Je présentais ma carte de fidélité à chaque passage en caisse : j’ai demandé à voir ce que l’enseigne savait sur moi

Vous la sortez automatiquement, sans y penser. Ce geste devenu réflexe à chaque passage en caisse, la carte de fidélité, vaut pourtant bien plus qu'une petite remise sur votre panier. Chaque achat enregistré ne dit pas seulement qui vous êtes : il révèle ce que vous achetez, à quelle fréquence, à quel moment de la journée, et ces données, une fois agrégées, dressent un portrait précis de votre foyer, vos habitudes alimentaires, votre niveau de vie, la composition de votre famille, voire des informations sensibles sur votre santé, un produit sans gluten par-ci, un complément alimentaire par-là.

Selon des données CNIL, 78 % des Français possèdent au moins une carte de fidélité, et seuls 12 % ont un jour lu les conditions d'utilisation de leurs données. Un déséquilibre flagrant, quand on mesure ce que l'enseigne sait réellement sur vous.

Un portrait de vous que vous n'avez jamais rédigé

La grande distribution propose aujourd'hui des programmes de fidélité qui peuvent entraîner la collecte de nombreuses informations : habitudes alimentaires, composition du foyer, catégories d'âge des enfants, présence d'animaux domestiques. Loin de la simple remise de 0,50 € sur le yaourt. Lorsque la carte est activée et utilisée, d'autres informations viennent s'y greffer : le type de produits achetés, la fréquence d'achat, le prix moyen du panier, la fréquence des visites en magasin. Le tout, mis bout à bout, constitue un profil comportemental d'une précision redoutable.

Les porteurs de cartes de fidélité génèrent jusqu'à 75 % du chiffre d'affaires des enseignes. En comparaison, le coût des avantages accordés reste limité : de 0,5 % à 1 % du chiffre d'affaires hors taxes. Dit autrement : le gain moyen tourne autour de 1,5 % de réduction sur vos achats. Ce que vous cédez en échange est structurellement bien plus précieux.

La CNIL elle-même a fait des programmes de fidélité l'une de ses priorités de contrôle en 2024, précisément parce que ces données peuvent être réutilisées dans le cadre de prospection commerciale ou de ciblage publicitaire. Un exemple concret est apparu en janvier 2026 : depuis février 2018, une entreprise transmettait les adresses électroniques et numéros de téléphone des membres de son programme de fidélité à un réseau social. Ces données étaient utilisées pour afficher, sur ce réseau, des publicités ciblées visant à promouvoir les articles vendus par la société. La sanction ? Une amende de 3,5 millions d'euros.

Vous avez le droit de tout voir. Vraiment.

Ce que peu de porteurs de carte savent, c'est que la loi leur donne un droit d'accès complet à leurs données. Pas une faveur. Un droit opposable, prévu par le RGPD européen entré en vigueur en 2018. Le droit d'accès vous permet de savoir quelles informations les administrations, les organismes publics ou privés ou les sociétés commerciales détiennent sur vous dans leurs fichiers et d'en avoir une copie.

L'organisme auprès duquel vous demandez votre droit d'accès devra vous fournir une copie des données personnelles qu'il détient sur vous, ainsi que les objectifs d'utilisation de ces données, les catégories de données collectées (nom, prénom, adresse, etc.), et l'identité des destinataires auprès desquels vos données sont ou seront communiquées. Cette dernière information, savoir à qui vos données sont transmises, est souvent la plus révélatrice.

La démarche est simple. Rendez-vous sur la page d'information réservée à l'exercice de vos droits sur le site internet de l'enseigne : « politique de confidentialité », « politique vie privée », « mentions légales ». Vous pouvez exercer votre demande par voie électronique (formulaire, adresse mail) ou par courrier. L'organisme doit vous répondre dans les meilleurs délais et au plus tard dans un délai d'un mois. Ce droit est, par ailleurs, entièrement gratuit.

Que faire si la réponse tarde ou reste floue ? Si l'organisme ne répond pas dans le délai d'un mois ou ne vous informe pas d'une prolongation, vous pouvez adresser une plainte auprès de la CNIL, avec les éléments attestant de vos démarches préalables. Dans son rapport annuel de 2022, la CNIL indiquait avoir reçu 1 512 plaintes de personnes rencontrant des difficultés dans l'exercice de leur droit d'accès à leurs données dans le cadre de relations commerciales. Cela représentait 19 % des plaintes reçues. Autant dire que la résistance des enseignes n'est pas anecdotique.

Ce que vous pouvez exiger, au-delà de la simple consultation

Le droit d'accès n'est que le premier étage. Une fois que vous avez obtenu la liste de ce que l'enseigne détient sur vous, plusieurs options s'ouvrent. Vous pouvez demander la rectification de données erronées, l'effacement de certaines informations, ou encore vous opposer au profilage publicitaire. Les données peuvent être analysées à des fins de marketing (profilage) dans l'objectif de proposer une expérience client personnalisée ou de la publicité ciblée. Ces traitements sont réalisés au segment (de manière pseudonymisée). Vous disposez d'un droit d'opposition à la publicité ciblée et au profilage.

Depuis octobre 2025, la CNIL est allée encore plus loin. Une position publiée le 14 octobre 2025 apporte un éclairage sur le droit à la portabilité des données de fidélité : vous pouvez désormais exiger la portabilité des codes-barres des produits achetés ainsi que du montant des promotions attachées à vos achats. Concrètement, cela signifie que vous pouvez récupérer l'historique complet de vos transactions dans un format structuré, et potentiellement le transférer à une autre enseigne ou application. La CNIL pose toutefois une borne : la portabilité ne s'étend pas à la méthode de calcul des promotions. L'algorithme générant une offre personnalisée n'est pas assimilable à une donnée personnelle et reste hors du champ de la portabilité. Le secret de fabrication des enseignes est préservé. Vos données, elles, vous appartiennent.

Reprendre la main, concrètement

Avant d'écrire à votre enseigne, quelques réflexes utiles. Identifiez toutes les cartes que vous possédez, plus de trois quarts des Français sont membres d'au moins un programme de fidélité, et inscrits en moyenne à trois programmes différents. Pour chacun, localisez les coordonnées du délégué à la protection des données (le DPO), souvent accessible en bas de la politique de confidentialité du site. Rédigez un mail simple mentionnant votre nom, votre numéro de carte fidélité, et votre demande d'accès en vertu de l'article 15 du RGPD. Conservez les preuves d'envoi afin de réagir en cas de refus injustifié ou d'absence de réponse.

Une fois le fichier reçu, le plus instructif est souvent la rubrique « destinataires » : elle liste les partenaires commerciaux auxquels vos données ont été transmises. Certaines organisations vendent à des tiers les données personnelles de leurs clients à des data brokers. Ce qui se traduit parfois pour le consommateur par du démarchage par téléphone d'entreprises dont il n'est pas client. Un mystère enfin élucidé.

Deux options complémentaires méritent attention. D'abord, si vous souhaitez conserver les avantages sans nourrir la machine publicitaire, le droit d'opposition au profilage est un outil sous-utilisé mais réel. Ensuite, pour les achats dont vous préférez garder la confidentialité (médicaments en grande surface, produits de santé), rien ne vous oblige à présenter votre carte systématiquement : si l'achat d'un produit quelconque devait être considéré comme trop sensible, il suffit au client de ne pas utiliser sa carte pour cet achat. Une discrétion volontaire qui crée un angle mort dans le profil que l'enseigne construit sur vous.

Ce qui rend ce sujet particulièrement actuel, c'est la dématérialisation des tickets de caisse, entrée en vigueur progressivement en France à partir de 2023. La dématérialisation des tickets de caisse, issue de la loi relative à la lutte contre le gaspillage et à l'économie circulaire, peut conduire à des traitements additionnels de données personnelles pour permettre, par exemple, l'envoi du ticket par SMS ou courriel. Ce qui semblait être un geste écologique devient, de fait, un nouveau vecteur de collecte : votre adresse mail ou votre numéro de portable s'ajoutent désormais à l'équation, même sans carte de fidélité. L'enjeu dépasse donc largement le petit morceau de plastique dans votre portefeuille.

Sources : cnil.fr | le-caucase.com