Billetterie CSE et plateforme en ligne : les enjeux RGPD a maitriser
La billetterie constitue l’une des prestations phares des Comites Sociaux et Economiques. De plus en plus de CSE passent par des plateformes en ligne (Leeto, Glowbl, Club Employeur, Comiteo, ProwebCE) pour proposer des tarifs reduits sur les loisirs, spectacles, parcs d’attractions et voyages. Cette externalisation souleve des questions RGPD majeures : qui est responsable de traitement ? Quelles donnees sont collectees ? Comment encadrer ces prestataires ? Ce guide fait le point.
Qualification des acteurs : responsable de traitement ou sous-traitant ?
La qualification des acteurs est le premier enjeu RGPD de la billetterie en ligne. Le CSE reste responsable de traitement pour la gestion des avantages de ses beneficiaires. La plateforme de billetterie agit generalement en tant que sous-traitant lorsqu’elle traite les donnees pour le compte du CSE. Toutefois, certaines plateformes peuvent etre qualifiees de responsables conjoints si elles determinent une partie des finalites et des moyens du traitement.
La qualification depend du contrat et des pratiques reelles. Si la plateforme se contente d’executer les instructions du CSE (gestion des commandes, livraison des billets), elle est sous-traitante. Si elle utilise les donnees pour son propre compte (profilage, ciblage publicitaire, enrichissement de base de donnees), elle agit en tant que responsable de traitement distinct, voire conjoint. Le CSE doit analyser les conditions generales et la politique de confidentialite de la plateforme avant toute contractualisation.
Donnees collectees par les plateformes de billetterie
Les plateformes de billetterie collectent un volume important de donnees : identite et coordonnees des beneficiaires, historique de commandes, preferences de loisirs, donnees de navigation sur la plateforme, donnees de paiement. Certaines plateformes utilisent des cookies et des traceurs pour analyser le comportement des utilisateurs et personnaliser les offres.
Le CSE doit verifier que la plateforme ne collecte pas de donnees au-dela de ce qui est necessaire a la fourniture du service. Les donnees de navigation et de preferences ne sont pas indispensables a la vente de billets. Le profilage des beneficiaires a des fins commerciales par la plateforme n’est pas une finalite compatible avec la mission du CSE.
Le CSE doit egalement s’interroger sur le devenir des donnees apres la fin du contrat avec la plateforme. Les beneficiaires conservent-ils leur compte ? Leurs donnees sont-elles supprimees ? La plateforme continue-t-elle a leur envoyer des communications commerciales ? Ces questions doivent etre traitees dans le contrat de sous-traitance.
Contrat de sous-traitance avec la plateforme
Le contrat entre le CSE et la plateforme de billetterie doit etre conforme a l’article 28 du RGPD. Il doit preciser les categories de donnees traitees, les finalites autorisees, les mesures de securite mises en oeuvre, les conditions de sous-traitance ulterieure (la plateforme fait elle-meme appel a des sous-traitants pour l’hebergement, le paiement, etc.), les modalites d’exercice des droits des personnes et les conditions de restitution ou de suppression des donnees en fin de contrat.
Le contrat doit explicitement interdire a la plateforme d’utiliser les donnees des beneficiaires a des fins de prospection commerciale pour son propre compte ou pour le compte de tiers. Il doit egalement preciser les conditions d’utilisation des cookies et traceurs sur la plateforme, et les modalites de recueil du consentement des utilisateurs.
Cookies et traceurs sur la plateforme CSE
Les plateformes de billetterie en ligne utilisent generalement des cookies pour le fonctionnement technique (panier d’achat, session utilisateur) et parfois des traceurs a des fins analytiques ou publicitaires. La directive ePrivacy et les recommandations de la CNIL imposent le recueil du consentement pour les cookies non essentiels.
Le CSE doit verifier que la plateforme met en oeuvre un bandeau de consentement conforme aux recommandations de la CNIL : information claire sur les finalites des cookies, possibilite de refuser aussi facilement que d’accepter, absence de cookies non essentiels avant le consentement. Le CSE est co-responsable si la plateforme ne respecte pas ces exigences dans le cadre de sa prestation.
Paiement en ligne et securite
Les transactions de paiement sur la plateforme de billetterie impliquent le traitement de donnees bancaires. La plateforme doit utiliser un prestataire de paiement certifie PCI-DSS (Payment Card Industry Data Security Standard). Les donnees de carte bancaire ne doivent pas etre stockees par la plateforme elle-meme mais uniquement par le prestataire de paiement certifie.
Le CSE doit verifier les certifications de securite de la plateforme et de ses sous-traitants de paiement. Le chiffrement des transactions (HTTPS), l’authentification forte (3D Secure) et la tokenisation des donnees bancaires sont des exigences minimales. La plateforme doit egalement permettre aux beneficiaires de supprimer leurs donnees de paiement enregistrees.
Transfert de donnees hors UE
Certaines plateformes de billetterie utilisent des services d’hebergement ou d’analyse bases en dehors de l’Union europeenne (principalement aux Etats-Unis). Le CSE doit verifier la localisation des serveurs et les eventuels transferts de donnees hors UE. En cas de transfert, les garanties prevues par le chapitre V du RGPD doivent etre mises en oeuvre : clauses contractuelles types, decision d’adequation ou derogations specifiques.
Suite a l’arret Schrems II et a l’adoption du Data Privacy Framework UE-USA, le transfert vers les Etats-Unis est possible si l’entreprise destinataire est certifiee DPF. Le CSE doit neanmoins rester vigilant et verifier cette certification pour chaque prestataire implique dans la chaine de traitement.
Conclusion
La billetterie en ligne represente un avantage apprecie des salaries, mais elle expose le CSE a des risques RGPD significatifs si elle n’est pas correctement encadree. Le choix de la plateforme doit integrer des criteres de conformite RGPD au meme titre que les criteres de prix et de catalogue. Un contrat de sous-traitance solide, une verification des pratiques en matiere de cookies et de paiement, et une vigilance sur les transferts de donnees hors UE sont les cles d’une billetterie conforme et sereine.
Laurent de Cavel, DPO certifie
