Collecte des adresses de livraison et RGPD : ce que vous avez le droit de faire

C'est exactement là que le RGPD entre dans la conversation, et la réponse n'est pas la même selon que le colis part au bureau ou au domicile.

Ce que le RGPD appelle une adresse

Un nom associé à une adresse identifie une personne physique : c'est une donnée personnelle, y compris au bureau. Des coordonnées ne sortent pas du champ du règlement parce qu'elles sont professionnelles.

La différence tient au niveau d'intrusion. Un colis au siège ne surprend personne. L'adresse du domicile révèle le quartier, le type d'habitat, parfois la composition du foyer — et la CNIL est explicite : un traitement fondé sur l'intérêt légitime « ne doit pas surprendre les personnes » dont les données sont traitées.

Sur quelle base légale collecter l'adresse

Deux bases sont réalistes ici : l'intérêt légitime et le consentement. La CNIL pose trois conditions cumulatives à la première : un intérêt réel, présent et licite ; un traitement nécessaire, sans alternative moins intrusive ; une mise en balance respectant les droits et les attentes raisonnables des personnes.

Entretenir une relation commerciale est un intérêt admis, et envoyer un coffret à l'adresse professionnelle d'un interlocuteur s'y rattache sans difficulté. C'est la logique que la CNIL applique au courrier postal : pas de consentement préalable, mais une information claire et un moyen simple de s'y opposer.

Le domicile change l'équilibre. Vous n'avez en principe aucune source légitime pour l'obtenir sans le demander ; et si vous le détenez déjà pour une autre raison, le réutiliser pour une opération de fin d'année crée une nouvelle finalité, à justifier et à annoncer.

Le cas de vos salariés

Vous détenez déjà leur adresse pour la paie, au titre d'une obligation légale. L'employer pour expédier un cadeau est une finalité distincte, généralement rattachable à l'intérêt légitime de l'employeur en matière d'avantages sociaux, à condition d'informer et de laisser un choix. La CNIL est nette : aucune information concernant un salarié ne peut être collectée par un dispositif qui n'a pas été préalablement porté à sa connaissance.

Concrètement : une note interne qui explique l'opération, la possibilité de préférer une remise sur site, et rien d'autre que l'adresse dans le fichier transmis. Les cadeaux aux salariés en fin d'année butent moins sur le RGPD que sur l'impression d'être fiché.

Ces principes restent généraux. Le montage exact de votre traitement — finalités, base légale, registre — doit être validé par votre DPO ou votre conseil.

Ce que vous devez dire à la collecte

L'information n'est pas une case à cocher, c'est une liste. La CNIL énumère ce qui doit être porté à la connaissance des personnes :

• l'identité et les coordonnées du responsable de traitement, et celles du DPO s'il y en a un ;
• la finalité poursuivie et la base légale retenue ;
• le caractère obligatoire ou facultatif des réponses ;
• les destinataires, prestataire logistique compris, et la durée de conservation ;
• les droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que le droit de réclamation auprès de la CNIL.

Le calendrier compte autant que le contenu. Collecte directe : l'information se donne au moment même de la saisie. Collecte indirecte, quand la liste vient d'un service commercial ou d'un partenaire : dès que possible, et au plus tard dans un délai d'un mois.

Le piège du formulaire au destinataire

Demander l'adresse à l'intéressé est la solution la plus solide juridiquement, et celle qui casse le plus souvent l'opération. Quatre écueils reviennent.

• La surprise disparaît. Un formulaire qui annonce « indiquez votre adresse pour recevoir votre cadeau » vend la mèche. Un budget que le destinataire dépense lui-même assume ce partage ; une surprise, non.
• Le consentement doit rester libre. Conditionner la réception du cadeau à l'acceptation d'une newsletter le vicie. Deux cases distinctes, ou pas de deuxième case.
• La minimisation vaut aussi pour le formulaire. Date de naissance, second numéro, fonction précise : si ce n'est pas nécessaire à la livraison, le champ n'existe pas. Un téléphone se justifie si le transporteur s'en sert pour prévenir ; dites-le à cet endroit.
• Une part des destinataires ne répondra pas. Prévoyez le repli dès le départ : envoi au bureau, remise en main propre, relance à date fixe.

Combien de temps conserver les adresses

Une donnée se conserve le temps de la finalité qui la justifie. Une adresse collectée pour livrer un coffret n'a plus d'utilité active une fois le coffret remis et le délai de réclamation passé. Distinguez trois régimes.

Quand une donnée doit survivre pour un motif légal ou contentieux, la CNIL demande qu'elle bascule dans une base d'archives dédiée, isolée de la base active par des mesures techniques. C'est ce qui empêche une adresse personnelle de ressortir dans une campagne trois ans plus tard.

Le prestataire qui expédie est sous-traitant

Dès qu'une plateforme traite les adresses pour votre compte et sur vos instructions, elle agit comme sous-traitant et vous restez responsable de traitement. L'article 28 du RGPD impose un contrat écrit précisant l'objet et la durée du traitement, sa nature et sa finalité, les types de données et les catégories de personnes concernées, vos obligations et vos droits. Vérifiez aussi qu'il prévoit :

• le traitement sur instructions documentées uniquement ;
• la confidentialité imposée au personnel ;
• le régime d'autorisation des sous-traitants ultérieurs, transporteur compris ;
• l'assistance en cas d'exercice des droits par un destinataire ;
• la notification des violations de données et son délai ;
• les mesures de sécurité techniques et organisationnelles, et la documentation permettant un audit ;
• le sort des données en fin de prestation : restitution ou destruction.

Un signal doit vous alerter : si le prestataire décide lui-même de ce qu'il fait des adresses — prospection pour son compte, enrichissement, revente — il n'est plus sous-traitant mais responsable de traitement. La question vaut autant pour un envoi ponctuel que pour une campagne de deux cents cadeaux gérée sur plateforme.

Checklist avant votre campagne

1. Tranchez la destination : bureau par défaut, domicile sur choix de la personne. Sujet détaillé dans notre article sur la livraison des cadeaux clients au domicile.
2. Inscrivez l'opération au registre des traitements avec sa base légale.
3. Placez la mention d'information là où l'adresse est saisie, et réduisez les champs au nécessaire.
4. Relisez le contrat de sous-traitance avant de transmettre le moindre fichier.
5. Fixez la date de purge en même temps que la date d'envoi, et faites valider l'ensemble par votre DPO.

Questions fréquentes

Puis-je envoyer un cadeau au domicile d'un client sans le lui demander ?

Si vous détenez cette adresse, c'est qu'elle vous a été donnée pour autre chose. L'utiliser pour un envoi non annoncé sort des attentes raisonnables de la personne et fragilise l'intérêt légitime. Demander reste la voie sûre.

Faut-il un consentement écrit pour livrer chez un salarié ?

L'enjeu est moins la forme du consentement que l'information préalable et la possibilité réelle de refuser la livraison à domicile. Une note interne claire et une alternative sur site couvrent l'essentiel ; votre DPO tranchera la base légale.

Que faire si un destinataire demande la suppression de son adresse ?

Traitez la demande dans le fichier de l'opération et dans la base active, et vérifiez que le prestataire l'a répercutée. Le contrat de sous-traitance doit prévoir cette assistance.

Un tableur d'adresses envoyé par courriel pose-t-il problème ?

C'est le point faible le plus courant : le fichier se duplique, reste dans des boîtes, part en copie. Un dépôt sécurisé et une purge datée valent mieux qu'une pièce jointe, à plus forte raison sur une commande de plusieurs centaines d'unités.

En résumé

Le RGPD ne vous interdit pas d'envoyer des cadeaux : il vous demande de savoir pourquoi vous détenez chaque adresse et jusqu'à quand. L'adresse professionnelle se traite sur l'intérêt légitime, avec information et droit d'opposition. L'adresse du domicile se demande.

Le reste tient à trois réflexes : informer au bon moment, contractualiser avec le prestataire, purger après la livraison. Le guide des cadeaux d'entreprise replace ces arbitrages dans le parcours d'achat complet.

Si vous préparez une campagne et souhaitez cadrer la collecte des adresses avant de lancer les envois, décrivez votre opération pour recevoir un devis.