Dématérialisation du ticket de caisse : la fin d’une ère ?

À compter du 1er août 2023, l’impression systématique des tickets de caisse sera interdite. Il sera bien évidemment tout à fait possible pour le consommateur de s’y opposer en demandant un ticket de caisse papier, s’il le souhaite. Il sera également possible, sous conditions, pour les commerçants de proposer des tickets dématérialisés (SMS, e-mail, QR Code, etc…). Par conséquent, plusieurs solutions pourront être envisageables : pas de ticket de caisse, ticket papier ou ticket de caisse dématérialisé. Afin de respecter les exigences du RGPD, la CNIL rappelle les règles à respecter et les bonnes pratiques à adopter à mettre en place avant cette date.

Toutes les options doivent être clairement indiquées aux personnes concernées afin qu’ils puissent décider de l’option leur correspondant le mieux en toute connaissance de cause. Lors du passage en caisse, le client doit avoir trois (3) possibilités s’offrant à lui :

1. Par défaut, aucun ticket de caisse ne doit être imprimé pour les achats du quotidien
2. Le client peut demander l’impression d’un ticket de caisse
3. Le client peut demander un ticket dématérialisé si vous proposez une solution alternative.

Afin d’encadre au mieux les solutions de dématérialisation, la CNIL recommande de respecter les règles suivantes :

Dans un premier temps, le commerçant devra communiquer une information générale – premier niveau d’information – à la caisse. Ce premier niveau d’information se compose des indications suivantes : l’identité du responsable du traitement et les objectifs poursuivis par la collecte des données pour que les personnes comprennent l’utilisation qui pourrait en être faite (transmission du ticket de caisse, réutilisation des données à des fins de prospection commerciale) et exercice des droits en cas de prospection commerciale.

En cas de besoin, le commerçant pourra utiliser les données à des fins commerciales. Toutefois, les règles en matière de prospection devront être respectées. Nous vous rappelons que de nombreuses sanctions sont prononcées par la CNIL à ce sujet. Le commerçant pourra prévoir cette information via une affiche en caisse « traditionnelle », avec un éventuel rappel à l’oral par le caissier et/ou via l’interface d’une caisse automatique.

Dans un second temps, le commerçant devra mettre en place un second niveau d’information plus complet en prévoyant un renvoi vers une notice d’information à laquelle le client pourra accéder. Exemple : QR code à scanner permettant d’accéder à l’information générale sur le traitement de données effectué.

L’objectif étant d’éviter au maximum la collecte excessive de données concernant les personnes concernées. Ainsi, la CNIL recommande des solutions permettant aux clients de récupérer leurs tickets de caisse sans transmettre leurs données de contact aux commerçants. Le meilleur exemple reste le QR Code puisque ce dernier ne requiert que la collecte des données nécessaires à l’établissement de la connexion (web ou locale), comme l’adresse IP de l’utilisateur.

Si la récupération du ticket de caisse doit se faire par le biais d’un serveur web, la CNIL recommande de respecter les règles en matière de sécurité, à savoir :

• Mettre en place un système de jeton d’accès (token) ou d’horloge permettant de limiter la durée de disponibilité du ticket de caisse ;
• D’éviter l’utilisation de cookies ou d’autres traceurs sur le serveur web, qui pourraient permettre un suivi ;
• De privilégier le simple téléchargement du ticket de caisse et prévoir une durée de péremption du jeton d’accès.

Certains commerçants peuvent être amenés à collecter les coordonnées des clients – adresse e-mail ou numéro de téléphone – pour leur adresser les tickets de caisse. Ces informations sont régulièrement déjà collectées lors d’un programme de fidélité ou autre. Cette solution présente, selon la CNIL, un risque d’abus. Par conséquent, et en cas de mise en place de cette solution, il faudra permettre aux clients de consentir ou s’opposer de manière simple et transparente. Bien évidemment, il conviendra également de respecter : le principe de minimisation des données, le principe de limitation de la durée de conservation et la sécurisation des données, notamment en limitant l’accès aux données.

Toute l’équipe d’OPTIMEX DATA se tient à votre disposition pour mettre en place les solutions de dématérialisation du ticket de caisse les plus adaptées à votre cas.