Vente directe en agriculture : les données personnelles de votre fichier clients respectent-elles le RGPD ?

Lorsqu’ils passent des commandes en direct auprès d’exploitations agricoles, les consommateurs fournissent librement des données personnelles : adresse électronique personnelle, adresse de livraison (souvent leur domicile), numéro de téléphone, voire date de naissance garantissant qu’ils sont majeurs pour l’achat de produits alcoolisés. Que ces informations soient collectées lors d’une commande, d’un salon, d’un séjour à la ferme ou par l’intermédiaire de relations, et quelle que soit la forme du fichier (application, site internet, tableau Excel, répertoire papier…), le règlement général sur la protection des données ou RGPD, s’applique. Le RGPD constitue le cadre juridique européen régulant la collecte et l’utilisation des données à caractère personnel depuis 2018.

Il est indispensable de se conformer aux exigences du RGPD pour éviter les ennuis, car les conséquences peuvent être lourdes : le traitement de données personnelles obtenues sans le consentement de la personne concernée est puni pénalement de 5 ans d’emprisonnement et de 300 000 € d’amende pour les entrepreneurs individuels, et de 1 500 000 € pour les sociétés.

Comment collecter les données du consommateur en toute transparence ?

Au moment de l’achat, le consommateur fournit volontairement des données. Si vous souhaitez les conserver dans un fichier clients, il faut donc lui demander son consentement. La création d’un compte client, réutilisé pour chaque commande, doit mentionner expressément ce consentement, par exemple en cochant une case. Attention : une case cochée par défaut ne vaut pas consentement univoque, selon le RGPD. Il n’existe pas de consentement par défaut, il doit être univoque. En absence de consentement, le client devra ressaisir ses données à chaque commande. En cas de commande papier ou par SMS, la règle est la même. Mais, par SMS, il est moins aisé de conserver la preuve du consentement initial.

Le consentement est limité dans le temps (2 ans par exemple) et à un usage spécifique à préciser : par exemple pour faciliter les prochaines commandes ou plus largement à des fins commerciales, ce qui donne droit à l’entreprise d’envoyer des offres promotionnelles, génériques ou personnalisées. En dehors des données fournies par le consommateur concerné, il n’est pas autorisé d’ajouter au fichier clients d’autres critères personnels.

Les fichés ont le droit de demander quelles données sont détenues, et de solliciter des modifications ou leur suppression. Afin qu’ils puissent faire jouer ce droit, le nom du responsable de cette base de données, a priori le gérant, doit leur être indiqué. Il ne faudra pas oublier, à la fin de la durée consentie, de leur redemander leur consentement. C’est une bonne occasion de mettre à jour le fichier clients.

Comment réagir en cas de piratage de votre fichier clients ?

Comme beaucoup de PME, les exploitations agricoles sont mal protégées contre les cyberattaques. Si votre fichier clients venait à subir une violation (perte de disponibilité, d’intégrité ou de confidentialité de données personnelles) de manière accidentelle ou illicite, il faut en avertir les personnes concernées et signaler l’intrusion à la Commission nationale de l’informatique et des libertés (CNIL), au maximum dans les 72 heures.

Enfin, la portabilité, c’est-à-dire le transfert à des tiers, est aussi réglementée. En effet, la vente tout comme la mise à disposition gratuite d’un fichier clients ne peut se faire sans avoir recueilli l’autorisation préalable des concernés, d’où l’intérêt de bien conserver le consentement initial.