Demandes d'accès RGPD : exporter et supprimer les données clients dans PrestaShop

RGPD et e-commerce : ce que les propriétaires de boutiques doivent comprendre

Le Règlement Général sur la Protection des Données (RGPD) est entré en vigueur en mai 2018 et a fondamentalement changé la manière dont les entreprises e-commerce gèrent les données personnelles. Si votre boutique PrestaShop dessert des clients dans l'Espace Économique Européen, vous êtes soumis au RGPD, quel que soit l'endroit où votre entreprise est physiquement située. Le règlement accorde aux individus des droits spécifiques sur leurs données personnelles, et votre boutique doit avoir la capacité technique et organisationnelle de respecter ces droits.

Pour les propriétaires de boutiques PrestaShop, les aspects les plus exigeants sur le plan opérationnel du RGPD sont les demandes d'accès (SAR - Subject Access Requests) et les demandes d'effacement. Une demande d'accès correspond au cas où un client vous demande de fournir une copie de toutes les données personnelles que vous détenez à son sujet. Une demande d'effacement, également connue sous le nom de droit à l'oubli, correspond au cas où un client vous demande de supprimer ses données personnelles. Les deux doivent être traitées dans des délais stricts, et le non-respect peut entraîner des amendes significatives.

Cet article couvre le côté pratique : quelles données PrestaShop stocke, comment les exporter, comment les supprimer ou les anonymiser, ce que vous devez conserver pour des raisons légales, et comment mettre en place un processus fiable autour de ces demandes.

Quelles données personnelles PrestaShop stocke-t-il

Avant de pouvoir répondre à toute demande de personne concernée, vous devez savoir exactement où les données personnelles se trouvent dans votre installation PrestaShop. Les données personnelles sont toute information permettant d'identifier une personne physique, directement ou indirectement. Dans une boutique PrestaShop typique, les données personnelles sont réparties dans de nombreuses tables de la base de données et potentiellement dans des modules tiers.

Tables principales de PrestaShop contenant des données personnelles

La table ps_customer stocke le dossier client principal : nom, adresse email, date de naissance, date de création, adresse IP à l'inscription et indicateurs d'opt-in marketing. La table ps_address stocke les adresses de livraison et de facturation incluant le nom complet, l'adresse postale, la ville, le code postal, le pays et les numéros de téléphone. Un seul client peut avoir plusieurs adresses.

La table ps_orders contient l'historique des commandes lié aux clients, y compris les méthodes de paiement et les détails de livraison. La table ps_order_detail contient les lignes de détail de chaque commande. La table ps_cart stocke les données du panier, qui incluent les sélections de produits et peuvent être reliées à un client. Les tables ps_message et ps_customer_message contiennent les messages échangés entre le client et votre boutique via le formulaire de contact ou le système de messagerie des commandes.

Les tables ps_connections et ps_connections_source suivent les connexions des visiteurs incluant les adresses IP et les URL de provenance. La table ps_guest stocke les données des visiteurs invités liées aux cookies. La table ps_customer_session (dans les versions récentes) suit les sessions de connexion.

Données dans les modules tiers

Tout module qui collecte ou traite des données clients crée des emplacements de stockage de données supplémentaires. Les modules de newsletter stockent les adresses email. Les modules d'avis stockent les noms de clients et le texte des avis. Les modules de liste de souhaits lient les préférences de produits aux comptes clients. Les modules de fidélité et de récompense suivent le comportement d'achat. Les modules d'analyse peuvent stocker des schémas de navigation. Chacun de ces modules doit être pris en compte lors de la réponse à une demande de personne concernée.

C'est pourquoi maintenir un registre des traitements — un document listant chaque endroit où les données personnelles sont stockées — n'est pas seulement une bonne pratique mais une exigence du RGPD. Sans ce registre, vous ne pouvez pas garantir l'exhaustivité de votre réponse à une demande d'accès.

Le module RGPD de PrestaShop

PrestaShop fournit un module officiel de conformité RGPD (psgdpr) qui gère les exigences de base des demandes de personnes concernées. Ce module est disponible pour PrestaShop 1.7 et les versions ultérieures et peut être installé depuis le catalogue de modules de votre back office.

Ce que fait le module

Le module RGPD ajoute un cadre de gestion du consentement à votre boutique, vous permettant de suivre quand et où les clients ont donné leur consentement pour le traitement des données. Il ajoute des cases à cocher de consentement aux formulaires d'inscription, formulaires de contact et formulaires d'abonnement à la newsletter. Chaque action de consentement est enregistrée avec un horodatage.

Pour les demandes de personnes concernées, le module fournit deux fonctionnalités clés. La fonction d'export de données génère un fichier PDF ou CSV contenant toutes les données personnelles associées à l'adresse email d'un client. La fonction d'effacement des données anonymise ou supprime les données personnelles pour un client donné.

Le module ajoute également une section à la page de compte client côté front office où les clients peuvent consulter et télécharger leurs propres données et soumettre directement des demandes d'effacement.

Configuration du module

Après l'installation, accédez à la page de configuration du module. Vous trouverez des sections pour gérer les cases à cocher de consentement (quels formulaires nécessitent un consentement et quel texte afficher), configurer quels modules sont compatibles RGPD (le module peut interroger les modules compatibles pour leurs données stockées), et configurer les pages de portabilité et d'effacement des données côté client.

Le module se connecte aux autres modules compatibles RGPD via une interface standardisée. Lorsqu'un module implémente les hooks RGPD, le module psgdpr peut automatiquement inclure les données de ce module dans les opérations d'export et d'effacement. Vérifiez lesquels de vos modules installés prennent en charge cette intégration, car les modules qui ne la supportent pas devront être traités manuellement.

Traitement des demandes d'accès (SAR)

Lorsqu'un client demande l'accès à ses données personnelles, vous disposez d'un mois calendaire pour répondre. Ce délai commence à partir du jour où vous recevez la demande, et il inclut le temps nécessaire pour vérifier l'identité du demandeur. Si la demande est complexe ou si vous recevez un volume élevé de demandes, vous pouvez prolonger ce délai de deux mois supplémentaires, mais vous devez informer le client de la prolongation dans le premier mois.

Vérification de l'identité

Avant de divulguer des données personnelles, vous devez vérifier que la personne qui fait la demande est bien celle qu'elle prétend être. Si la demande provient d'un compte client connecté, cela constitue généralement une vérification suffisante. Si la demande arrive par email, vous devriez demander au demandeur de confirmer des détails que seul le titulaire du compte pourrait connaître, tels que les numéros de commande récents ou l'adresse enregistrée. Ne demandez pas de documents de vérification excessifs, car cela pourrait en soi constituer une violation du RGPD (principe de minimisation des données), mais faites suffisamment pour empêcher la divulgation non autorisée de données.

Utiliser le module RGPD pour l'export

Dans le back office de PrestaShop, accédez à la configuration du module RGPD et trouvez la section de gestion des données personnelles. Entrez l'adresse email du client et utilisez la fonction d'export. Le module générera un fichier contenant les données des tables principales de PrestaShop et de tous les modules compatibles RGPD.

Relisez les données exportées avant de les envoyer au client. L'export devrait inclure : les détails du compte client (nom, email, date de naissance, date d'inscription), toutes les adresses enregistrées, l'historique des commandes avec les détails de commande, l'historique du panier, les messages et enregistrements de communication, les journaux de consentement, et toutes les données spécifiques aux modules (abonnements à la newsletter, avis, listes de souhaits).

Ce que l'export doit inclure

En vertu de l'article 15 du RGPD, l'export de données doit inclure non seulement les données brutes mais aussi des informations sur la manière dont les données sont traitées. Plus précisément, vous devez fournir : les catégories de données personnelles que vous traitez, les finalités du traitement, les tiers avec lesquels les données ont été partagées (processeurs de paiement, transporteurs, plateformes marketing), la durée de conservation ou les critères pour la déterminer, et des informations sur les droits du client (rectification, effacement, limitation, opposition).

Le module RGPD gère l'export des données brutes, mais les informations contextuelles sur les finalités du traitement et le partage avec des tiers doivent généralement provenir de votre politique de confidentialité. Envisagez d'inclure un lien vers votre politique de confidentialité accompagnant l'export de données ou de joindre une lettre d'accompagnement résumant ces informations.

Export manuel pour les modules non intégrés

Pour les modules qui ne s'intègrent pas au module RGPD, vous devez extraire les données manuellement. Cela implique généralement d'interroger directement les tables de base de données du module. Par exemple, un module d'avis produit peut stocker des données dans une table comme ps_product_comment avec l'identifiant client comme clé étrangère. Vous devrez exporter toutes les lignes associées à l'identifiant du client.

Documentez ces étapes manuelles dans votre procédure de traitement des demandes d'accès afin qu'elles ne soient pas oubliées lorsqu'un autre membre de l'équipe traite une demande.

Droit à l'effacement : anonymisation vs suppression complète

Le droit à l'effacement (article 17) permet aux clients de demander la suppression de leurs données personnelles. Cependant, ce droit n'est pas absolu. Il existe des raisons légitimes de conserver certaines données, et comprendre ces exceptions est essentiel pour traiter correctement les demandes d'effacement.

Quand vous devez supprimer

Si un client demande l'effacement et qu'aucune des exemptions ne s'applique, vous devez supprimer ou anonymiser ses données personnelles sans retard excessif (le même délai d'un mois que pour les demandes d'accès). Les données doivent être supprimées de tous les systèmes, y compris les sauvegardes si c'est techniquement faisable. Vous devez également notifier tous les tiers avec lesquels vous avez partagé les données (processeurs de paiement, outils marketing) afin qu'ils puissent supprimer leurs copies.

Quand vous pouvez refuser la suppression

L'article 17(3) du RGPD liste plusieurs exemptions où vous pouvez refuser une demande d'effacement. Les plus pertinentes pour le e-commerce sont :

Obligation légale : la législation fiscale de la plupart des pays de l'UE vous oblige à conserver les factures et les documents financiers pendant une période déterminée, généralement entre 5 et 10 ans selon la juridiction. Cela signifie que vous ne pouvez pas supprimer les données de commande nécessaires à la conformité fiscale, même si le client demande l'effacement. Vous devez conserver les données de facturation (nom, adresse, détails de commande, montants) pendant la période légalement requise.

Actions en justice : s'il existe un litige en cours, une réclamation de garantie ou une action en justice potentielle liée aux commandes d'un client, vous pouvez conserver les données nécessaires pour établir, exercer ou défendre des prétentions juridiques.

Obligation contractuelle : si une commande est encore en cours de traitement, d'expédition ou se trouve dans une période de retour/garantie, vous avez une raison légitime de conserver les données associées jusqu'à ce que la transaction soit entièrement terminée.

L'approche par anonymisation

La solution pratique pour la plupart des boutiques e-commerce est l'anonymisation plutôt que la suppression complète. L'anonymisation consiste à remplacer les données personnelles par des substituts non identifiants tout en conservant les enregistrements transactionnels nécessaires à la comptabilité et à la conformité légale.

Par exemple, au lieu de supprimer entièrement un enregistrement de commande, vous remplaceriez le nom du client par quelque chose comme « Client Anonymisé » ou un hash, l'email par un espace réservé comme « supprime@anonymise.invalid », l'adresse par des valeurs génériques (« Adresse Supprimée », « Ville Supprimée »), et vous supprimeriez les numéros de téléphone. La commande elle-même, incluant les détails des produits, les quantités, les prix et les montants de TVA, reste intacte à des fins comptables, mais elle ne peut plus être reliée à une personne identifiable.

Le module RGPD de PrestaShop utilise cette approche d'anonymisation par défaut. Lorsque vous traitez une demande d'effacement via le module, il remplace les identifiants personnels par des valeurs anonymisées plutôt que de supprimer purement et simplement les enregistrements.

Ce qui est anonymisé vs supprimé

Dans une opération d'effacement RGPD typique sur PrestaShop, voici ce qui se passe. Le compte client est désactivé et les champs personnels sont anonymisés (le nom devient anonyme, l'email devient un hash, la date de naissance est effacée). Toutes les adresses associées au client sont anonymisées (noms, adresses postales et numéros de téléphone remplacés). Les paniers du client sont entièrement supprimés puisqu'ils n'ont aucune obligation de conservation légale. Les messages et communications du service client sont anonymisés ou supprimés. Les abonnements à la newsletter sont supprimés. Les enregistrements d'invités et les journaux de connexion associés au client sont purgés.

Les enregistrements de commandes sont anonymisés mais conservés : le nom du client et l'adresse sur la commande sont remplacés par des valeurs anonymes, mais les détails de la commande (produits, prix, taxes) sont conservés pour la conformité comptable. Les factures générées à partir de ces commandes continuent d'exister mais avec des données client anonymisées.

Étapes techniques pour le traitement d'une demande d'effacement

Étape 1 : Vérifier l'identité et documenter la demande

Avant de traiter tout effacement, vérifiez l'identité du demandeur en utilisant les mêmes méthodes décrites pour les demandes d'accès. Enregistrez la demande avec un horodatage, l'identité du demandeur et la méthode de vérification utilisée. Ce journal est lui-même une exigence de conformité. Vous devez être en mesure de démontrer que vous avez traité la demande et quand.

Étape 2 : Vérifier les exemptions de conservation

Examinez l'historique des commandes du client. S'il a des commandes dans votre période de conservation légale (vérifiez les exigences de votre législation fiscale locale), ces enregistrements de commandes doivent être conservés sous forme anonymisée. S'il existe des commandes en cours, des litiges en cours ou des réclamations de garantie actives, l'effacement des données concernées doit être reporté jusqu'à leur résolution.

Étape 3 : Traiter l'effacement

Utilisez la fonction d'effacement du module RGPD pour les données principales. Entrez l'adresse email du client dans le panneau d'administration du module et exécutez l'effacement. Le module anonymisera les données dans les tables principales et dans tous les modules intégrés au RGPD.

Pour les modules non intégrés au module RGPD, vous devrez gérer l'effacement manuellement. Cela peut impliquer l'exécution de requêtes SQL pour anonymiser ou supprimer des données dans les tables spécifiques aux modules, ou l'utilisation de l'interface d'administration propre au module pour supprimer les données du client.

Étape 4 : Traiter les sous-traitants tiers

Identifiez tous les services tiers qui ont reçu les données du client. Cela inclut généralement votre processeur de paiement (Stripe, PayPal, Mollie), les transporteurs qui ont reçu les adresses de livraison, les plateformes de marketing par email (Mailchimp, Sendinblue), et tout service d'analyse qui traite des données personnelles. Contactez chaque sous-traitant et demandez l'effacement des données du client. La plupart des principaux sous-traitants ont leurs propres processus de suppression de données RGPD. Documentez chaque communication.

Étape 5 : Confirmer l'achèvement

Envoyez une confirmation au client (à son adresse email, avant de l'anonymiser, ou via le canal de communication qu'il a utilisé pour la demande) indiquant que ses données ont été effacées. Incluez la date de l'effacement et une note concernant les données qui ont été conservées en vertu d'exemptions légales, en expliquant la base juridique de la conservation.

Exigences de conservation des données de commande

L'intersection entre le droit à l'effacement du RGPD et les exigences de conservation de la législation fiscale est l'un des domaines les plus souvent mal compris. Voici une répartition pratique par grandes juridictions de l'UE.

Allemagne : les documents commerciaux et fiscaux doivent être conservés pendant 10 ans (Section 147 AO, Section 257 HGB). Cela inclut les factures, les documents comptables et la correspondance associée.

France : les documents commerciaux doivent être conservés pendant 10 ans (Article L123-22 du Code de Commerce). Les documents fiscaux pendant 6 ans après la dernière opération fiscalement pertinente.

Pays-Bas : les documents d'administration fiscale doivent être conservés pendant 7 ans (Article 52 AWR).

Italie : le code civil exige 10 ans pour les documents commerciaux (Article 2220 CC). Les documents fiscaux pendant 5 ans minimum.

Espagne : les documents commerciaux pendant 6 ans (Article 30 du Code de Commerce). Les documents fiscaux pendant 4 ans.

Dans tous les cas, ce qui doit être conservé est l'enregistrement financier et transactionnel, pas le profil marketing. Vous devez conserver les données de facturation (ce qui a été acheté, pour quel montant, les taxes payées) mais vous pouvez anonymiser les identifiants personnels une fois que la relation contractuelle est entièrement conclue (toutes les livraisons effectuées, les périodes de retour expirées, les paiements réglés).

Une approche pratique consiste à mettre en place un processus en deux étapes : anonymisation immédiate des données non essentielles (préférences marketing, historique de navigation, abonnements à la newsletter, données de panier) combinée à une anonymisation programmée des données personnelles liées aux commandes une fois la période de conservation légale expirée.

Construire une piste d'audit

Le RGPD exige que vous puissiez démontrer la conformité, pas seulement l'atteindre. Cela signifie maintenir des enregistrements de chaque demande de personne concernée reçue et de la manière dont elle a été traitée.

Que enregistrer

Pour chaque demande, enregistrez les éléments suivants : la date de réception de la demande, le type de demande (accès, effacement, rectification, etc.), l'identité du demandeur et la méthode de vérification de son identité, la date de traitement de la demande, les actions entreprises (données exportées, données anonymisées, etc.), les exemptions appliquées et leur base juridique, les tiers notifiés, et la date à laquelle le demandeur a été informé du résultat.

Où stocker le journal

Le journal des demandes doit être stocké séparément des données clients. Si les données du client sont effacées, vous devez conserver l'entrée du journal montrant que vous avez traité la demande d'effacement. Cependant, le journal lui-même doit contenir un minimum de données personnelles. Enregistrez la demande en utilisant un numéro de référence plutôt que de stocker le nom complet et l'email du client dans le journal. Une référence comme « RGPD-2026-0042 » liée à un document de demande original stocké de manière sécurisée est préférable à la répétition de données personnelles dans plusieurs systèmes.

Le module RGPD de PrestaShop maintient son propre journal des opérations de données, auquel vous pouvez accéder dans la section d'administration du module. Complétez-le avec vos propres enregistrements si votre processus implique des étapes manuelles ou des communications avec des tiers.

Délais de réponse et workflow pratique

La règle d'un mois

Vous disposez d'un mois calendaire à compter de la réception de la demande pour répondre. Cela signifie que si vous recevez une demande le 15 mars, vous devez répondre avant le 15 avril. Si une demande arrive le 31 janvier, la date limite est le 28 février (ou le 29 lors d'une année bissextile). Si la date limite tombe un week-end ou un jour férié, elle est prolongée jusqu'au jour ouvrable suivant.

Prolongation pour les demandes complexes

Si la demande est particulièrement complexe (par exemple, le client a un historique de commandes étendu sur de nombreuses années) ou si vous recevez un volume élevé de demandes simultanément, vous pouvez prolonger le délai de deux mois supplémentaires. Mais vous devez informer le demandeur dans le premier mois que vous prenez une prolongation et expliquer pourquoi.

Mettre en place un workflow interne

Pour les boutiques recevant régulièrement des demandes RGPD, établissez un workflow standardisé. Désignez une personne ou une équipe responsable du traitement des demandes. Créez une boîte de réception partagée ou un système de tickets où les demandes sont enregistrées. Développez des checklists étape par étape pour chaque type de demande. Fixez des délais internes plus courts que le délai légal pour permettre la relecture et le contrôle qualité. Organisez des formations périodiques pour que le personnel du service client reconnaisse les demandes de personnes concernées (les clients n'utilisent pas toujours la terminologie juridique).

Un client pourrait dire « je veux que mon compte soit supprimé » ou « envoyez-moi tout ce que vous savez sur moi » sans jamais mentionner le RGPD ni les droits des personnes concernées. Votre équipe doit reconnaître ces expressions comme des demandes formelles et les acheminer de manière appropriée.

Self-service côté front office

Le module RGPD de PrestaShop ajoute une section à l'espace compte client où les clients connectés peuvent consulter leurs données stockées et initier des demandes eux-mêmes. Cette approche en self-service présente plusieurs avantages.

Elle réduit la charge de travail manuelle de votre équipe car les clients peuvent exporter leurs propres données sans impliquer votre personnel. Elle fournit une réponse immédiate pour les demandes d'accès aux données puisque l'export est généré sur le champ. Et elle crée une piste documentée de la demande et de son traitement.

Cependant, les demandes d'effacement soumises via le portail en self-service devraient quand même être examinées avant traitement. Un effacement automatique immédiat pourrait causer des problèmes si le client a des commandes en cours ou s'il existe des exigences de conservation nécessitant une évaluation. Configurez le module pour traiter les demandes d'effacement en self-service comme des demandes nécessitant votre examen et approbation plutôt qu'une exécution automatique.

Gestion des cas particuliers

Commandes en tant qu'invité

Les clients ayant passé commande en tant qu'invités (sans créer de compte) peuvent également soumettre des demandes de personnes concernées. Leurs données sont liées à leur adresse email plutôt qu'à un identifiant de compte client. Le module RGPD peut rechercher par adresse email pour trouver les données de commandes invités. Les mêmes procédures d'export et d'anonymisation s'appliquent.

Clients avec plusieurs comptes

Certains clients créent plusieurs comptes en utilisant différentes adresses email. Lors du traitement d'une demande, vérifiez si le client possède des comptes supplémentaires. Le client devrait pouvoir vous indiquer quelles adresses email il a utilisées. Traitez chaque compte séparément sauf si vous pouvez vérifier que tous les comptes appartiennent à la même personne.

Données dans les sauvegardes

Le RGPD reconnaît que la suppression de données dans les sauvegardes n'est pas toujours techniquement faisable. Si vos sauvegardes de base de données contiennent des données personnelles qui ont été effacées du système en production, documentez-le dans vos enregistrements. Si une sauvegarde est un jour restaurée, vous devez retraiter toutes les demandes d'effacement qui ont été traitées après la date de la sauvegarde. Maintenez votre journal de demandes RGPD séparément de la base de données afin qu'il survive à une restauration de sauvegarde.

Employés accédant aux données clients

Le RGPD exige que les données personnelles soient accessibles uniquement à ceux qui en ont besoin pour leur rôle. Examinez les permissions de vos employés PrestaShop pour vous assurer que seul le personnel autorisé peut accéder aux données clients, exécuter des exports de données ou traiter des demandes d'effacement. Le système de profils d'employés dans PrestaShop vous permet de restreindre l'accès à des sections spécifiques du back office.

Conséquences de la non-conformité

L'application du RGPD est assurée par les Autorités de Protection des Données (APD) nationales. Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. En pratique, les amendes pour les petites et moyennes entreprises e-commerce ont été significativement plus basses, mais elles ne sont pas négligeables. Les APD ont infligé des amendes de l'ordre de plusieurs dizaines de milliers d'euros pour des manquements à répondre aux demandes de personnes concernées dans les délais requis.

Au-delà des amendes, ne pas traiter correctement les demandes de personnes concernées nuit à la confiance des clients. Les clients qui estiment que leurs droits en matière de vie privée ne sont pas respectés iront faire leurs achats ailleurs et pourront déposer une plainte auprès de leur APD nationale, ce qui déclenche des enquêtes qui consomment du temps et des ressources quel que soit le résultat.

Résumé et checklist

Le traitement des demandes de personnes concernées RGPD dans PrestaShop nécessite de la préparation, pas seulement de la réaction. Installez et configurez le module RGPD officiel. Créez un registre des traitements qui cartographie chaque emplacement où les données personnelles sont stockées, y compris les modules tiers et les services externes. Établissez un workflow documenté pour la réception, la vérification, le traitement et la réponse aux demandes. Comprenez vos exigences locales de conservation des données afin de savoir ce qui doit être conservé et pendant combien de temps. Mettez en oeuvre l'anonymisation plutôt que la suppression complète pour les données soumises à des obligations de conservation légale. Maintenez une piste d'audit de chaque demande et action entreprise. Formez votre équipe à reconnaître les demandes de personnes concernées même lorsqu'elles sont formulées de manière informelle.

La conformité RGPD n'est pas une mise en place ponctuelle mais un engagement opérationnel continu. Des révisions régulières de vos activités de traitement de données, de vos intégrations de modules et de vos procédures de traitement garantissent que vous restez conforme à mesure que votre boutique évolue et que les orientations réglementaires se développent.