Badge de salon : encadrer le scan des visiteurs

Scanner le badge d’un visiteur peut permettre de récupérer ses coordonnées pour un suivi annoncé. Ce geste ne justifie pas tous les champs disponibles chez l’organisateur ni toutes les campagnes de l’exposant. Définissez avant le salon les données transmises, le rôle de chaque acteur et la suite proposée. Au retour, importez la demande et ses limites avec les coordonnées.

La bonne question n’est donc pas seulement « le visiteur a-t-il présenté son badge ? ». Elle est aussi : qu’avait-il compris, quel organisme reçoit quelles données et pour quelle action ? Une trace technique prouvant un scan ne répond pas seule à ces questions.

Trois opérations à examiner séparément

L’organisateur peut avoir collecté des données pour délivrer l’accès au salon. Le service de lecture du badge peut ensuite permettre leur remise à un exposant. Enfin, l’exposant peut les utiliser pour répondre à une demande ou prospecter. Une base légale doit couvrir chaque opération, sans présumer que l’inscription au salon autorise tout le reste.

Les rôles dépendent des décisions réelles. L’organisateur et l’exposant ne sont pas automatiquement responsables conjoints de toutes les opérations. L’exposant qui définit sa propre campagne est responsable du traitement correspondant. Un fournisseur intervenant pour leur compte peut être sous-traitant ; ses éventuels usages propres s’analysent séparément. Ces distinctions résultent des Art. 4(7)–(8), complétés par les Art. 26 et 28.

Demandez donc à l’organisateur un exemple d’export et le parcours d’information prévu. Le contrat doit expliquer ce qui est remis, à qui, à quel moment et selon quelles restrictions. Une promesse « contacts conformes au RGPD » ne remplace ni cette description ni les éléments justifiant la transmission.

Choisir la suite commerciale avant de paramétrer le lecteur

Pour la prospection électronique destinée à un particulier, le consentement préalable est le principe sous les exceptions encadrées de l’Art. L34-5 du CPCE. Acheter son billet au salon ne fait pas de cette personne un client de chaque exposant.

Pour une sollicitation en rapport avec la profession du destinataire, la CNIL prévoit un cadre B2B reposant sur l’information et l’opposition simple, avec un intérêt légitime à apprécier. L’acquisition auprès d’un tiers ne supprime pas ces exigences. Un intitulé de salon « professionnel » ne suffit pas à qualifier tous les visiteurs ou toutes les offres : doctrine CNIL sur la prospection électronique.

Une brochure demandée sur place, un rendez-vous convenu et une newsletter récurrente sont également des suites distinctes. Ne créez pas un champ unique « consentement salon » pour les trois. La prospection commerciale exige un raisonnement sur la finalité, le canal et la relation avec la personne.

Dans le cadre B2C, lorsqu’un consentement est recueilli pour les partenaires, le visiteur doit comprendre les destinataires et les opérations. La CNIL admet notamment une même case couvrant transmission et prospection pour des partenaires identifiés ; elle n’impose pas systématiquement deux cases. Cette possibilité ne dispense pas de respecter le périmètre exprimé : transmission aux partenaires.

Spécification B-14 : l’export réellement attendu

Considérons un dossier fictif. L’exposant Mécane présente un outil de suivi de maintenance à des responsables d’atelier. Le stand propose d’envoyer une fiche technique déterminée. Mécane retient pour cette réponse professionnelle limitée un intérêt légitime documenté : demande explicite de documentation, coordonnées professionnelles minimales, absence d’historique de déplacement et possibilité de refuser le suivi. Ce choix ne constitue pas une base automatiquement valable pour toute collecte en salon ; il doit satisfaire l’Art. 6(1)(f).

L’organisateur doit, de son côté, justifier la remise des données. Le dossier B-14 suppose qu’il a organisé une transmission transparente, limitée aux exposants effectivement sollicités et compatible avec l’information donnée. Si cette hypothèse n’est pas confirmée, Mécane ne doit pas traiter le fichier comme une liste prête à prospecter.

La spécification suivante est négociée avant le salon.

Cette sélection applique la limitation des finalités et la minimisation des Art. 5(1)(b)–(c). Une colonne supprimée du fichier final ne suffit pas si une autre intégration continue à importer les données exclues.

N’ajoutez pas dans les notes des jugements personnels sur le visiteur. Une indication factuelle comme « demande la fiche maintenance, réponse par courriel » suffit au suivi envisagé. Le nom d’un collègue évoqué pendant l’échange ne devient pas automatiquement un nouveau contact à démarcher.

Dire ce que transmet le badge avant de le lire

Pour B-14, l’exposant pourrait dire :

Le scan nous transmettra votre nom, votre adresse professionnelle, votre entreprise et votre fonction pour vous adresser la fiche de maintenance demandée. Nous n’ajoutons pas d’abonnement à cette demande. Les informations sur ce traitement et vos droits sont disponibles ici.

Cet exemple est une explication de premier niveau, à compléter par une information réellement accessible. Il ne suffit pas si le produit utilisé transmet en réalité le téléphone ou le parcours du visiteur. Alignez le discours, l’interface et l’export.

Les obligations d’information dépendent du circuit. L’exposant recueille directement certains éléments au stand ; il peut recevoir les autres depuis le fichier de l’organisateur. Examinez alors les Art. 13 et 14, notamment l’indication de la source et des catégories pour la collecte indirecte. L’information indirecte doit intervenir dans un délai raisonnable, au plus tard sous un mois, avec les échéances particulières de première communication ou de transmission prévues à l’Art. 14(3).

N’utilisez pas ce délai comme prétexte pour dissimuler la remise au moment du scan. L’exception selon laquelle la personne possède déjà les informations suppose qu’elle dispose effectivement des informations requises sur votre traitement, pas seulement d’une notice générale du salon.

Si le visiteur ne souhaite pas scanner, proposez, lorsque cela répond au besoin, la consultation ou la remise directe du document. Une inscription par QR code peut être un autre parcours, mais ses champs et ses usages doivent être décrits à leur tour.

Recevoir les données avant de déclencher les envois

L’import dans le CRM est une décision de traitement, pas une simple opération de rangement. Le responsable du salon et la personne chargée du CRM doivent contrôler les colonnes, les correspondances de champs et les règles de déclenchement avant l’activation d’une campagne.

Utilisez des enregistrements fictifs pour recevoir le paramétrage. Voici trois résultats attendus ; ils ne décrivent pas un essai réellement effectué.

Le contrôle doit aussi intégrer les oppositions déjà enregistrées. Une nouvelle demande précise peut justifier une réponse limitée, sans remettre automatiquement la personne dans les campagnes qu’elle avait refusées. Si la portée des messages se contredit, clarifiez-la avant une réactivation ; ne faites pas gagner mécaniquement la date du dernier import.

Lorsqu’un choix oral doit être prouvé, conservez son objet et l’information présentée plutôt qu’un simple indicateur « oui ». La fiche de collecte sur un stand aide à organiser cette preuve.

Que faire d’un export trop large ou incomplet ?

Supposons que le fichier livré comporte l’historique des stands malgré l’exclusion B-14. L’équipe suspend l’import, limite l’accès au fichier de transit et demande un export corrigé. Elle ne garde pas les données supplémentaires au motif qu’elles pourraient servir plus tard. Le sort de cette copie est documenté et la configuration à l’origine de la remise est corrigée.

Un fichier sans indication de la demande pose un autre problème. Il peut contenir des coordonnées exactes sans permettre de déterminer leur usage autorisé. Demandez les éléments contemporains disponibles : texte présenté, règles du lecteur, date et objet du suivi. Ne reconstituez pas a posteriori un consentement que personne n’a recueilli.

Si la remise excédentaire constitue une divulgation non autorisée, les acteurs examinent la violation de données et les risques. La documentation et, selon leurs conditions, la notification à l’autorité ou l’information des personnes relèvent des Art. 33 et 34. Tout écart de colonne ne déclenche pas automatiquement les mêmes notifications, mais la correction technique ne remplace pas l’analyse.

Clore le salon et les copies temporaires

Une fois les données utiles intégrées et leur exactitude contrôlée, retirez les accès temporaires au lecteur ou au portail et supprimez les fichiers de transit devenus inutiles. Distinguez la conservation du contact pour sa finalité, celle d’une preuve nécessaire et celle d’une copie de travail. Il n’existe pas de permission générale de tout conserver parce que le salon revient chaque année.

Une statistique de scans n’est pas non plus un nombre de prospects qualifiés : plusieurs scans peuvent concerner la même personne et certaines rencontres ne comportent aucune demande commerciale exploitable. Votre dispositif de génération de contacts commerciaux doit conserver ces différences, y compris dans ses indicateurs.

Ce qu’il faut retenir

• Le badge ouvre un flux de données dont chaque étape doit être justifiée.
• Fixez les champs et les suites prévues avant de choisir les paramètres d’export.
• Distinguez la trace du scan, la demande de suivi et la preuve d’un éventuel consentement.
• Bloquez les données ou permissions inexpliquées avant la campagne, puis traitez la cause.

FAQ

Le commercial peut-il scanner tous les badges proches du stand ?

La proximité ne démontre ni une demande ni une information adéquate. Organisez un échange compréhensible avant la lecture et limitez la collecte à la finalité justifiée.

Un badge déjà scanné par un autre exposant autorise-t-il notre suivi ?

Non. Le choix ou la demande adressés à cet exposant ne vous sont pas automatiquement transférés. Votre traitement doit disposer de son propre fondement et respecter l’information applicable.

Peut-on recevoir toutes les données puis trier dans le CRM ?

Ce tri tardif expose inutilement des informations dès la remise. Définissez un export limité en amont ; si l’outil ne le permet pas, adaptez le circuit plutôt que de considérer sa configuration par défaut comme une justification.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.