décrit cette information en plusieurs niveaux : sa présentation peut être adaptée au support sans retirer les informations dues.

Dans l’exemple Sillage, une première couche pourrait expliquer :

Atelier Sillage utilise votre adresse électronique et votre créneau pour réserver votre place et vous transmettre les informations pratiques de la séance. La réception de nos offres commerciales est facultative. Consultez les informations sur vos données et les moyens d’exercer vos droits avant de confirmer votre inscription.

Cet extrait ne constitue pas une notice complète. Ajoutez les coordonnées réelles, la base légale, les destinataires, les durées ou leurs critères, les droits et leur point de contact, la réclamation auprès de la CNIL ainsi que les autres informations applicables. Expliquez aussi la conséquence des champs obligatoires. Ce contenu relève des Art. 12(1) et 13(1)–(2).

Sur téléphone, vérifiez que le clavier ne masque pas la case facultative et que la notice revient au formulaire sans effacer le choix. Une case « j’accepte la politique de confidentialité » ne remplace ni l’information ni un consentement spécifique à la prospection.

Traiter les traceurs dès la première ouverture

Le consentement au marketing par courriel et celui aux traceurs sont deux décisions distinctes. L’Art. 82 de la loi Informatique et Libertés encadre l’accès aux informations du terminal et leur inscription. Il prévoit des exceptions pour la communication électronique et ce qui est strictement nécessaire au service expressément demandé. Le fait de compter les scans ne crée pas une exemption générale.

Examinez donc la redirection, la page et ses composants : mesure d’audience, vidéo, outil contre les abus, pixels publicitaires. La CNIL sur les traceurs précise notamment l’exigence d’un choix réel et d’un refus aussi simple que l’acceptation. Une exemption éventuelle s’apprécie selon la finalité et la configuration, sans transformer tout outil « technique » en outil exempté.

Sillage retient dans son cahier de réception l’absence de traceurs publicitaires sur ce parcours. Si une mesure d’audience est ajoutée, son régime doit être déterminé avant activation. Les règles des cookies et traceurs s’appliquent également à une page ouverte depuis une affiche physique. Un traitement purement serveur ne doit pas davantage être réputé anonyme ou licite sans analyse.

Fiche Q-12 : recevoir le parcours complet

La responsable événement et la personne chargée du site peuvent utiliser cette fiche renseignée comme modèle. Il s’agit de contrôles à réaliser, pas de résultats d’essais déjà obtenus.

Le contrôle porte sur le fichier effectivement imprimé, pas seulement sur l’aperçu du générateur. Vérifiez aussi qui peut modifier la destination et retirez les accès devenus inutiles. À l’accueil, proposez un circuit de repli : saisie assistée ou réservation manuelle avec information adaptée, sans afficher les coordonnées des personnes précédentes.

Si le refus bloque la réservation ou si le CRM reçoit un accord absent, suspendez la fonction concernée avant l’ouverture au public. Faites corriger le formulaire ou la correspondance des champs, puis reprenez le parcours jusqu’à l’export. Un screenshot correct ne prouve pas que la donnée enregistrée l’est. Si des données ont déjà été divulguées sans autorisation, examinez séparément la qualification de violation et les obligations des Art. 33 et 34.

Fermer le parcours sans transformer les inscrits en prospects

Après l’événement, fermez les nouvelles réservations et appliquez les durées définies pour les différentes finalités. La liste logistique n’a pas vocation à rester indéfiniment active ; une pièce nécessaire à une contestation peut relever d’un autre usage documenté. La confidentialité de la liste des inscrits doit rester assurée pendant cette phase.

Les personnes ayant choisi les offres commerciales suivent ce périmètre et peuvent revenir sur leur choix. Les autres ne deviennent pas des contacts publicitaires par un changement de statut du CRM. Pour préparer une suite commerciale licite, distinguez cette décision de la réservation dans votre démarche de génération de contacts commerciaux.

Ce qu’il faut retenir

• Le scan ouvre un parcours ; il ne vaut pas accord général.
• Examinez les intermédiaires avant même le formulaire et limitez les champs à la réservation annoncée.
• Recevez ensemble la page, le refus, la confirmation et l’export réel vers le CRM.
• Prévoyez la fermeture du lien et le sort des données après l’événement.

FAQ

Un code identique sur toutes les affiches rend-il les visites anonymes ?

Non. Le code peut être collectif tandis que le serveur reçoit des informations permettant d’identifier ou de distinguer les visiteurs. Distinguez le contenu du code des données traitées lors de son ouverture.

Peut-on afficher seulement un QR code vers la notice ?

Cela risque de rendre l’information inaccessible à une personne sans téléphone compatible ou sans connexion. Prévoyez un accès lisible ou une information disponible à l’accueil, adapté au parcours réellement proposé.

Le nombre d’ouvertures correspond-il au nombre d’inscrits ?

Non : une personne peut ouvrir plusieurs fois la page ou abandonner. Présentez séparément les ouvertures et les réservations confirmées, sans fabriquer un nombre de personnes uniques à partir d’un simple compteur.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.