Droit à l'oubli et fidélité : comment gérer les demandes de suppression

Un de vos clients membres vous demande de supprimer toutes ses données. Comment réagir ? Quelles données devez-vous effacer, dans quel délai, et y a-t-il des exceptions ? Le droit à l'oubli est l'un des droits les plus exercés par les consommateurs — voici comment le gérer correctement.

Sommaire

• Qu'est-ce que le droit à l'oubli selon le RGPD ?
• Quand un client peut-il exercer ce droit dans un programme de fidélité ?
• Quelles données devez-vous supprimer ?
• Procédure de traitement d'une demande de suppression
• Les exceptions légales à la suppression
• Erreurs à éviter
• Conclusion

Qu'est-ce que le droit à l'oubli selon le RGPD ?

Le "droit à l'oubli" est le terme courant pour désigner le droit à l'effacement prévu par l'article 17 du RGPD. Il permet à toute personne physique de demander à un responsable de traitement de supprimer ses données personnelles dans certaines circonstances.

Ce droit existe depuis l'arrêt "Google Spain" de la Cour de Justice de l'Union Européenne en 2014, qui a obligé Google à déréférencer certaines informations personnelles. Le RGPD a ensuite codifié et étendu ce droit à l'ensemble des traitements de données personnelles.

Pour un programme de fidélité, le droit à l'effacement est particulièrement pertinent : votre base de données clients contient des informations nominatives, des habitudes d'achat, des préférences — autant de données que vos clients peuvent légitimement vouloir effacer.

Les chiffres sont parlants : selon une étude de l'ENISA (Agence de l'Union Européenne pour la Cybersécurité), 22 % des Européens ont déjà exercé leur droit à l'effacement auprès d'au moins une organisation. Ce n'est pas un scénario rare — vous y serez confronté.

Bonne nouvelle : KdoFid dispose d'outils intégrés pour traiter ces demandes rapidement et de manière traçable, sans que vous ayez à gérer manuellement l'ensemble des systèmes concernés.

Quand un client peut-il exercer ce droit dans un programme de fidélité ?

L'article 17 du RGPD liste les cas dans lesquels le droit à l'effacement peut être exercé :

1. Les données ne sont plus nécessaires

Si le client a quitté votre programme depuis longtemps et que vous n'avez plus de raison de conserver ses données, il peut demander leur suppression.

2. Retrait du consentement

Si le traitement reposait uniquement sur le consentement (ex : envoi de newsletters), et que le client retire ce consentement, il peut exiger la suppression des données associées.

3. Opposition au traitement

Le client peut s'opposer au traitement de ses données à des fins de prospection commerciale, et demander la suppression des données utilisées à cette fin.

4. Traitement illicite

Si vos données ont été collectées sans base légale valide, le client peut demander leur effacement.

5. Clôture du compte

Lorsqu'un client clôture son compte de fidélité, il peut demander simultanément la suppression de l'ensemble de ses données.

Dans la grande majorité des cas rencontrés par les commerçants, les demandes de suppression arrivent dans deux contextes : un client qui décide de clôturer son compte, ou un client mécontent qui veut "disparaître" de votre base de données.

Quelles données devez-vous supprimer ?

Une demande d'effacement valide oblige à supprimer l'ensemble des données personnelles concernant le client, dans tous les systèmes où elles sont stockées :

Données dans votre programme de fidélité (KdoFid) :

• Nom, prénom, adresse email, numéro de téléphone
• Historique des points et transactions
• Préférences et données de profil
• Consentements enregistrés

Données dans vos autres systèmes :

• Base de données de votre logiciel de caisse (si elle contient des données nominatives)
• Listes de diffusion email (Mailchimp, Brevo, etc.)
• CRM ou fichier clients Excel
• Sauvegardes (attention : les données doivent être supprimées des sauvegardes à leur prochaine rotation)

Données archivées :

Les données archivées (sauvegardées mais non utilisées activement) sont également concernées. Vous devez les supprimer lors de la prochaine rotation des archives, ou les anonymiser immédiatement.

KdoFid permet de supprimer l'intégralité du profil d'un client en un seul clic depuis le dashboard. Cette action est irréversible, horodatée et traçable. Un rapport de suppression peut être exporté pour attester de l'exécution auprès du client ou de la CNIL.

Procédure de traitement d'une demande de suppression

Voici la procédure à suivre, étape par étape, pour chaque demande de suppression :

Étape 1 : Réception et enregistrement de la demande

• Notez la date de réception de la demande (délai de réponse : 1 mois maximum).
• Consignez la demande dans votre registre de traitement des droits.

Étape 2 : Vérification de l'identité du demandeur

• Vous avez le droit de demander une justification d'identité si vous avez un doute raisonnable (ex : email différent du compte).
• Ne demandez pas de justification si la demande provient du compte officiel du client.

Étape 3 : Vérification de la légitimité de la demande

• Vérifiez qu'une des conditions de l'article 17 est bien remplie (voir section précédente).
• Si la demande est fondée, passez à l'étape suivante.
• Si vous pensez que la demande n'est pas fondée (ex : obligations légales de conservation), répondez au client en expliquant les motifs du refus dans le délai d'un mois.

Étape 4 : Exécution de la suppression

• Supprimez les données dans KdoFid depuis la fiche client (bouton "Supprimer ce compte").
• Supprimez les données dans vos autres systèmes (email, logiciel de caisse, etc.).
• Documentez les actions effectuées et leur date.

Étape 5 : Confirmation au client

• Envoyez un email de confirmation au client indiquant que sa demande a été traitée et que ses données ont été supprimées.
• Conservez une copie de cette confirmation.

Délai légal : vous avez 1 mois pour répondre à une demande d'effacement. Ce délai peut être prolongé de 2 mois supplémentaires en cas de demande complexe, à condition d'en informer le client dans le premier mois.

Les exceptions légales à la suppression

Le droit à l'effacement n'est pas absolu. L'article 17 paragraphe 3 du RGPD prévoit plusieurs exceptions :

Obligations légales de conservation

Certaines données doivent être conservées en vertu d'obligations légales françaises, même si le client demande leur suppression :

• Données comptables : les données de transactions (montant, date) doivent être conservées 10 ans en application du Code de commerce.
• Données fiscales : conservation obligatoire pour les besoins du contrôle fiscal.
• Données de facturation : pour les professionnels, 10 ans.

Conséquences pratiques :

Si un client demande la suppression de ses données, vous pouvez :

• Supprimer ses données personnelles d'identification (nom, email, téléphone, préférences)
• Anonymiser (et non supprimer) les données de transaction en remplaçant l'identité par un identifiant anonyme ("Client #12345")
• Conserver les données anonymisées pour vos obligations comptables

C'est la solution recommandée par la CNIL : anonymisation des données de transaction, suppression des données d'identification.

Défense en justice

Vous pouvez refuser de supprimer des données si elles sont nécessaires à la défense de droits dans une procédure judiciaire en cours.

Dans KdoFid, le processus de suppression propose automatiquement deux options : suppression complète ou anonymisation des transactions avec suppression des données personnelles. Cette distinction est conforme aux recommandations de la CNIL.

Erreurs à éviter

• Ignorer ou retarder une demande de suppression : le délai d'un mois est strict. Un retard non justifié peut entraîner une plainte auprès de la CNIL.
• Supprimer uniquement les données du programme de fidélité en oubliant les autres systèmes (newsletter, logiciel de caisse) : la suppression doit être complète et transversale.
• Supprimer les données comptables obligatoires : certaines données doivent être conservées pour des raisons légales. Préférez l'anonymisation pour les données de transaction.
• Ne pas documenter la suppression : en cas de plainte, vous devez prouver que la suppression a bien été effectuée et dans les délais.
• Demander une justification systématique : vous ne pouvez exiger une preuve d'identité que si vous avez un doute raisonnable. En demander systématiquement crée un obstacle à l'exercice des droits.
• Ne pas informer vos sous-traitants : si KdoFid et d'autres prestataires ont accès aux données, ils doivent également être notifiés de la suppression.

Conclusion

Le droit à l'oubli est un droit fondamental que vos clients peuvent exercer à tout moment. En vous dotant d'une procédure claire — réception, vérification, suppression, confirmation — vous gérez ces demandes efficacement, dans les délais légaux et sans risque de sanction.

KdoFid vous accompagne avec des outils intégrés de gestion des droits des personnes : suppression en un clic, anonymisation des transactions, traçabilité des actions et export de confirmation. Votre conformité RGPD est assurée de bout en bout.

Prêt à gérer votre programme de fidélité en toute conformité RGPD ?

Créez votre compte KdoFid gratuitement →

Article mis à jour le 2026-03-01. Catégorie : Fidéliser mes clients. Temps de lecture : 7 min.