RGPD et avis clients : le guide de conformité 2026

Un témoignage client contient presque toujours des données personnelles : un nom, parfois une photo, une voix, le nom d'une entreprise. Dès lors, le collecter et le publier relève du RGPD. Bonne nouvelle : la conformité est simple à atteindre quand on connaît les quelques règles qui comptent vraiment.

Cet article fournit des repères pratiques et ne constitue pas un conseil juridique. En cas de doute, consultez un professionnel ou la documentation de la CNIL.

Pourquoi un témoignage relève du RGPD

Le RGPD s'applique à tout traitement de « données à caractère personnel », c'est-à-dire toute information se rapportant à une personne identifiable. Un témoignage signé « Marie D., directrice marketing chez Acme » identifie une personne. Une vidéo l'identifie encore plus directement (image + voix). Vous êtes donc « responsable de traitement » et devez respecter quelques obligations.

La base légale : le consentement

Pour publier un témoignage nominatif à des fins marketing, la base légale la plus sûre est le consentement explicite. Il doit être :

• Libre — pas conditionné à l'obtention du service.
• Spécifique — pour un usage clair (publication sur votre site, vos supports marketing).
• Éclairé — la personne sait quoi, où, et combien de temps.
• Univoque — une case à cocher non pré-cochée, une action positive.

Règle pratique : pas de case de consentement cochée par la personne = pas de publication du témoignage nominatif. Et vous devez pouvoir prouver ce consentement (horodatage, texte exact accepté).

L'information à fournir au client

Au moment de la collecte, informez clairement la personne :

• de l'identité du responsable (vous) ;
• de la finalité (afficher le témoignage sur votre site/supports) ;
• de la durée de conservation ;
• de ses droits et de la façon de les exercer.

Une phrase claire près de la case de consentement, renvoyant vers votre politique de confidentialité, suffit dans la plupart des cas.

Les droits des personnes

Le client dont vous affichez le témoignage conserve ses droits, notamment :

• Droit de retrait du consentement à tout moment — aussi simple à retirer qu'à donner.
• Droit d'accès et de rectification — corriger ou consulter ses données.
• Droit à l'effacement — retirer le témoignage sur demande.

Concrètement : prévoyez un moyen simple de dépublier un témoignage et de supprimer les données associées (y compris la vidéo hébergée).

Durée de conservation et minimisation

Ne conservez pas un témoignage indéfiniment « au cas où ». Définissez une durée cohérente avec la finalité (par exemple tant que le témoignage est affiché + une période raisonnable), et ne collectez que les données utiles (le poste et l'entreprise suffisent souvent, pas l'adresse).

Le sujet de l'hébergement et des transferts

Si votre outil de collecte héberge les données (et surtout les vidéos) hors de l'Union européenne — par exemple aux États-Unis — vous réalisez un transfert international qui doit être encadré et documenté (clauses contractuelles types, analyse de risque). Beaucoup d'outils américains populaires sont dans ce cas.

Le moyen le plus simple d'éviter cette complexité est de choisir un outil qui héberge tout dans l'UE. C'est le parti pris de Preuvy : hébergement à Frankfurt, vidéos sur CDN européen, consentement horodaté par défaut, export et suppression en un clic. La conformité est intégrée plutôt que laissée à votre charge. En savoir plus.

Checklist de conformité

• ☑ Case de consentement explicite, non pré-cochée, dans le formulaire de collecte.
• ☑ Information claire sur la finalité + lien vers la politique de confidentialité.
• ☑ Preuve du consentement conservée (date, version du texte accepté).
• ☑ Procédure simple de retrait / dépublication / suppression.
• ☑ Durée de conservation définie.
• ☑ Hébergement UE ou transfert encadré et documenté.
• ☑ DPA signé avec votre outil de collecte.

Questions fréquentes

Peut-on publier un avis sans le nom complet du client ?

Oui, et c'est parfois préférable (prénom + initiale, ou poste + secteur). Cela réduit l'exposition tout en gardant de la crédibilité. Mais même un témoignage « semi-anonyme » accompagné d'éléments identifiants reste soumis au RGPD si la personne demeure identifiable.

Un client peut-il demander le retrait de son témoignage des années après ?

Oui. Le retrait du consentement et le droit à l'effacement n'ont pas de date de péremption. Vous devez pouvoir dépublier et supprimer rapidement. D'où l'intérêt d'un outil qui centralise tout.

Le RGPD s'applique-t-il aux témoignages B2B ?

Oui dès qu'une personne physique est identifiable (un nom de contact, un visage), même dans un contexte professionnel. Le nom seul d'une entreprise n'est pas une donnée personnelle, mais « Jean Martin, DAF de la société X » l'est.

En résumé

La conformité RGPD des témoignages tient en quelques réflexes : consentement explicite et prouvable, information claire, respect des droits, durée maîtrisée, hébergement UE de préférence. Bien outillé, tout cela devient automatique. Preuvy intègre ces garde-fous nativement — collectez vos témoignages en toute conformité.