RGPD et parrainage : les règles à respecter pour rester conforme

Pour qu’un programme de parrainage soit conforme au RGPD, le filleul doit être informé de l’identité du parrain et ses coordonnées ne doivent servir qu’à l’offre recommandée. Toute conservation prolongée ou nouvelle sollicitation nécessite son consentement exprès du filleul. Chaque traitement doit reposer sur une base légale documentée : consentement, intérêt légitime ou contrat, selon le cas.

En bref:

• La transmission des coordonnées du filleul doit uniquement concerner l’offre recommandée, avec un consentement exprès en cas de sollicitation prolongée ou nouvelle communication.
• La base légale pour le traitement des données du filleul doit être clairement documentée, privilégiant le consentement pour le marketing BtoC et l’intérêt légitime pour le BtoB après analyse.
• La durée de conservation des données du filleul doit être limitée à la fin de l’opération, sauf consentement pour une conservation prolongée, en respectant strictement cette règle.
• Le formulaire doit séparer clairement la participation au parrainage et l’opt-in marketing, en enregistrant horodatages et identifiants pour preuves en cas de contrôle.
• Toute communication avec un tiers, comme un revendeur ou un affilié, doit reposer sur un contrat conforme, précisant rôle, obligations, durée et modalités de traitement.

Table des matières

• Checklist rapide : dix actions à mettre en place tout de suite
• Ce que le RGPD impose concrètement au parrain et au filleul
• Choisir la bonne base légale : consentement, intérêt légitime ou contrat
• Ce que la notice et le formulaire doivent afficher au filleul
• Combien de temps garder les coordonnées du filleul
• Construire un formulaire de parrainage qui prouve le consentement
• Partage avec des tiers : revendeurs, affiliés, sous-traitants
• Sécurité et traçabilité au quotidien
• Parrainage B2B via revendeurs : un cas à traiter avec soin
• Erreurs fréquentes et sanctions observées
• Checklist finale avant de lancer le programme
• Ce que les responsables marketing sous-estiment sur la conformité
• Automatiser la conformité du parrainage avec Fidera
• Sources
• Questions fréquentes

Checklist rapide : dix actions à mettre en place tout de suite

Avant de lancer ou d’auditer un programme de parrainage, ces dix vérifications permettent d’écarter les erreurs les plus fréquentes.

• Indiquer l’identité du parrain dès le premier message envoyé au filleul.
• Limiter l’usage des coordonnées du filleul à l’envoi de l’offre recommandée, sauf consentement contraire.
• Ajouter une case de consentement distincte et non pré-cochée pour toute communication marketing ultérieure (obligatoire en BtoC).
• Rédiger et documenter la base légale retenue pour chaque traitement lié au programme.
• Mettre en place une procédure de suppression automatique des coordonnées à l’issue de l’opération.
• Prévoir un export des preuves de consentement et d’horodatage en cas de contrôle.
• Vérifier les accords contractuels avec les revendeurs ou affiliés qui relaient le programme.
• Former les équipes commerciales et marketing aux limites d’usage des données du filleul.
• Restreindre les accès aux données du parrainage selon le rôle de chaque collaborateur.
• Tester le parcours du formulaire pour s’assurer que les mentions légales et la notice courte sont visibles.

Ces actions couvrent l’essentiel des exigences opérationnelles ; les sections suivantes détaillent leur fondement juridique.

Ce que le RGPD impose concrètement au parrain et au filleul

Le filleul n’a jamais donné son accord pour être contacté : c’est le parrain qui a transmis ses coordonnées. Cette situation particulière justifie un encadrement strict, que la CNIL détaille précisément.

Trois obligations structurent le dispositif :

• Information obligatoire : le filleul doit connaître l’identité du parrain, la finalité exacte de l’envoi, les destinataires des données, la durée de conservation prévue et les modalités pour exercer ses droits.
• Usage strictement limité : le message envoyé au filleul ne peut porter que sur l’offre ou l’annonce que le parrain a désignée, jamais sur une prospection commerciale élargie.
• Conservation encadrée : les coordonnées du filleul doivent être supprimées à l’issue de l’opération de parrainage, sauf s’il a lui-même donné un consentement exprès pour être recontacté.

Ce dernier point mérite une clarification. La règle générale de conservation des données de prospects non-clients, fixée à trois ans dans la relation commerciale classique, ne s’applique pas de la même manière au filleul : celui-ci n’a pas engagé de relation commerciale, il a simplement été désigné par un tiers. En pratique, mieux vaut documenter cet écart et justifier pourquoi les coordonnées du filleul sont supprimées plus rapidement que celles d’un prospect classique, plutôt que d’appliquer par défaut la durée habituelle de trois ans.

Le filleul reste maître de la suite : s’il ne répond pas ou ne consent pas à recevoir d’autres communications, l’entreprise n’a aucune raison légitime de garder ses coordonnées. C’est le point sur lequel les programmes de parrainage dérapent le plus souvent, en traitant le filleul comme un lead ordinaire alors qu’il n’a rien demandé.

Choisir la bonne base légale : consentement, intérêt légitime ou contrat

Chaque traitement de données lié au parrainage doit s’appuyer sur une base légale précise, choisie selon la nature de l’envoi et le profil du destinataire.

1. Le consentement s’impose pour tout envoi marketing en BtoC. L’article L.34-5 du Code des postes et communications électroniques interdit la prospection directe par courrier électronique sans accord préalable, sauf exception limitée aux clients existants pour des produits analogues. La preuve doit être horodatée et la case de consentement jamais pré-cochée.
2. L’intérêt légitime peut s’appliquer à une prospection BtoB ciblée, mais seulement après une analyse de mise en balance documentée entre l’intérêt de l’entreprise et les droits du filleul. L’EDPB rappelle que cette base ne dispense pas d’un test rigoureux : nécessité du traitement, absence d’alternative moins intrusive, et attentes raisonnables de la personne concernée.
3. Le contrat ou l’obligation légale s’appliquent rarement au simple envoi initial vers le filleul. Ces bases supposent une nécessité objective liée à l’exécution d’un contrat ou à une obligation légale, ce qui ne correspond presque jamais à un message de parrainage ponctuel. Invoquer le contrat pour justifier l’envoi au filleul relève souvent d’une erreur de qualification.
4. La documentation de chaque choix doit figurer dans le registre des traitements, avec la justification retenue et, pour l’intérêt légitime, le résultat du test de mise en balance mené en amont.

Une entreprise qui mélange les bases légales, par exemple en invoquant l’intérêt légitime pour justifier un envoi marketing répété à un filleul BtoC, s’expose à une requalification en cas de contrôle. Le bon réflexe consiste à traiter chaque campagne de parrainage comme un traitement distinct, avec sa propre base légale, plutôt que d’appliquer une règle unique à l’ensemble du programme.

Ce que la notice et le formulaire doivent afficher au filleul

La notice courte est le document que le filleul doit pouvoir consulter avant de communiquer la moindre donnée, ou au moment où il reçoit le message du parrain.

• Le nom du responsable du traitement et un moyen de le contacter.
• La finalité précise de la collecte : gestion de l’offre de parrainage, et rien d’autre par défaut.
• Les catégories de données collectées et, le cas échéant, les destinataires (partenaires, sous-traitants).
• La durée de conservation prévue, distincte selon que le filleul consent ou non à un contact ultérieur.
• Les modalités d’exercice des droits d’accès, de rectification, d’opposition et d’effacement.

Quand le programme implique un transfert des données à un partenaire externe, la notice doit le mentionner explicitement et prévoir un choix séparé, jamais une autorisation groupée avec la participation au parrainage elle-même.

Conseil de pro : rédigez la notice courte sous forme de puces visibles directement sous le formulaire, plutôt que dans un lien vers une politique de confidentialité générale : la CNIL attend une information immédiate et lisible, pas un renvoi vers un document long.

Combien de temps garder les coordonnées du filleul

Le principe par défaut est simple : les coordonnées du filleul sont supprimées une fois l’opération de parrainage terminée, sauf consentement exprès pour un contact ultérieur.

• Sans consentement : suppression dès que l’offre a été présentée et que le filleul n’a pas donné suite, ou dans un délai court fixé à l’avance.
• Avec consentement exprès : la conservation peut suivre la durée standard applicable aux prospects, généralement autour de trois ans à compter du dernier contact dans une relation commerciale classique, mais ce cas doit être documenté et distinct du traitement initial de parrainage.
• Mécanismes techniques recommandés : politiques de rétention automatisées, marquage des enregistrements selon leur statut de consentement, et export d’historique permettant de prouver la date de suppression en cas de contrôle.

L’écart entre la règle du parrainage (suppression rapide sans consentement) et la règle générale de prospection (conservation plus longue avec consentement) est la source d’erreur la plus fréquente. Documenter cette distinction dans le registre des traitements évite toute ambiguïté lors d’un audit.

Construire un formulaire de parrainage qui prouve le consentement

Un formulaire conforme sépare clairement deux choses : la participation au programme de parrainage et l’autorisation de recevoir d’autres communications.

1. Prévoyez une case dédiée, non pré-cochée, pour l’opt-in marketing, distincte du bouton de validation de l’invitation.
2. Enregistrez un horodatage précis et un identifiant technique (adresse IP ou identifiant de session) au moment du consentement.
3. Séparez visuellement, dans l’interface, la case « participer au parrainage » et la case « recevoir d’autres offres ».
4. Conservez un journal exportable listant chaque invitation envoyée, chaque consentement recueilli et chaque opposition exprimée.

Cette traçabilité correspond directement à ce que le guide CNIL sur le parrainage et les jeux concours attend en cas de contrôle : des preuves accessibles, pas seulement une politique écrite.

Partage avec des tiers : revendeurs, affiliés, sous-traitants

Dès qu’un tiers intervient dans le programme, la qualification juridique de son rôle détermine les obligations contractuelles à mettre en place.

• Sous-traitant : le tiers traite les données pour le compte de l’entreprise, selon ses instructions. Un contrat de sous-traitance conforme à l’article 28 doit préciser l’objet du traitement, sa durée, les catégories de données, les mesures de sécurité et les conditions de suppression en fin de contrat.
• Responsable conjoint : quand le tiers détermine lui-même certaines finalités (par exemple un revendeur qui gère sa propre base de filleuls), un accord de responsabilité conjointe au sens de l’article 26 doit répartir clairement les obligations d’information et de réponse aux droits des personnes.
• Responsable distinct : si le tiers réutilise les données pour ses propres finalités indépendantes, il devient responsable de son propre traitement, ce qui doit être clairement indiqué au filleul dès la collecte.
• Transferts internationaux : si un partenaire est situé hors de l’Union européenne, des clauses contractuelles types ou un mécanisme équivalent doivent encadrer le transfert.

Un DPA (contrat de sous-traitance) mal calibré, ou l’absence totale d’accord avec un revendeur qui relaie le parrainage, est l’une des lacunes les plus fréquentes observées dans les programmes B2B.

Sécurité et traçabilité au quotidien

La conformité ne s’arrête pas à la collecte : elle suppose des mesures techniques et organisationnelles vérifiables à tout moment.

• Appliquer le principe de minimisation : ne collecter que les données nécessaires à l’envoi de l’offre au filleul.
• Restreindre les accès aux données du parrainage selon le rôle de chaque utilisateur (commercial, marketing, administrateur).
• Chiffrer les exports contenant des données sensibles et journaliser chaque accès aux fichiers de consentement.
• Prévoir une procédure documentée pour répondre aux demandes d’exercice des droits dans les délais légaux.

Pour les entreprises qui externalisent une partie de leurs actions marketing autour du programme, des partenaires comme SocialGrove.ai peuvent gérer les campagnes sociales associées, à condition que les accords de sous-traitance couvrent aussi ce périmètre.

Conseil de pro : demandez systématiquement à vos prestataires marketing une clause contractuelle précisant qu’ils n’ont accès qu’aux données strictement nécessaires à leur mission, jamais à l’ensemble de la base de filleuls.

Parrainage B2B via revendeurs : un cas à traiter avec soin

Le schéma tripartite, où un revendeur relaie une offre de parrainage auprès de ses propres clients pour le compte d’une entreprise, multiplie les risques de confusion sur les responsabilités.

• Qualifiez d’abord le rôle du revendeur : agit-il selon vos instructions strictes (sous-traitant) ou détermine-t-il ses propres finalités sur une partie du traitement (responsable conjoint) ?
• Exigez une preuve documentée que le filleul a bien reçu l’information sur l’identité du parrain et sur son droit d’opposition, même quand l’envoi passe par le revendeur.
• Privilégiez un flux en trois temps : invitation, envoi unique de l’offre, puis option claire d’opt-in pour toute communication ultérieure, sans jamais fusionner ces étapes.
• Intégrez dans le contrat avec le revendeur des clauses précisant la durée de conservation autorisée, les modalités de suppression et l’obligation de transmettre toute demande d’exercice de droits reçue directement.

Sans ces clauses, l’entreprise reste juridiquement exposée même si c’est le revendeur qui a matériellement envoyé le message au filleul.

Erreurs fréquentes et sanctions observées

Certaines pratiques reviennent régulièrement dans les programmes de parrainage non conformes, malgré des règles pourtant bien établies.

• Utiliser une case pré-cochée pour le consentement marketing, alors que la CNIL exige une action positive et non ambiguë pour toute prospection électronique.
• Conserver indéfiniment les coordonnées du filleul sans jamais avoir recueilli son consentement exprès.
• Confondre la gestion du parrainage avec une campagne de prospection commerciale classique, en envoyant plusieurs messages successifs au filleul.
• Négliger la documentation de la base légale choisie, ce qui complique toute justification en cas de contrôle.

Les décisions de la CNIL et les procédures documentées avec l’EDPB montrent que l’usage de cases pré-cochées et le non-respect des obligations d’information figurent parmi les manquements les plus régulièrement sanctionnés, avec des amendes dissuasives en cas de manquements répétés.

Checklist finale avant de lancer le programme

Avant toute mise en ligne, ces vérifications permettent de sécuriser le dispositif sur le plan juridique et opérationnel.

1. Faire valider par un juriste ou le DPO la base légale retenue pour chaque traitement du programme.
2. Vérifier que la notice courte est rédigée, visible et accessible directement depuis le formulaire de parrainage.
3. Tester l’export des journaux de consentement, des invitations et des suppressions pour s’assurer qu’ils sont exploitables en cas de contrôle.
4. Former les équipes commerciales et marketing aux limites d’usage des données du filleul et restreindre les accès selon les rôles.

Cette dernière étape est souvent négligée : un commercial qui a accès à l’ensemble de la base de filleuls, sans restriction, crée un risque même quand le formulaire lui-même est parfaitement conforme.

Ce que les responsables marketing sous-estiment sur la conformité

La conformité RGPD d’un programme de parrainage n’est pas d’abord un problème de formulaire, c’est un problème de discipline dans la durée. Beaucoup d’entreprises rédigent une notice impeccable au lancement, puis laissent les coordonnées des filleuls s’accumuler dans un tableur pendant des mois, sans suppression ni suivi. La règle la plus simple, celle qui préviendrait la plupart des manquements, tient en une phrase : le filleul n’a rien demandé, donc chaque contact supplémentaire doit se justifier par un choix qu’il a lui-même fait.

Ce qui manque le plus souvent n’est pas la connaissance de la règle, mais l’outillage pour la respecter dans le temps : suivre qui a consenti, quand, et pour quoi exactement. Une plateforme comme Fidera structure ce suivi en conservant l’historique des invitations, les preuves de consentement horodatées et les journaux de suppression, ce qui facilite la démonstration de conformité en cas de contrôle. Cela dit, l’outil ne remplace jamais l’analyse juridique : le choix de la base légale et la qualification des relations avec des tiers restent de la responsabilité de l’entreprise qui traite les données.

— Jonathan

Automatiser la conformité du parrainage avec Fidera

Un programme de parrainage bien pensé se heurte souvent à un obstacle très concret : suivre manuellement les consentements, les suppressions et les preuves d’information devient vite ingérable dès que le volume de filleuls augmente. La solution proposée par cette plateforme permet de structurer ce suivi de bout en bout, du premier envoi jusqu’à la gestion des commissions versées au parrain.

• Export des preuves de consentement et d’horodatage pour répondre à une demande de contrôle sans reconstituer l’historique à la main.
• Workflows automatisés de suppression des coordonnées du filleul selon la règle de conservation applicable.
• Gestion centralisée des consentements marketing, distincte de la participation au programme de parrainage.
• Suivi en temps réel des invitations et des commissions versées, avec traçabilité complète de chaque étape.

Ces fonctionnalités facilitent la démonstration de conformité au quotidien, mais elles ne dispensent pas de faire valider la base légale de chaque traitement par un juriste : la plateforme structure les preuves, l’entreprise reste responsable des choix qu’elle documente. Pour voir comment ces outils s’appliquent à votre programme, consultez les offres d’abonnement Fidera, déclinées en formules Starter, Business et Enterprise sans engagement.

Sources

Pour approfondir chaque point abordé dans ce guide, ces documents officiels constituent les références à consulter en priorité.

• CNIL — Quelles sont les règles à suivre en matière de parrainage ?
• Legifrance — Article L.34-5 du Code des postes et communications électroniques
• EDPB — Process personal data lawfully (SME guide)

Cet article constitue une information générale et ne remplace pas l’avis d’un avocat qualifié. Consultez un professionnel du droit qualifié à propos de votre cas personnel avant d’agir sur la base de ce contenu.

Questions fréquentes

Quels sont les inconvénients d’un programme de parrainage mal encadré ?

Un programme mal encadré expose l’entreprise à des sanctions pour non-respect des obligations d’information ou de conservation des données du filleul. Il risque aussi de dégrader la relation avec les clients parrains si leurs contacts se sentent sollicités sans avoir donné leur accord.

Quelles sont les conditions pour que le parrainage d’un filleul soit valide sur le plan RGPD ?

Le filleul doit être informé de l’identité du parrain dès le premier contact et ses coordonnées ne peuvent servir qu’à l’offre recommandée. Toute conservation prolongée ou nouvelle sollicitation nécessite son consentement exprès, distinct de sa simple participation au programme.

Quel est le principe général du parrainage en matière de protection des données ?

Le principe consiste à traiter le filleul comme un contact ponctuel, jamais comme un prospect ordinaire : ses données servent uniquement à lui présenter l’offre désignée par le parrain, puis sont supprimées sauf accord explicite pour un contact ultérieur.

Qu’est-ce que le parrainage client dans une démarche commerciale conforme au RGPD ?

Le parrainage client consiste à faire recommander une offre par un client existant à l’un de ses contacts, ce qui reste conforme tant que l’entreprise informe le filleul, limite l’usage de ses coordonnées à cette offre et documente la base légale du traitement. Des plateformes comme Fidera permettent de structurer ce suivi avec traçabilité des consentements.

Recommandations

• Comment lancer un programme de parrainage B2B en 2026 : le guide complet en 7 étapes
• Yuccan ou Fidera : quel logiciel de parrainage choisir en 2026 ?