Aller au contenu

Étude de cas – Le fichier clients de Primeur & Co

BTS SIO SISR 1re année – CEJM et CEJMA – S13

Note

Comment travailler. Lis le dossier, puis réponds par écrit à chaque question, avec une réponse construite et argumentée : une idée, sa justification, l'exemple tiré du dossier. Ouvre ensuite « Voir la réponse attendue » pour te corriger. À l'épreuve E4, une réponse sans justification n'est pas complète.

Dossier : le fichier clients de Primeur & Co

Note

L'entreprise et les personnes sont fictives.

Document 1 – Le contexte

Primeur & Co est une entreprise de livraison de paniers de fruits et légumes. Elle utilise un logiciel de gestion en SaaS (éditeur : GestiCloud). Elle collecte : nom, adresse, téléphone, courriel, date de naissance, allergies alimentaires (pour adapter les paniers), historique des commandes.

Document 2 – Les pratiques

  • Les données sont conservées « sans limite ».
  • Une newsletter est envoyée à tous les clients, y compris ceux qui n'ont jamais accepté.
  • Il n'existe aucun registre ; le formulaire du site ne donne aucune information.
  • L'éditeur GestiCloud n'a signé aucun contrat particulier ; il utilise un sous-traitant d'hébergement.
  • La date de naissance sert « parce que ça peut servir un jour ».

Questions

1. Identifiez le responsable de traitement et le sous-traitant. Quel document manque entre eux ?

Voir la réponse attendue

Responsable : Primeur & Co (elle décide des finalités et des moyens). Sous-traitant : GestiCloud (traite pour son compte) ; l'hébergeur de GestiCloud est un sous-traitant ultérieur. Il manque le contrat de sous-traitance de l'article 28 (objet, durée, instructions, sécurité, sous-traitance ultérieure…).

2. Classez les données collectées : personnelles ? sensibles ?

Voir la réponse attendue

Toutes sont personnelles. Les allergies peuvent relever des données de santé, donc sensibles (article 9) : un traitement spécifique est à justifier (consentement explicite, par exemple) et à protéger davantage.

3. Relevez les principes du RGPD que ces pratiques violent (citez-en quatre).

Voir la réponse attendue

Limitation de conservation (« sans limite ») ; minimisation (date de naissance inutile) ; transparence (aucune information) ; licéité (newsletter sans base légale valable : consentement manquant pour la prospection) ; responsabilité (aucun registre, aucune preuve).

4. Pour chaque finalité (livraison, newsletter, paniers adaptés aux allergies), indiquez la base légale.

Voir la réponse attendue

Livraison : contrat. Newsletter : consentement (ou, dans certains cas de clients existants et de produits analogues, intérêt légitime avec possibilité de s'opposer : à vérifier). Allergies : consentement explicite (donnée de santé, article 9).

5. Proposez des durées de conservation raisonnables pour trois catégories de données (justifiez).

Voir la réponse attendue

Exemples (valeurs indicatives, à justifier par la finalité) : compte client actif → durée de la relation ; prospects inactifs → trois ans après le dernier contact ; factures → durée légale de conservation comptable (dix ans, à vérifier) ; allergies → durée de la relation, puis suppression. Le principe : durée adaptée à la finalité, pas « sans limite ».

6. Rédigez les mentions d'information minimales du formulaire d'inscription.

Voir la réponse attendue

Identité du responsable et contact, finalités, base légale, destinataires (GestiCloud…), durée de conservation, droits (accès, rectification, effacement, opposition, limitation, portabilité), droit de réclamation auprès de la CNIL, éventuel transfert hors UE.

7. Dressez un plan d'action en cinq points pour mettre Primeur & Co en conformité.

Voir la réponse attendue

(1) Établir le registre ; (2) supprimer la date de naissance et définir les durées ; (3) recueillir un consentement valide pour la newsletter ; (4) signer le contrat de sous-traitance avec GestiCloud ; (5) rédiger l'information des personnes et former l'équipe. Éventuellement désigner un référent.

Je sais faire

Coche honnêtement ; ce que tu ne coches pas se reprend avant la séance suivante.

  • Définir donnée personnelle et donnée sensible
  • Distinguer responsable et sous-traitant
  • Citer les principes de l'article 5
  • Choisir une base légale
  • Citer le registre, l'information, l'AIPD

Ce que je dois reprendre : ______________________

Ma question à poser à l'enseignant : ______________________