Comment collecter et publier des avis clients conformes au RGPD ?

Un client vous envoie un message enthousiaste après un achat ou une prestation. La tentation est forte de faire une capture d’écran pour afficher cet avis sur votre page de vente. Pourtant, un témoignage client qui permet d’identifier son auteur implique nécessairement le traitement de données à caractère personnel. La collecte et la publication des témoignages client doivent donc respecter le RGPD. Infolawyers accompagne les entrepreneurs du web pour sécuriser ce type de pratique sans sacrifier l’efficacité de leurs actions marketing. Voici nos conseils pour savoir comment collecter et publier des avis clients conformes au RGPD. 

L’essentiel à retenir pour collecter publier des avis clients en respectant le RGPD

• Un témoignage associé à un nom, une photo ou toute autre information permettant d’identifier son auteur contient des données à caractère personnel.
• Collecter ces données et les publier sur votre site constituent donc des traitements qui doivent respecter le RGPD.
• Tout traitement de données personnelles doit reposer sur une base légale. Le consentement n’est pas la seule prévue par le RGPD. À vous de déterminer celle qui correspond au traitement réalisé.
• Si vous décidez de fonder votre traitement sur le consentement de vos clients, celui-ci doit être libre, spécifique, éclairé et univoque. Vous devez aussi être en mesure d’en apporter la preuve.
• Un commentaire déjà visible sur Google, LinkedIn ou un autre espace public n’échappe pas au RGPD.
• Les avis en ligne relèvent aussi, dans certaines situations, des règles du Code de la consommation. Respecter le RGPD ne suffit donc pas toujours à sécuriser leur publication.

Quelles sont les règles à respecter lors de la collecte et de la publication d’un avis clients ?

Un témoignage client permet très souvent d’identifier son auteur grâce à un prénom associé à une photo, une fonction, un compte sur un réseau social, etc. Dans ce cas, vous traitez des données à caractère personnel, définies par le RGPD comme toute information se rapportant à une personne physique identifiée ou identifiable. L’identification directe n’est pas nécessaire. Le recoupement de plusieurs éléments, par exemple un prénom associé à une fonction et au nom d’une entreprise, peut suffire à désigner une personne précise.

Première conséquence, le RGPD s’applique à toute la chaîne, pas seulement à la mise en ligne. Demander un retour, enregistrer la réponse dans votre CRM, la conserver pour plus tard, la publier. Chacune de ces étapes est un traitement. Le sujet commence donc dès le premier email, pas le jour de la publication.

Gardez en tête que peu importe le canal (formulaire après une prestation, questionnaire de satisfaction, demande d’avis par email, etc.), vos obligations restent les mêmes. En pratique, voici la marche à suivre.  

Déterminez les finalités du témoignage avant de le collecter

Commencez par définir ce que vous comptez faire du retour obtenu. Une enquête destinée à mesurer la satisfaction client ne poursuit pas le même objectif qu’un témoignage affiché sur une page de vente.

Cette réflexion est primordiale. Si vous recueillez un avis pour évaluer votre prestation, ne considérez pas que vous disposez automatiquement de l’autorisation d’afficher le nom, la photo et les propos du client sur votre site. Une donnée personnelle se collecte pour une finalité déterminée, explicite et légitime. Une autorisation obtenue dans un contexte précis ne vaut donc pas blanc-seing pour tous vos utilisations marketing.

Définissez donc l’utilisation de vos avis en amont (publication sur votre site, intégration à vos supports commerciaux, reprise dans une publicité, etc.). Vous pourrez alors déterminer la base légale adaptée et fournir au client les informations requises.

Ne collectez que les données dont vous avez besoin

Le principe de minimisation est essentiel en matière de RGPD. Il consiste à limiter votre collecte aux données absolument nécessaires au regard de la finalité poursuivie.

Prenons un cas concret. Vous souhaitez afficher sur votre page de vente le témoignage d’un dirigeant qui utilise votre service. Son prénom, sa fonction et son retour d’expérience suffisent peut-être à donner du contexte. Demander en plus son adresse personnelle ou sa date de naissance n’apporte rien à cet objectif et sera jugé excessif. 

Informez le client au moment de la collecte

Votre client doit comprendre ce qui arrivera à ses données avant de vous les transmettre. 

Vous devez donc notamment l’informer :

• de l’identité et des coordonnées du responsable du traitement ;
• de la finalité du traitement et de sa base légale (et, si vous retenez l’intérêt légitime, de l’intérêt poursuivi) ;
• des destinataires éventuels des données ;
• de leur durée de conservation ;
• de ses droits, notamment d’accès et d’effacement, ainsi que, selon la base légale retenue, de son droit de retirer son consentement à tout moment ou de s’opposer au traitement ;
• de la possibilité d’introduire une réclamation auprès de la CNIL. 

Ne cachez pas ces indications au fond d’une politique de confidentialité difficile à retrouver. Présentez-les au moment de la collecte, quitte à prévoir un accès à une information plus détaillée par la suite. C’est à ce moment précis que vous devez les communiquer, pas six mois plus tard, quand le client découvre sa photo sur votre page de vente.

Faut-il le consentement du client pour publier son témoignage ?

Le consentement est une base légale possible, mais ce n’est pas la seule puisque le RGPD en prévoit six. Votre rôle est donc d’identifier celle qui correspond à votre traitement avant de collecter et d’utiliser les données de vos clients, qu’il s’agisse d’un témoignage en ligne ou d’un avis Google que vous reprenez.

Bon à savoir : publier un nom, une photo ou une vidéo soulève des questions qui dépassent le seul RGPD. Le droit à l’image, fondé sur l’article 9 du Code civil, protège chacun contre l’utilisation de son image sans autorisation, indépendamment des règles de protection des données. Deux cadres distincts, donc, qui s’appliquent en même temps.

À quelles conditions le consentement RGPD est-il valable ?

Lorsque votre traitement repose sur le consentement, un simple « oui » du client n’est pas suffisant. 

Pour être valable au sens du RGPD, son accord doit être :

• libre : le client doit pouvoir refuser sans subir de conséquence négative ;
• spécifique : son accord porte sur une finalité déterminée ;
• éclairé : il sait qui utilise ses données, dans quel but et connaît notamment son droit de retirer son consentement ;
• univoque : son choix résulte d’un acte positif clair.

Une case précochée ne suffit donc pas. Le silence du client non plus. Évitez aussi une autorisation vague du type : « J’accepte que mes données soient utilisées à des fins de communication. » Si vous souhaitez publier son nom, sa photo et son témoignage sur votre site, indiquez-le clairement.

Ne faites pas non plus de la publication du témoignage une condition de la prestation : un accord arraché en échange du service n’est pas libre.

Gardez la preuve de l’accord obtenu

Si vous choisissez le consentement comme base légale, vous devez être capable de prouver que le client a consenti dans des conditions valables. Concrètement, vous devez savoir qui a consenti, à quoi, selon quelles modalités et sur la base de quelle information. Vous pouvez par exemple prévoir un formulaire horodaté ou un accord écrit que vous archiverez correctement afin de documenter cette preuve.

Imaginez qu’un ancien client conteste l’utilisation de son témoignage plusieurs mois après. Une capture perdue dans un dossier ou le souvenir d’un échange téléphonique vous placent alors en bien plus mauvaise posture qu’un accord correctement documenté.

Quelle autre base légale pour publier un témoignage client ?

À première vue, seul l’intérêt légitime pourrait être utilisé. Les quatre autres bases légales prévues par le RGPD (contrat, obligation légale, intérêt vital, mission d’intérêt public) ne trouvent ici aucune raison de s’appliquer. 

L’intérêt légitime est cependant bien plus exigeant qu’il n’y paraît. Il vous impose de documenter une mise en balance entre votre intérêt commercial et les droits de la personne, et de lui laisser la possibilité de s’opposer. Or, pour la publication d’un nom, d’une photo et de propos identifiants, cet équilibre ne penche pas automatiquement en votre faveur.

Le consentement est donc souvent la solution la plus simple et la plus solide. D’abord parce qu’un témoignage repose sur un choix actif du client, ce qui correspond exactement à la logique du consentement. Ensuite parce que, dès qu’une photo ou une vidéo entre en jeu, le droit à l’image vous impose de toute façon de recueillir son autorisation. Autant obtenir un consentement valable au sens du RGPD au même moment, plutôt que de gérer une analyse d’intérêt légitime d’un côté et une autorisation d’image de l’autre.

Peut-on publier une capture d’écran ou reprendre un avis déjà public ?

Lorsqu’un client vous félicite dans un commentaire LinkedIn ou une story Instagram, vous êtes sans doute tenté de reprendre ses mots sur votre page de vente. Pourtant, le fait qu’un avis soit public ne vous autorise pas à le réutiliser comme bon vous semble.

En effet, le RGPD s’applique même lorsque les données personnelles sont accessibles au grand public. Copier un avis, récupérer le nom de son auteur ou afficher la capture d’un commentaire sur votre propre site constitue une nouvelle utilisation de ces données. Vous devez donc déterminer la base légale applicable et respecter les autres obligations liées au traitement.

Une capture d’écran n’échappe pas au RGPD

Le format que vous choisissez ne change rien. Capture d’écran, copier-coller ou simple citation, dès que le nom, la photo, le pseudonyme ou tout autre élément permet d’identifier l’auteur, vous manipulez des données personnelles.

Prenez le cas d’un client qui vous écrit sur Instagram : « Votre formation m’a permis de signer mes trois premiers contrats. » Transformer ce message privé en capture puis l’afficher sur votre landing page change radicalement le contexte dans lequel ses propos sont utilisés. Ne partez donc jamais du principe qu’un message positif vaut, à lui seul, autorisation de publication.

Que vérifier avant de reprendre un avis Google ou LinkedIn ?

Avant de reprendre un avis sur votre site, examinez les données que vous souhaitez réutiliser, l’objectif poursuivi et la base légale sur laquelle repose ce traitement. Pensez aussi aux autres règles applicables selon le contenu repris et la façon dont vous l’exploitez.

Gardez également en tête que vous n’avez pas obtenu ces données directement auprès de leur auteur. Le RGPD vous impose alors de l’informer de cette réutilisation dans un délai raisonnable, au plus tard un mois après l’avoir récupérée, ou dès votre premier échange avec lui (article 14 du RGPD). En pratique, le plus simple reste de le contacter avant toute reprise : vous l’informez et sollicitez son accord dans le même message.

Vous voulez éviter une discussion juridique pour une phrase qui devait justement rassurer vos prospects ? Le réflexe le plus prudent reste d’anticiper la réutilisation du témoignage et de l’encadrer avec votre client, plutôt que de découvrir le problème une fois en ligne.

Combien de temps conserver un témoignage client ?

Le RGPD ne fixe pas de durée unique pour les témoignages clients. C’est à vous de la déterminer, et de vous y tenir. D’emblée, vous éviterez le dossier « témoignages » que personne ne nettoie pendant dix ans. Pour le reste, voyons comment procéder. 

Fixez une durée adaptée à l’usage du témoignage

La durée dépend de la finalité poursuivie et du contexte dans lequel vous exploitez le témoignage. Ce choix doit pouvoir s’expliquer. 

Pour cela, fixez dès le départ un délai ou des critères qui diront quand ces données doivent être supprimées, archivées lorsque cela se justifie, ou simplement réexaminées. Un retour qui porte sur une offre abandonnée depuis des années, par exemple, perd de son intérêt commercial et mérite d’être revu plutôt que laissé en ligne. L’enjeu est d’ailleurs autant juridique que business.

Prévoyez aussi le retrait du témoignage

La durée que vous fixez n’est qu’une limite haute. Avant même qu’elle n’expire, le client peut agir pour faire cesser la publication, et les modalités dépendent de votre base légale.

Si votre base légale est le consentement, son retrait par le client vous oblige à retirer le témoignage. Ne comptez pas basculer alors sur l’intérêt légitime pour le maintenir en ligne : la base légale se choisit avant le traitement et ne se change pas en cours de route.

Bien entendu, ce retrait vaut uniquement pour l’avenir. Il ne rend pas illégale votre publication initiale.

Avis clients : quelles obligations s’ajoutent au RGPD ?

Respecter le RGPD pour vos avis clients ne règle pas toute la question. Lorsque vous collectez, modérez ou diffusez des avis en ligne provenant de consommateurs, l’article L. 111-7-2 du Code de la consommation impose aussi des obligations de transparence.

Un avis en ligne, au sens de l’article D. 111-9 du Code de la consommation, correspond à l’expression de l’opinion d’un consommateur sur son expérience de consommation, qu’il ait ou non acheté le bien ou le service concerné. Les parrainages, les recommandations d’utilisateurs et les avis d’experts n’en font pas partie. Cette qualification déclenche des règles qui ne relèvent pas uniquement de la protection des données personnelles.

Ces obligations de transparence visent les avis provenant de consommateurs : le témoignage d’un dirigeant sur une prestation achetée pour son entreprise n’y est pas soumis. L’interdiction des faux avis s’applique en revanche quel que soit le public de votre page de vente, professionnels compris (article L. 121-5 du Code de la consommation).

Informez les internautes sur le traitement des avis

Si vous diffusez des avis concernés par ces dispositions, vous devez fournir une information loyale, claire et transparente sur leurs modalités de publication et de traitement.

Le décret n° 2017-1436 du 29 septembre 2017, dont les dispositions figurent aujourd’hui aux articles D. 111-9 et suivants du Code de la consommation, précise les informations à afficher.

Plusieurs doivent notamment apparaître à proximité des avis :

• l’existence ou non d’une procédure de contrôle ;
• la date de publication de l’avis et celle de l’expérience concernée ;
• les critères utilisés pour classer les avis, dont le classement chronologique.

Une rubrique facilement accessible doit aussi indiquer l’existence d’une éventuelle contrepartie offerte en échange du dépôt d’un avis, ainsi que le délai maximal prévu pour sa publication et sa conservation.

Si vous contrôlez les avis avant leur diffusion, d’autres informations sont requises. Elles concernent notamment :

• les caractéristiques de ce contrôle ;
• la possibilité de contacter leur auteur ;
• les conditions de modification d’un avis ;
• les motifs susceptibles de justifier son refus.

Depuis le 17 février 2024, l’article L. 111-7-2 impose en outre d’afficher la date de l’avis et ses éventuelles mises à jour, et d’indiquer aux consommateurs dont l’avis n’a pas été publié les raisons de ce rejet. Tout manquement à ces obligations d’information est passible d’une amende administrative pouvant atteindre 75 000 euros pour une personne physique et 375 000 euros pour une personne morale (article L. 131-4 du Code de la consommation).

Ne présentez pas un faux avis comme l’expérience d’un client

La tentation d’afficher uniquement des commentaires flatteurs ne doit jamais conduire à fabriquer ou manipuler la preuve sociale. Le Code de la consommation encadre les pratiques commerciales liées aux avis.

Si vous affirmez que des avis proviennent de consommateurs ayant réellement utilisé ou acheté un produit, vous devez avoir pris les mesures nécessaires pour le vérifier (article L. 121-4, 27° du Code de la consommation). Diffuser de faux avis ou modifier des avis afin de promouvoir un produit constitue par ailleurs une pratique commerciale réputée trompeuse (article L. 121-4, 28°). Ces deux interdictions, issues de la directive (UE) 2019/2161 dite « Omnibus », s’appliquent depuis le 28 mai 2022. Et prenez garde : il s’agit d’un délit. Un professionnel qui publie de faux avis s’expose à deux ans d’emprisonnement et 300 000 euros d’amende, montant qui peut être porté, de manière proportionnée aux avantages tirés du délit, à 10 % de son chiffre d’affaires moyen annuel. Lorsque l’infraction est commise en ligne, ce qui est presque toujours le cas pour des avis, les peines sont portées à cinq ans d’emprisonnement et 750 000 euros d’amende (article L. 132-2 du Code de la consommation).

Comment sécuriser la gestion de vos témoignages clients ?

Pour collecter un témoignage client conforme au RGPD, vous devez savoir quelles données vous recueillez, pourquoi vous les utilisez, sur quelle base légale repose le traitement et combien de temps vous les conservez.

Commencez par revoir votre processus de collecte. Vérifiez les informations transmises au client, les données demandées, les usages prévus et les modalités de conservation. Assurez-vous ensuite que votre politique de confidentialité et votre registre des traitements correspondent réellement à vos pratiques.

Pensez aussi à l’après-publication. Qui traite une demande liée aux données personnelles ? Où retrouvez-vous la preuve d’un consentement lorsque le traitement repose sur cette base ? Comment retirez-vous un témoignage sans passer une heure à retrouver toutes ses utilisations ?

Ces questions paraissent secondaires jusqu’au jour où un client vous demande des comptes.

Le Bouclier 360 d’Infolawyers pour sécuriser votre activité au-delà des témoignages clients

Les témoignages illustrent une difficulté plus large : votre activité digitale multiplie les traitements de données personnelles. Formulaires de contact, prospects, clients, newsletters, outils marketing ou prestataires techniques soulèvent chacun leurs propres questions juridiques.

C’est précisément pour éviter une conformité traitée morceau par morceau qu’Infolawyers propose le Bouclier 360.

Cet accompagnement permet d’aborder la sécurisation juridique de votre activité dans son ensemble, avec le regard d’avocats qui connaissent les pratiques des entrepreneurs du web. Ils vous aident à identifier les points qui réclament votre attention et les actions à mener pour réduire vos risques, sans transformer votre quotidien en cours de droit.

Notre objectif n’est pas de vous faire collectionner les documents juridiques. Il est de vous garantir que vos pratiques commerciales et marketing reposent sur un cadre cohérent avec votre activité.

Si la gestion de vos témoignages vous fait déjà douter de votre conformité, profitez-en pour examiner le reste. 

Le Bouclier 360 d’Infolawyers vous accompagne dans la mise en conformité et la sécurisation juridique de votre business en ligne.

FAQ sur les avis clients conformes au RGPD

Puis-je publier un témoignage client sans son accord ?

Ne partez pas du principe qu’un message positif vous autorise à le publier. Au regard du RGPD, l’utilisation des données personnelles contenues dans le témoignage doit reposer sur une base légale adaptée. D’autres règles encadrent aussi la publication dans certaines situations, notamment lorsque vous utilisez le nom, la photographie ou la vidéo du client.

Puis-je publier le prénom d’un client avec son témoignage ?

Un prénom constitue une donnée personnelle lorsqu’il se rapporte à une personne identifiée ou identifiable. Son utilisation dans un témoignage doit donc respecter les règles du RGPD, notamment la finalité du traitement, sa base légale et l’information de la personne.

Puis-je faire une capture d’écran d’un avis Google ou d’un commentaire publié sur un réseau social ?

Le caractère public d’un avis ne fait pas disparaître les obligations liées à la protection des données personnelles. Si votre capture permet d’identifier son auteur, sa réutilisation constitue un traitement de données qui doit respecter le RGPD. Avant de l’afficher sur votre site ou votre page de vente, vérifiez le cadre juridique de cette nouvelle utilisation.

Un client peut-il demander le retrait de son témoignage ?

Les droits du client dépendent notamment du traitement réalisé et de sa base légale. Lorsque celui-ci repose sur son consentement, le client peut le retirer à tout moment. Prévoyez donc une procédure qui permette de traiter cette demande et de retrouver les différentes utilisations du témoignage concerné.

Combien de temps peut-on conserver un témoignage client ?

Le RGPD ne fixe pas une durée universelle pour les témoignages clients. Vous devez déterminer une durée de conservation adaptée à la finalité du traitement et être capable de la justifier. Conserver indéfiniment des témoignages et les données associées sans réexaminer leur utilité n’est donc pas une bonne pratique.

Le respect du RGPD suffit-il pour publier sans risque des avis clients sur son site ?

Non. La protection des données personnelles n’est qu’une partie du cadre juridique. Lorsque vous collectez, modérez ou diffusez des avis en ligne de consommateurs, le Code de la consommation prévoit aussi des obligations de transparence sur leur contrôle, leur publication, leur classement et leur traitement.