QR : l’utilisation de la carte d’identité comme carte de fidélité est-elle légale ?

Jean-Pol Vanderbeck de Laneffe interroge la rédaction de la RTBF sur l’utilisation croissante de la carte d’identité comme carte de fidélité par les magasins. L’Autorité de protection des données a sommé Freedelity d’apporter des modifications concernant la durée de conservation des données, la quantité de données récoltées et le consentement des clients.

Dans notre séquence QR, Jean-Pol Vanderbeck de Laneffe interroge la rédaction de la RTBF : « Est-ce normal que de plus en plus de magasins utilisent la carte d’identité comme carte de fidélité ? »

**Légal, oui, mais à deux conditions**

Si l’on s’intéresse à ce que dit la loi, deux textes s’imposent. Le premier est une loi de 1991 sur la carte d’identité électronique. Elle stipule que demander la carte d’identité d’un citoyen pour fournir un service ou un avantage est légal si et seulement si une alternative lui est aussi proposée. « Par exemple, proposer au client de juste donner son nom, que la personne à la caisse l’encode dans son système informatique de manière à ce que le client n’ait qu’à le donner quand il revient », détaille Florian Jacques, chercheur à la faculté de droit de l’Université de Namur.

Plus récemment, en 2018, le Règlement général sur la protection des données (RGPD) a été instauré concernant le traitement des données à caractère personnel, ajoutant une seconde condition : le consentement libre et éclairé. « Pour simplifier, le client doit pouvoir dire ‘oui’ ou ‘non’ (consentement libre) et s’il donne son consentement, encore faut-il qu’il sache ce que ça implique (consentement éclairé) », précise Florian Jacques.

Le client doit notamment se voir expliquer que les données collectées sur sa carte d’identité vont se retrouver dans une vaste base de données à laquelle l’ensemble des enseignes qui recourent à ce système ont accès.

**Freedelity dans le viseur de l’Autorité de protection des données**

Des conditions qui ne semblent pas toujours respectées. Preuve en est : l’Autorité de protection des données (APD) a sommé l’entreprise qui chapeaute ce système, Freedelity, d’apporter une série de modifications. Trois problèmes ont effectivement été constatés.

Le premier concerne la durée de conservation des données personnelles des clients. Elle est actuellement de 8 ans. L’Autorité de protection des données demande à ce qu’elle soit ramenée à 3 ans.

Deuxième problème, la quantité de données récoltées, ce qu’on appelle « la minimisation des données » dans le jargon. « Le règlement général de la protection des données prévoit qu’on ne traite que les données nécessaires à la finalité poursuivie. En analysant le cas Freedelity, on a remarqué qu’ils collectaient la commune dans laquelle la carte d’identité avait été émise ou encore le numéro de carte d’identité. Pourquoi les enseignes ont-elles besoin de ça pour leur gestion client ? Ça n’est pas nécessaire », précise Aurélie Waeterlinckx, porte-parole de l’Autorité de protection des données.

Enfin, un souci en termes de consentement a également été épinglé. « Un consentement doit pouvoir être retiré aussi facilement qu’il n’a été donné. Or, on a remarqué que ce n’était pas le cas dans le système actuel », explique Aurélie Waeterlinckx.

**Une bataille judiciaire**

Mais la société Freedelity ne s’est pas laissée faire. Son CEO a précisé qu’en 15 ans, les données de 7 millions de Belges avaient été collectées, sans que cela ne donne lieu à la moindre plainte fondée. Freedelity a donc fait appel. La cour de marchés a donné raison à l’Autorité de protection des données sur le fond en juin dernier. Un aménagement a tout de même été réclamé : il est impossible pour Freedelity de se conformer aux demandes de l’APD dans le délai imparti de 4 mois, ce délai a donc été doublé.

Nouvelle réplique de Freedelity qui s’oppose cette fois au calendrier révisé. Tout cela est désormais entre les mains des juges de la cour de Cassation. Soit, le fond est à nouveau validé et Freedelity n’aura d’autre choix que de se mettre en ordre sous peine de devoir payer des astreintes de 5000 euros par jour de retard, soit Freedelity a gain de cause et rien ne change. La procédure est toujours en cours.

**QR répond à vos questions**

Cet article a été rédigé en réponse à une question posée directement à la rédaction de la RTBF. Vous aussi, faites entendre votre curiosité et posez-nous vos questions via le formulaire ci-dessous. Et votre sujet pourrait inspirer notre prochain article « Questions-Réponses ».