[Juridique] CGV et RGPD : quelles garanties pour les données personnelles de l'acheteur ?

Depuis l'entrée en vigueur du RGPD, le 25 mai 2018, les entreprises doivent assurer la protection des données personnelles de leurs clients. Les CGV, document contractuel sur lequel repose les relations commerciales, doivent de ce fait nécessairement être à jour. Il convient alors de préciser quelles sont les garanties requises pour sécuriser les données à caractère personnel.

Comment s'assurer de la conformité des CGV au RGPD ?

Toutes les entreprises qui collectent des données personnelles telles que le nom, l'adresse mail ou encore le numéro de téléphone, doivent indiquer dans les CGV le sort réservé au traitement de ces données. Les clients devront alors accepter les CGV de manière claire et sans réserve. Le corollaire est qu'ils doivent être informés de la faculté de refuser le traitement de leurs données personnelles. Il faut donc être vigilant quant à la façon dont le consentement est recueilli. Il est par exemple prohibé que la case d'acceptation soit cochée par défaut.

Les CGV devront être rédigées avec précision et être le plus détaillées possible. Les personnes concernées seront notamment informées de la finalité du traitement, de la durée de conservation des données, de leurs droits, de l'identité et coordonnées du responsable du traitement des données, etc. Droit d'accès, de rectification et de retrait, ou encore portabilité des données font partie des droits désormais accordés aux clients.

Les mentions obligatoires imposées par le RGPD sont bien trop nombreuses pour être énumérées de manière exhaustive: il est important de prendre contact avec un professionnel du droit qui saura s'assurer du respect de toutes les obligations légales.

Non-conformité des CGV au RGPD : quelles sont les sanctions prévues ?

Depuis le 25 mai 2018, les CGV doivent être conformes aux nouvelles exigences imposées par le RGPD. Les entreprises ne présentant pas toutes les garanties nécessaires pour protéger les données personnelles des acheteurs sont susceptibles d'être sanctionnées. Ainsi, en cas de non-respect des dispositions du RGPD, la CNIL pourra en principe sanctionner les entreprises. Deux niveaux de sanctions sont prévus en fonction de la durée, de la nature et l'importance de l'infraction constatée.

Une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pourra être prononcée pour les manquements les plus faibles. Les infractions les plus graves pourront quant à elles être sanctionnées par une amende de 4 % du chiffre d'affaire ou 20 millions d'euros.

Il convient enfin de préciser que les entreprises faisant appel à des sous-traitants ne seront pas dédouanées de toute responsabilité. Le RGPD a en effet institué un principe de coresponsabilité entre les différents intervenants. Au-delà de la sanction financière, le non-respect du RGPD pourrait ternir l'image de l'entreprise et ainsi avoir des conséquences sur sa réputation et son activité.

Gérard Picovschi, avocat Selas Avocats Picovschi

Lire aussi, de ce même auteur:

[Juridique] Rupture brutale du contrat de fourniture au sein d'un réseau : qui est responsable ?

[Juridique] La clause d'approvisionnement exclusif dans le contrat de franchise

[Tribune] Le déséquilibre significatif dans le contrat : quels sont les risques ?

[Tribune] Obligation d'information : renseigner son partenaire pour éviter les conflits

[Tribune] Révision du contrat de vente en raison d'imprévus : quelle nouveauté ?

[Tribune] INCOTERMS : La détermination des obligations de l'acheteur et du vendeur