Le RGPD s’applique-t-il aussi aux données des visiteurs de votre entreprise ?

Si un calepin à l’accueil de vos bureaux doit être complété par les visiteurs ou si le réceptionniste prend note de leurs coordonnées pour émettre un badge, des données à caractère personnel (nom, entreprise, plaque d’immatriculation etc.) sont bien collectées.

Dans le cas du calepin, on n’est pas face à un traitement informatisé. Le RGPD ne s’applique donc pas automatiquement. En effet, pour des traitements « papier », le RGPD ne s’applique que si les données figurent dans un fichier, c’est-à-dire sont classées, organisées. C’est logique puisque si les données sont classées, elle sont accessibles et ont donc besoin d’être protégées.

Dans notre hypothèse, le calepin est complété par ordre chronologique d’arrivée de visiteurs, de sorte qu’on peut facilement retrouver qui est venu à un moment donné. Le calepin peut donc être interprété comme étant un fichier, ce qui entraînera l’application du RGPD.

Qu’il s’agisse d’un registre papier ou informatique, les mêmes principes doivent donc être appliqués :

Dès lors qu’il s’agit probablement de protéger les locaux, les biens et l’activité de votre entreprise, celle-ci pourra invoquer son intérêt légitime à traiter ses données.

La Commission vie privée a récemment fait savoir que les registres des visiteurs qui se bornent à recenser le nom du visiteur, son adresse professionnelle, son employeur, son véhicule et la personne qu’il vient rencontrer (nom, section, fonction) ne doivent pas être précédés d’une analyse d’impact. À notre estime, la date et l’heure de la visite y implicitement inclues, au risque de priver le registre des visiteurs de toute utilité.

Même si l’on peut douter que ce type traitement de données présente un risque élevé pour les visiteurs s’il contient d’autres données, au point qu’il nécessite une analyse d’impact, cette recommandation de la Commission donne à tout le moins une indication sur les informations qu’elle considère raisonnable de récolter.

Cela signifie en tous cas que si votre entreprise souhaite collecter d’autres types d’information, elle devra pouvoir justifier vis-à-vis de la Commission lors d’un contrôle ou vis-à-vis d’un visiteur qui exercerait les droits prévus par le RGPD :

• les motifs qui justifient cette collecte plus étendue,
• les raisons pour lesquelles elle n’a pas effectué d’analyse d’impact alors qu’elle sort du cadre strict de l’exemption prévue par la Commission.

Il semble donc plus simple de s’en tenir au minimum contenu dans la recommandation de la Commission.

Dans la même recommandation, la Commission rappelle que le registre ne peut pas être conservé plus longtemps que le temps nécessaire au contrôle des accès.   

Il faut donc prévoir de changer régulièrement ce registre ou d’enlever les feuillets trop anciens, afin d’éviter qu’un visiteur désœuvré ne puisse consulter les six derniers mois pendant qu’il attend son rendez-vous.

Votre entreprise doit pouvoir justifier que le registre ne peut pas être consulté par tous les membres du personnel qui passent à l’accueil. Il est donc sage de définir des règles de conduite.

Comme pour tous les traitements de données réalisés par votre entreprise, le traitement des données des visiteurs devra être mentionné dans le registre des traitements, puisque les entreprises exemptées de tenir ce registre sont peu nombreuses. La Commission suggère un modèle pour ce registre qui pourra vous être utile.

De même, comme pour tout traitement, les détails de celui-ci doivent être communiqués à la personne concernée. Votre entreprise ne peut en effet pas supposer que le visiteur est suffisamment informé au sujet du traitement de ses données parce qu’il a lui-même complété un calepin. Il doit notamment savoir pourquoi et combien de temps ses coordonnées seront conservées.

Concrètement, il n’est toutefois pas obligatoire de faire signer une police vie privée à chaque visiteur ! On peut imaginer un affichage sur le comptoir d’accueil ou un marque-page toujours visible dans le calepin qui reprenne ces mentions.

Démontrez de cette manière à vos clients dès leur arrivée dans vos locaux qu’ils ont affaire à une entreprise sérieuse.