Pourquoi une liste d’invités est une donnée personnelle
Le Règlement général sur la protection des données s’applique dès que vous traitez des informations sur des personnes identifiables dans l’Union européenne et l’Espace économique européen ; en France, la loi Informatique et Libertés et les recommandations de la CNIL le complètent. Toute liste d’invités est concernée : un nom et une adresse e-mail suffisent. Un registre d’entrée qui indique qui est arrivé et à quelle heure l’est aussi, tout comme une galerie photo où les invités sont reconnaissables.
Certaines réponses demandent une attention particulière. Une précision alimentaire qui révèle une religion, une allergie ou un besoin d’accessibilité peut relever des données sensibles, notamment de santé. Ne la demandez que si vous allez l’utiliser, et ne la transmettez qu’à ceux qui doivent agir.
Une base légale pour chaque finalité
Le RGPD exige une base légale par finalité, pas une seule pour tout l’événement. Inviter des salariés à un événement d’entreprise, traiter la réponse d’un invité et le faire entrer reposent généralement sur d’autres fondements que l’ajouter ensuite à une liste de prospection. Écrivez chaque finalité et sa base légale avant le premier envoi.
- Contrat ou mesures précontractuelles : un invité s’inscrit ou réserve une place, et vous avez besoin de ses coordonnées pour l’honorer.
- Intérêt légitime : par exemple inviter des contacts professionnels existants, mis en balance avec ce que les invités peuvent raisonnablement attendre.
- Consentement : pour tout ce qui est facultatif, comme la prospection après l’événement ou le partage avec un sponsor ; libre, spécifique, éclairé et aussi facile à retirer qu’à donner.
- Obligation légale : lorsqu’un texte impose de conserver une trace, par exemple certaines pièces comptables.
Ne collecter que ce dont l’événement a besoin
La minimisation des données est le principe qui évite le plus d’ennuis. Chaque champ d’un formulaire de réponse est un champ à protéger, à justifier et, un jour, à supprimer. Avant d’ajouter une question, demandez-vous ce que vous ferez de la réponse et qui la verra. Date de naissance, adresse personnelle et fonction sont souvent demandées par habitude et jamais utilisées.
Informez les invités, au moment de la collecte, de ce que vous collectez et pourquoi, en termes simples : une courte mention à côté du formulaire, avec un lien vers la politique de confidentialité complète. Indiquez qui est responsable du traitement, à quoi servent les données, à qui elles sont transmises et combien de temps elles sont conservées.
Un consentement qui a du sens
Lorsque vous vous appuyez sur le consentement, il doit s’agir d’un vrai choix. Une case précochée ou un consentement noyé dans des conditions générales ne compte pas. Demandez séparément pour chaque finalité facultative, gardez une trace de qui a accepté quoi et quand, et rendez le retrait facile.
Il en va de même pour les photos et vidéos. Prévenez les invités, dans l’invitation et à l’entrée, si l’événement est photographié ou filmé, proposez si possible un moyen de ne pas apparaître, et réfléchissez à deux fois avant de publier des images reconnaissables d’invités qui ne s’y attendaient pas.
Sponsors, exposants et autres destinataires
Remettre la liste des participants à un sponsor parce qu’il a payé un stand est l’une des erreurs de confidentialité les plus courantes dans l’événementiel. Un sponsor est une organisation distincte ; lui transmettre les coordonnées des invités suppose normalement l’accord propre et spécifique de chaque invité. Le schéma le plus sûr : chaque visiteur choisit lui-même, au stand, de partager ou non ses coordonnées avec ce sponsor, et ce choix est enregistré.
Vos prestataires sont un autre cas. Une plateforme d’inscription, un service d’e-mailing ou un imprimeur de badges qui traite des données pour votre compte est un sous-traitant ; il vous faut un contrat de sous-traitance écrit avec chacun. Vérifiez où les données sont hébergées et ce qu’elles deviennent à la fin du contrat.
Sécuriser, et ne conserver que le temps nécessaire
La sécurité fait partie du règlement, ce n’est pas un supplément. Limitez qui, dans l’équipe, voit la liste complète, évitez de faire circuler des tableurs d’invités par e-mail, protégez les appareils d’accueil et retirez les accès à la fin de l’événement. En cas d’incident, par exemple une liste envoyée à la mauvaise personne, le RGPD demande d’évaluer rapidement la situation et, si elle présente un risque pour les personnes, de notifier la CNIL dans les meilleurs délais et si possible dans les 72 heures.
Fixez une durée de conservation pour chaque type de données et respectez-la. Un registre d’entrée peut servir quelques semaines, la liste des personnes qui souhaitent être informées des prochains événements plus longtemps, une précision alimentaire plus du tout une fois le dîner passé.
Demandes d’accès et d’effacement des invités
Les invités peuvent vous demander ce que vous détenez sur eux, le faire rectifier ou effacer. Le RGPD vous laisse en principe un mois pour répondre. Décidez à l’avance qui traite ces demandes, comment vous vérifiez l’identité du demandeur et où vous chercherez, y compris dans les tableurs sur les ordinateurs portables et les exports envoyés aux prestataires.
- Une personne ou une adresse identifiée pour les demandes relatives aux données.
- Un inventaire de tous les endroits où se trouvent des données d’invités, copies et prestataires compris.
- Un modèle de réponse court pour l’accès, la rectification et l’effacement.
- Un registre de chaque demande et de la date de réponse.
- Une vérification que sponsors et prestataires effacent aussi leurs copies, le cas échéant.