RGPD et liste d'invités : ce qu'un organisateur doit faire

Qui est responsable de la liste ?

Celui qui décide de la finalité et des moyens du traitement est le responsable de traitement. Pour une liste d'invités, c'est l'organisateur : il choisit qui inviter, pourquoi et comment. L'outil qu'il utilise pour envoyer les e-mails et recueillir les inscriptions est un sous-traitant.

Cette distinction a des conséquences. Le responsable doit informer les personnes, répondre à leurs demandes d'accès ou de suppression et sécuriser sa liste. Le sous-traitant s'engage, par contrat, à ne traiter les données que sur instruction. Dans Carton Blanc, ce contrat est l'article 9 des conditions générales de vente.

Sur quelle base légale inviter ?

Inviter quelqu'un à une soirée suppose une base légale. Pour les personnes qui s'inscrivent à la soirée, c'est l'exécution de leur demande : on traite leurs données pour organiser la soirée à laquelle elles ont demandé à participer.

Pour les inviter ensuite à d'autres événements, deux régimes coexistent. Entre professionnels, l'intérêt légitime peut suffire si le message est en rapport avec l'activité du destinataire et s'il peut s'y opposer facilement. Pour des particuliers, le consentement préalable est la règle. Une case à cocher, proposée à l'inscription et non précochée, constitue ce consentement.

Informer les personnes

Toute personne dont vous collectez les données doit savoir qui les traite, pour quoi faire, combien de temps et comment exercer ses droits. L'information tient en quelques lignes, au moment de la collecte, avec un lien vers une politique de confidentialité complète.

La page d'inscription de chaque soirée dans Carton Blanc renvoie vers une politique de confidentialité qui décrit ce que le logiciel fait. L'organisateur la complète avec son identité et son adresse de contact.

Se désinscrire doit être simple et immédiat

Chaque e-mail doit contenir un moyen de ne plus en recevoir, et ce moyen doit fonctionner sans connexion ni justification. Dans Carton Blanc, chaque e-mail contient un lien de désinscription qui prend effet sur tous les envois de l'organisateur.

Conservez la trace de la désinscription : un fichier réimporté plus tard ne doit pas réactiver une personne qui a demandé à ne plus être contactée. Le logiciel écarte les personnes désinscrites lors de l'import.

Ne collecter que le nécessaire

Le principe de minimisation interdit de demander ce qui ne sert pas. Pour une soirée, le strict nécessaire est court.

• Le nom et l'adresse e-mail, pour confirmer et rappeler.
• La société et le pays, seulement si le contexte l'exige (rencontre professionnelle, événement international).
• Le téléphone, uniquement pour un événement où l'on doit joindre l'invité le jour même.
• Une question libre, pour les contraintes alimentaires ou d'accès, sans demander de justification médicale.

Combien de temps garder la liste ?

La durée de conservation doit être fixée à l'avance. La CNIL recommande une durée de conservation limitée pour la prospection ; vérifiez la recommandation en vigueur sur cnil.fr. Pour une liste d'invités sans suite, supprimez les données après l'événement dès qu'elles n'ont plus d'usage.

Faites un tri chaque année : retirez les personnes sans réponse depuis longtemps, et celles qui se sont désinscrites quand cela est possible sans perdre la trace de leur refus.

Où sont hébergées les données ?

Une liste hébergée dans l'Union européenne évite les formalités de transfert hors UE. Carton Blanc héberge les listes et les inscriptions à Paris, ne les vend pas, ne les cède pas et ne s'en sert pas pour lui-même. L'organisateur peut les exporter en Excel à tout moment.

Une liste de contrôle avant le premier envoi

Ces vérifications sont rapides et protègent à la fois les invités et l'organisateur.

• Vous savez quelle base légale couvre chaque usage de la liste.
• La page d'inscription renvoie à une politique de confidentialité à jour, avec votre adresse de contact.
• Chaque e-mail contient un lien de désinscription qui fonctionne.
• Vous avez fixé la date à laquelle la liste sera triée ou supprimée.
• Vous savez qui, dans votre équipe, répond à une demande d'accès ou d'effacement.

Questions fréquentes

Dois-je demander le consentement pour inviter mes contacts professionnels ?

Pas toujours : entre professionnels, l'intérêt légitime peut suffire si l'invitation concerne leur activité et s'ils peuvent s'opposer facilement. Pour des particuliers, le consentement est la règle.

Qui répond si un invité demande l'effacement de ses données ?

L'organisateur, qui est responsable du traitement. Il peut s'appuyer sur son outil pour supprimer ou désinscrire la personne.

Carton Blanc est-il conforme au RGPD ?

Carton Blanc héberge les données dans l'Union européenne, agit comme sous-traitant selon l'article 9 des CGV et offre désinscription et export. La conformité de l'usage dépend aussi de l'organisateur ; ce guide ne remplace pas un conseil juridique.